In regelmäßigen Abständen veröffentlicht die DSK Hilfen zur Anwendung und Auslegung der Datenschutz-Grundverordnung (DSGVO) in Form von Entschließungen, Beschlüssen, Stellungnahmen, Pressemitteilungen, Festlegungen u.v.m. welche wir Ihnen im Folgenden vorstellen möchten.

• DSK Kurzpapiere
• DSK Orientierungshilfen
• DSK Entschließungen – rechtlich nicht bindend
• DSK Beschlüsse
• DSK DSFA Muss-Liste

Der Beitrag Datenschutzkonferenz (DSK) erschien zuerst auf Datenschutz-Manager-24.

• 16.08.2024 – Datenverarbeitung im Zusammenhang mit funkbasierten Zählern
• 06.05.2024 – Orientierungshilfe der DSK zu Künstlicher Intelligenz und Datenschutz
• 24.01.2024 – Orientierungshilfe der Aufsichtsbehörden zur Einholung von Selbstauskünften bei Mietinteressent:innen
• 05.12.2022 – Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien
• 22.06.2022 – FAQ zu Facebook-Fanpages
• 18.02.2022 – Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung
• 20.12.2021 – Häufige Fragestellungen nebst Antworten zur Verarbeitung von Beschäftigtendaten im Zusammenhang mit der Corona-Pandemie
• 16.06.2021 – Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail
• 23.10.2020 – Videokonferenzsysteme
• 03.09.2020 – Videoüberwachung durch nicht-öffentliche Stellen
• 07.11.2019 – Whitepaper zu technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich
• 03.04.2019 – Positionspapier zur biometrischen Analyse

Der Beitrag Orientierungshilfen (DSK) erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Orientierungshilfe: Datenverarbeitung im Zusammenhang mit funkbasierten Zählern erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Orientierungshilfe: zu Künstlicher Intelligenz und Datenschutz erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Orientierungshilfe: zur Einholung von Selbstauskünften bei Mietinteressent:innen erschien zuerst auf Datenschutz-Manager-24.

Die Privatnutzung ist erlaubt bzw. geduldet

In vielen Unternehmen ist die Nutzung des dienstlichen E-Mail-Postfachs nicht schriftlich geregelt. Wird die private Nutzung dann geduldet, kann es sich um eine betriebliche Übung handeln. Somit kann die private Nutzung als erlaubt angesehen werden. In diesem Fall verletzt der Zugriff die Privatsphäre des Beschäftigten.

Bei einem Zugriff ist also dringend darauf zu achten, dass nur geschäftliche E-Mails eingesehen werden. Das lässt sich in der Praxis leider nicht sauber umsetzen.

Hinzu kommt die Gefahr eines möglichen strafrechtlichen Verstoßes, da der Arbeitgeber bei erlaubter Privatnutzung ggf. zu einem Telekommunikationsanbieter wird. Dann kann ein Zugriff strafrechtlich relevant werden, weil dieser das Fernmeldegeheimnis verletzt. Diese Einschätzung ist derzeit umstritten, sollte aber bedacht werden.

Die Privatnutzung des Postfachs ist verboten

Wenn die Privatnutzung ausdrücklich verboten ist, macht dies den Zugriff durch den Arbeitgeber etwas leichter. Trotzdem sollte hier die betriebliche Erforderlichkeit geprüft werden, da private Inhalte nie ganz ausgeschlossen werden können. Unabhängig von einer internen Regelung haben auch die externen Kommunikationspartner ggf. Schutzinteressen.

Daher sollte in der Regel kein Zugriff durch den Arbeitgeber erfolgen, sondern lediglich mittels einer Abwesenheitsnachricht der Absender einer E-Mail über die Abwesenheit informiert werden. So hat er selbst die Möglichkeit, über das weitere Vorgehen zu entscheiden.

Wenn doch ein Zugriff erfolgen muss, um überwiegende betriebliche Interessen zu wahren, dann sollten folgende Punkte beachtet werden:

• Der Zugriff auf das Postfach sollte im Vier-Augen-Prinzip erfolgen. Es bietet sich hier an, den Datenschutzbeauftragten und/oder den Betriebsrat hinzuzuziehen. Außerdem sollte der Beschäftigte darüber informiert werden.
• Der Zugriff sollte auf ein Minimum reduziert werden. Es sollten also nicht alle E-Mails ohne Einschränkung eingesehen werden.
• Ein schriftliches Protokoll mit Angabe über Zeitpunkt, Dauer und Umfang des Zugriffs und Angabe der beteiligten Personen ist empfehlenswert.

Fazit

Es empfiehlt sich dringend, die private Nutzung des dienstlichen E-Mail-Postfachs ausdrücklich zu untersagen. Nur so kann womöglich der Anwendungsbereich des Fernmeldegeheimnisses umgangen werden. Außerdem ist der Zugriff auf das persönliche Postfach eines Mitarbeiters durch den Arbeitgeber deutlich risikoärmer, wenngleich nur in Ausnahmesituationen durchzuführen.

Tipp

Die konsequente Nutzung von Team-Postfächern wie service@… oder vertrieb@… mit Zugriffsmöglichkeit für alle Team-Mitglieder anstelle von personenbezogenen Postfächern erleichtert viele Abläufe. Speziell die Absender von E-Mails müssen in diesem Fall davon ausgehen, dass E-Mails an solche Team-Postfächer von unterschiedlichen Personen bearbeitet werden. Außerdem sind für die Abwesenheiten einzelner Mitarbeiter keine besonderen Maßnahmen notwendig, da die anderen Team-Mitglieder einfach weiterarbeiten können.

Der Beitrag Darf der Arbeitgeber auf die E-Mail-Postfächer der Beschäftigten zugreifen? erschien zuerst auf Datenschutz-Manager-24.

Grund für die Zweifel an einem angemessenen Datenschutzniveau sind die in den Vereinigten Staaten gültigen Massenüberwachungsgesetze, die es den Geheimdiensten ermöglichen Ausländer ohne Gerichtsbeschluss zu überwachen. Dies wurde 2013 durch Edward Snowdens Enthüllungen aufgedeckt. Die Befugnisse zur Massenüberwachung wurden nach dem 11. September 2001 zur Terrorismusbekämpfung eingeführt.

Zertifizierte Unternehmen

Der Beschluss erstreckt sich aber nicht auf die gesamten Vereinigten Staaten. US-Unternehmen müssen ein Selbstzertifizierungsverfahren durchlaufen, im Rahmen dessen sie sich verpflichten, bestimmte Datenschutzvorgaben zu erfüllen, um somit ein angemessenes Datenschutzniveau zu gewährleisten. Zertifizierte Unternehmen werden auf der Webseite des Data Privacy Frameworks geführt: https://www.dataprivacyframework.gov/list

Kritik trotz Verbesserungen

Jedoch ist fraglich, ob das Ganze auf Dauer Bestand haben wird. Die beiden Vorgänger des Data Privacy Frameworks – „Safe Harbor“ und „Privacy Shield“ – wurden durch zwei Klagen des Datenschutzaktivisten Maximilian Schrems vor dem Europäischen Gerichtshof für unwirksam erklärt (EuGH, 06.10.2015 – C-362/14 “Schrems I” und EuGH, 16.07.2020 – C-311/18 “Schrems II”). Das wesentliche Problem war, dass sich die US-Geheimdienste theoretisch trotzdem über die Vereinbarungen hinwegsetzen konnten.

Um einem „Schrems III“ vorzubeugen, wurden im Rahmen des Frameworks weitreichendere Maßnahmen getroffen:

• Die US-Geheimdienste müssen nun prüfen, ob ein Zugriff auf die Daten von EU-Bürgern verhältnismäßig ist.
• Es gibt einen Rechtsbehelfsmechanismus, im Rahmen dessen Beschwerden eingereicht und überprüft werden können.

Trotzdem wird auch das Data Privacy Framework von Maximilian Schrems scharf kritisiert. Die von ihm gegründete Nichtregierungsorganisation noyb hält die Verbesserungen für nicht stichhaltig und kündigt an, wieder vor den Europäischen Gerichtshof ziehen zu wollen.

Fazit

Eine Übermittlung von personenbezogenen Daten an US-Unternehmen, die unter dem Data Privacy Framework zertifiziert sind, ist vorerst als rechtssicher zu bezeichnen. Wenn das Framework erneut für unwirksam erklärt werden sollte, müssen Unternehmen Ihre Datenübermittlungen wieder hauptsächlich auf die Verwendung der EU-Standardvertragsklauseln stützen. Diese wurden aber ebenso schon in Frage gestellt, da sich US-Unternehmen kaum an die enthaltenen Verpflichtungen halten können. Leider geht mit dem Einsatz von US-Unternehmen immer ein gewisses Restrisiko einher.

Der Beitrag Data Privacy Framework – Neue Sicherheit für Datenübermittlungen in die USA? erschien zuerst auf Datenschutz-Manager-24.

• EDSA Leitlinien
• EDSA Datenschutzleitfaden für kleine Unternehmen
• EDSA Empfehlungen
• EDSA Stellungnahmen
• EDSA Verbindliche Beschlüsse

Der Beitrag Europäischer Datenschutzausschuss (EDSA) erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag EDSA-Datenschutzleitfaden für kleine Unternehmen erschien zuerst auf Datenschutz-Manager-24.

• Leitlinien 04/2022 zur Berechnung von Geldbußen nach der Datenschutz-Grundverordnung
• Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach der DSGVO
• Leitlinien 7/2022 zur Zertifizierung als Instrument für Übertragungen
• Leitlinien 06/2022 für die praktische Anwendung der gütlichen Einigung
• Leitlinien 1/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten
• Leitlinien 02/2021 zu virtuellen Sprachassistenten
• Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO
• Leitlinien 08/2020 über die gezielte Ansprache von Nutzer:innen sozialer Medien
• Leitlinien 01/2020 zur Verarbeitung personenbezogener Daten im Zusammenhang mit vernetzten Fahrzeugen und mobilitätsbezogenen Anwendungen
• Leitlinien 4/2019 zu Artikel 25 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen
• Leitlinien 5/2019 zu den Kriterien des Rechts auf Vergessenwerden in Fällen in Bezug auf Suchmaschinen gemäß der DSGVO (Teil 1)
• Leitlinien 5/2020 zur Einwilligung gemäß Verordnung 2016/679
• Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte
• Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen
• Leitlinien 1/2019 über Verhaltensregeln und Überwachungsstellen gemäß der Verordnung (EU) 2016/679
• Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt
• Leitlinien 2/2018 zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679
• Leitlinien in Bezug auf Datenschutzbeauftragte („DSB“)
• Leitlinien für Transparenz gemäß der Verordnung 2016/679
• Leitlinien zum Recht auf Datenübertragbarkeit

Der Beitrag Leitlinien (EDSA) erschien zuerst auf Datenschutz-Manager-24.