Aktueller Fachbeitrag

Zwingender Gastzugang im deutschen Online-Handel

Fachbeitrag

DSGVO

Data Governance und Compliance

Zwingender Gastzugang im deutschen Online-Handel

Die deutsche Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) hat im März 2022 einen Beschluss publiziert, wonach neben dem üblichen Kund:innenkonto immer auch ein Gastzugang für die Abwicklung eines einmaligen Vertrages zur Verfügung gestellt werden muss.

Caroline Danner

Im Fokus

Kein berechtigtes Interesse von TikTok bei personalisierter Werbung

Rechtsprechung

Datentransfer

DSGVO

Garante Nr. 248 i.S. TikTok v. 07.07.2022

EDPB TikTok Italian SA v. 15.07.2022

Kein berechtigtes Interesse von TikTok bei personalisierter Werbung

TikTok in Italien plante die Anzeige von personalisierter Werbung anstatt wie bisher auf der Einwilligung der Nutzer:innen, neu auf ihr berechtigtes Interesse zu stützen.

Busse der CNIL von 1 Million Euro gegen die französische Totalenergies wegen Verletzung von Informationspflichten

Rechtsprechung

DSGVO

n°SAN-2022-011 du 23. Juni 2022

Commission Nationale de l’Informatique et des Libertés (CNIL)

Busse der CNIL von 1 Million Euro gegen die französische Totalenergies wegen Verletzung von Informationspflichten

Die TOTALENERGIES ELECTRICITÉ ET GAZ FRANCE verstiess gegen verschiedene Verordnungen und Gesetze im Bereich des Datenschutzes. In ihrer Verteidigung machte sie menschliche und technische Fehler für die Verstösse sowie die Pandemie, welche eine Häufung von Anträgen zur Folge hatte und somit das System überlastete, verantwortlich. Des Weiteren machte das Unternehmen geltend, dass dies nur einzelne Fälle waren. Der Ausschuss der CNIL stellte jedoch klar fest, dass solche Faktoren keine oder nur eine geringe Relevanz haben, wenn es um den Datenschutz eines jeden einzelnen Antrages geht.

Österreichischen Datenschutzbehörde befindet Google Analytics als nicht DSGVO-konform

Rechtsprechung

DSGVO

ÖDSB_D155.027 GA_22122021

Österreichischen Datenschutzbehörde befindet Google Analytics als nicht DSGVO-konform

Gemäss Entscheid der österreichischen Datenschutzbehörde vom 22. Dezember 2021 würden Webseiten-Betreiber, die Google Analytics einsetzen, und Daten an Google LLC mit Sitz in den USA übermitteln, nicht dem Schutzniveau der DSGVO entsprechen. Insbesondere die von Google aufgezeigten technischen Massnahmen hätten nicht genügt, ein der DSGVO gleichwertiges Datenschutzniveau herzustellen.

WhatsApp klagt beim Europäischen Gerichtshof

Rechtsprechung

DSGVO

CJEU, WhatsApp vs. EDPB, T-709-21, 03.01.2022

European Data Protection Board (EDPB)

EDPB, Binding decision 01-2021 WhatsApp Ireland

European Data Protection Board (EDPB)

WhatsApp klagt beim Europäischen Gerichtshof

WhatsApp Ireland klagt vor dem Europäischen Gerichtshof zur Aufhebung der Geldbusse von 225 Mio. EUR, die ihnen die irische Datenschutzkommission am 2. September 2021 auferlegt hatte. WhatsApp richtet ihre Klage nicht gegen die irische Datenschusskommission, sondern gegen den Beschluss des Europäischen Datenschutzausschusses, die der Geldbusse vorausging.

CNIL: Unverhältnismässige Datenbearbeitung und ungenügender Schutz von Mitarbeiterdaten bei Beförderungslisten

Rechtsprechung

Datenschutzverletzungen

DSGVO

SAN-2021-019 v. 29.10.2021

Commission Nationale de l’Informatique et des Libertés (CNIL)

CNIL: Unverhältnismässige Datenbearbeitung und ungenügender Schutz von Mitarbeiterdaten bei Beförderungslisten

Die CNIL beurteilte, inwiefern bei Beförderungslisten von Mitarbeitenden der Grundsatz der Verhältnismässigkeit und der Datenminimisierung eingehalten bzw. verletzt wurde

Das Bundesgericht zu Art. 271 StGB: Verbotene Handlungen für einen fremden Staat

Rechtsprechung

Data Governance und Compliance

6B_216/2020

Bundesgericht

Das Bundesgericht zu Art. 271 StGB: Verbotene Handlungen für einen fremden Staat

Mit Urteil vom 1. November 2021 (BGE 6B/216_2020) bestätigte das Bundesgericht die Verurteilung eines Verwaltungsrats einer Zürcher Vermögensverwaltungsgesellschaft für die Übergabe von Kundendaten auf einem USB-Stick an das US-amerikanische Department of Justice (DoJ) nach Art. 271 Ziff. 1 Abs. 1 StGB wegen verbotener Handlungen für einen fremden Staat. Die Übergabe erfolgte im Zusammenhang mit einer Selbstanzeige und im Hinblick auf den Abschluss eines Non Prosecution Agreements (NPA).

Mangelhaft pseudonymisierte Daten bleiben Personendaten

Rechtsprechung

DSG

Data Governance und Compliance

Datenschutzverletzungen

HG190107-O

Handelsgericht ZH

Mangelhaft pseudonymisierte Daten bleiben Personendaten

Das Handelsgericht kam in einem weiteren Entscheid zu den sog. Leaver-Listen im Rahmen des DoJ-Programs zum Ergebnis, dass mangelhaft pseudonymisierte Daten für den Empfänger Personendaten sind, sind insb. wenn mit einem möglicherweise erfolgreichen Amts- oder Rechtshilfeverfahren, Personen re-identifizierbar sind.

CNIL-Guideline für die Weiterarbeitung von Daten durch Auftragsverarbeiter

Kommentierung

Verantwortlicher und Auftragsdatenverarbeiter

CNIL-Guideline für die Weiterarbeitung von Daten durch Auftragsverarbeiter

Die französische Datenschutzbehörde (CNIL) publizierte am 12. Januar 2022 eine Guideline, ob und unter welchen Voraussetzungen ein Auftragsverarbeiter die Daten, die er von einem für die Verarbeitung Verantwortlichen erhält, für eigene Zwecke wiederverwenden kann. Für die Praxis stellen sich einige schwierige Umsetzungsfragen: Nach den Ausführungen CNIL müssen drei Voraussetzungen erfüllt sein, insbesondere eine schriftliche Vereinbarung mit dem Auftragsverarbeiter über die Weiterverwendung von Daten, einen im Einzelfall durch den ursprünglichen Verantwortlichen durchzuführenden Kompatibilitätstest nach Artikel 6(4) DSGVO und schliesslich einer Informationspflicht des ursprünglich Verantwortlichen an die betroffenen Personen über die Weiterverarbeitung.

Olivier Heuberger

Vernehmlassung E-ID

Gesetzgebung

Cyber Security

DSG

Vernehmlassung E-ID

Am 7. März 2021 lehnte die Schweizer Bevölkerung das Bundegesetz über elektronische Identifizierungsdienste ab. Nun geht eine neue Version bis Oktober 2022 in die Vernehmlassung.

Gemeinsame Stellungnahme der EDSA und EDSB zum Data Act

Gesetzgebung

Data Governance und Compliance

Gemeinsame Stellungnahme der EDSA und EDSB zum Data Act

In einer gemeinsamen Stellungnahme anfangs Mai 2022 erhoben der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) deutliche Bedenken zum Entwurf des Data Acts, weil der aktuelle Entwurf zu einer Verringerung des Schutzes der Privatsphäre und der Rechte von betroffenen Personen führen werde. Sie fordern zahlreiche Verbesserungen des Entwurfs, um eine bessere Abstimmung mit der DSGVO und anderen Gesetzgebungsvorschlägen im digitalen Bereich zu erreichen, die derzeit von der EU-Kommission geprüft werden.