Endlich oder leider? Im Dezember 2021 ist das neue TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) in
Kraft getreten. Die Regelungen aus den beiden ehemaligen Gesetzen „Telekommunikationsgesetz (TKG)“ und
„Telemediengesetz (TMG)“ wurden zusammengelegt. Neben dem Bereich Datenschutz gibt es auch Regelungen bzw.
Vorschriften zu den Bereichen Telemedien und Telekommunikation. Anbieter von Telemedien sind wie folgt definiert: „jede
natürliche oder juristische Person, die eigene oder fremde Telemedien erbringt, an der Erbringung mitwirkt oder den Zugang
zur Nutzung von eigenen oder fremden Telemedien vermittelt“. Da fallen dann doch recht viele Unternehmen, vielleicht
sogar alle heutzutage, darunter. Unter „Telemedien“ fallen auch alle elektronischen Informations- und
Kommunikationsdienste, wie beispielsweise Online-Shops oder Streaming-Dienste (z. B. Netflix, Amazon Prime).
Konkrete Regelungen zum Telemediendatenschutz?
Anbieter von Telemedien haben dabei sicherzustellen, dass:
• die Nutzung von Telemedien die Nutzung des Dienstes jederzeit beendet werden kann.
• die Nutzung der Telemedien gegen Kenntnisnahme Dritter geschützt in Anspruch genommen werden kann.
• eine anonymisierte bzw. pseudonymisierte Nutzung von Telemedien und ihre Bezahlung, sofern dies technisch
möglich und zumutbar ist, möglich ist.
• kein unerlaubter Zugriff auf die für Telemedienangebote genutzten technischen Einrichtungen des Nutzers erfolgt.
• keine weitere Verarbeitung von Daten, die zum Zweck des Jugendschutzes erhoben werden, erfolgt.
• Pflichten zur Herausgabe von Bestandsdaten an Behörden oder auf Grund gerichtlicher Anordnung möglich sind.
Schutz der Privatsphäre?
Gemäß § 25 TTDSG bedarf es einer „echten“ Einwilligung für Cookies und andere Technologien. Wichtig dabei zu beachten
ist, dass sowohl Cookies als auch jegliche Tracking-Möglichkeiten beachtet werden müssen. Dies ist eine Verschärfung
der bisherigen Cookie-Richtlinie. Unternehmen, die ihre Cookies und Weiterleitungen bisher noch nicht (so richtig) im Griff
haben, sollten hier schnellstmöglich anpassen.
Entfällt vielleicht das ewige „Wegklicken“ und Bestätigen von Cookie-Abfragen?
Noch ist es Zukunftsmusik. Aber durch die Einführung eines „Personal Information Management Systems“ (PIMS) in § 26
TTDSG sollen Nutzer zukünftig die Möglichkeit haben, dass Treuhänder ihre Einwilligungen verwalten. Klingt zwar gut, ist
aber noch nicht möglich, da hierfür noch das Eine oder andere geregelt werden muss.
Cookiebot – Das (neue) Problem mit dem Datenschutz
Das Urteil vom Verwaltungsgericht (VG) Wiesbaden am 01.12.2021 hat ein Beben ausgelöst. Verhandlungsgrundlage war
der Einwilligungsmanager Cookiebot des dänischen Anbieters Cybot, welcher personenbezogene Daten wie seine IPAdresse auf Servern in den USA ansässigen Cloud-Unternehmens Akamai Technologies Inc. („Akamai“) rechtswidrig
verarbeitet. Fakt ist, es liegt eine Datenübermittlung in ein Drittland, hier USA, vor.
Gemäß dem „Schrems-II-Urteil“ des Europäischen Gerichtshofs (EuGH) vom 16.07.2020 ist eine Datenübermittlung in die
USA in der Regel nicht datenschutzkonform bzw. bedarf besonderer Beachtung. Die USA gilt nach dem Entfall des „Privacy
Shield“ als unsicheres Drittland, da kein Angemessenheitsbeschluss nach Art. 45 DSGVO für die Übertragung von
personenbezogenen Daten besteht.
Und nun?
Wenn die Entscheidung in der Praxis Fuß fasst und bestehen bleibt, hätte es für viele Unternehmen, die Cookiebot bzw.
ähnlich technisch aufgestellte Dienste nutzen
, weitreichende Folgen.
Grundlage für die Entscheidung durch das Gericht Wiesbaden war, dass Cookiebot ungekürzte IP-Adressen und damit
personenbezogene Daten verarbeitetet hat. Unterstützt wird Cybot durch ein sogenanntes Content Delivery Network
(CDN). Dieses CDN ist ein Verbund von Servern, die die Datenlast weltweit verteilen und somit „schnelleres“ Surfen
ermöglichen.
Eine Abhilfe könnte eine Einwilligung sein. Aber nur theoretisch. Eine Einwilligung zu einem Einwilligung-ManagementTool? Das klingt weniger praktikabel.
Grundsätzlich ist die Verwendung von Cookie-Consent-Bannern als technisch erforderlich anzusehen. Diese Tools haben
ja das Ziel, dass erforderliche Einwilligungen für Cookies und andere Weiterleitungen, wie beispielsweise bei Google
Analytics, Vimeo oder YouTube, eingeholt werden. Die Rechtsgrundlage hierfür ist somit Art. 6 Abs. 1 S. 1 lit. f DSGVO
bzw. § 25 Abs. 2 Nr. 2 TTDSG.
Kann man Cookiebot zukünftig datenschutzkonform nutzen?
Das wird sich zeigen! Die endgültige Entscheidung wird erst im Hauptsacheverfahren getroffen. Dann wird sich zeigen
welche zusätzlichen Maßnahmen gegebenenfalls getroffen werden müssen. Unter Umständen müssen Unternehmen dann
einen anderen Weg einschlagen.
Bußgelder im Oktober?
Es ist nur eine kleine Übersicht! Aber es sind praxisnahe Fälle, die ggf. auch bei Ihnen auftreten können.
• Erfolgreicher Hackerangriff wegen unzureichender TOMs
Behörde: Autoriteit Persoonsgegevens (NL), Branche: Fluggesellschaft
Verstoß: Art. 32 Abs. 1 und 2 DSGVO, Bußgeld: 400.000 Euro
• Verarbeitung technischer Daten mit Personenbezug ohne Rechtsgrundlage
Behörde: Datenschutzaufsichtsbehörde Zypern, Branche: Technik
Verstoß: Art. 5 Abs. 1 lit. a) DSGVO, Bußgeld: 925.000 Euro
• Unrechtmäßige Nutzung von Mitarbeiterdaten
Behörde: Commission Nationale de l’Informatique et des Libertés (F), Branche: Öffentliche Verwaltung/
öffentlicher Nahverkehr
Verstoß: Art. 5 Abs. 1 lit. c) und e) DSGVO, Art. 5 Abs. 2 DSGVO, Art. 32 DSGVO,
Bußgeld: 400.000 Euro
• Keine DSGVO-konforme Einbindung des betrieblichen Datenschutzbeauftragten
Behörde: Commission nationale pour la protection des données (LUX), Branche: Unternehmen mit betrieblichem
DSB
Verstoß: Art. 37 Abs. 7 DSGVO, Art. 38 Abs. 1 und 3 DSGVO, Art. 39 Abs. 1 DSGVO, Bußgeld: 18.700 Euro
• Unzulässige Werbeanrufe und fehlende Informationspflichten
Behörde: Datenschutzaufsichtsbehörde Griechenland, Branche: Telekommunikationsbranche
Verstoß: Art. 6 Abs. 1 DSGVO, Art. 12 Abs. 2 DSGVO, Art. 21 DSGVO, Bußgeld: 20.000 Euro
Fazit?
Es zeigt sich immer wieder, Datenschutz ist kein Einmal-Projekt, es ist immer Bewegung drin. Stetige Anpassungen
aufgrund von gerichtlichen Urteilen bzw. anderen Entwicklungen (auch Einfluss durch Beschwerden bspw.) sorgen dafür,
dass irgendwann mal eingeführte Prozesse oder Dienste geprüft und ggf. angepasst bzw. getauscht werden müssen.
Sie haben Fragen? Melden Sie sich bitte bei uns! Es bleibt spannend!