Wochenrückblick KW 15/18 – 5 Beiträge zur DSGVO

Wichtige Anpassungen bei Google Analytics

Christoph Pech berichtet auf Onlinehändler News von zwei neuen Funktionen zur Datenspeicherung. So solle es Nutzern von Google Analytics (GA) möglich sein, die Dauer zu begrenzen, für die Nutzerdaten bei Google gespeichert bleiben. Nicht betroffen sind nach der Löschung Reports, die auf aggregierten Daten bestehen. Weiter soll es möglich sein, die kompletten Daten eines Nutzers über ein spezielles Tool zu löschen. Hinzu kommen weitere Möglichkeiten zur Anpassung der Cookie Einstellungen, und zur IP Anonymisierung. Entsprechend wurden die Nutzervereinbarungen mit EU Nutzern aktualisiert. 

DSGVO wird für Phishing missbraucht

Immer häufiger hört man davon, dass Betrüger die Verunsicherung vieler ausnutzen, um Daten abzufischen. So warnt das PC Magazin ausdrücklich davor auf Phishing Attacken bzgl. Paypal Datenabgleich hereinzufallen.   Dabei bezieht sich das Magazin auf einen Beitrag von Mimikama, in welchem ein Screenshot des Phishing Mails und Verhaltensregeln im Umgang mit Phishing Attacken veröffentlicht wurden.  

DSGVO und die Gesundheitsbranche

Oliver Schonschek und Peter Schmitz berichten auf Security Insider über Veränderungen, die die DSGVO für die Gesundheitsbranche bringt. Es ändert sich zunächst für diese Branche, was sich auch für andere Branchen ändert - es braucht Einwilligungen, sofern kein Erlaubnistatbestand vorliegt, also eine andere gesetzliche Grundlage oder berechtigte Interessen. Darüber hinaus gibt es aber erhöhte Anforderungen bei der Verarbeitung von sensiblen Daten, sofern diese vermehrt bearbeitet werden und einen Datenschutzbeauftragten erforderlich machten und bezüglich Datensicherheit, bzw. Meldepflicht bei Data Breaches. 

Allerdings schätze ich die Erfordernis einer Folgeabschätzung für viele Unternehmen der Gesundheitsbranche, wie z.B. Arztpraxen eher nur in Ausnahmefälle für gegeben. Davon abgesehen, dass bspw. in Österreich die Datenschutzbehörde die sog. Black-White Liste noch nicht vorgelegt hat und dies auch bis Juli nicht zu erwarten sein wird. Darin soll letztlich festgelegt werden, wer und unter welchen Bedingungen eine Folgenabschätzung erforderlich sein wird.

DSGVO greift bei KI und Algorithmen zu kurz

Algorithmen bestimmen im Wesentlichen die Verarbeitung von personenbezogenen Daten bei großen Datenmengen. Entsprechend interessant ist es, dass Christian von Eichborn von der Bertelsmann Stiftung darauf hinweist, dass eine automatisierte Entscheidungsfindung von der DSGVO nicht im erforderlichen Maße betroffen sein könnte. Er schreibt: Die DSGVO wird nur für einen kleinen Teil der bereits heute eingesetzten ADM-Systeme (algorithmic decision making, kurz: ADM) wirksam. Zudem lassen sich durch die individuellen Auskunftsrechte der DSGVO keine systematischen Mängel oder Diskriminierungen ganzer Personengruppen aufdecken.  

Personalmangel bei Aufsichtsbehörden

In Deutschland fehlen gut 100 Personalstellen, um wirksam die DSGVO durchsetzen zu können. Im bisherigen Umfang gelinge es kaum, den Herausforderungen des bis dato geltenden BDSG nachzukommen.  

In Österreich ist die Datenschutzbehörde mit gerade einmal 27 Planstellen, inklusive Sekretariat kaum in der Lage ihre Aufgabe gemäß DSG 2000 zu erfüllen. Zwar sind zusätzliche Personalstellen zugesagt, aber es bleibt zu befürchten, dass das bei weitem nicht ausreichend sein wird. Entsprechend hält sich die Vermutung, dass die österreichische Politik, die als eines von zwei Mitgliedsländern gegen die DSGVO gestimmt hat, auf diese pragmatische Art die EU Datenschutz-Grundverordnung unterlaufen könnte und auszuhebeln versucht. Das ist durchaus vorstellbar, wohl aber nur in gewissem Umfang möglich. Denn die DSGVO sieht neben Beschwerden an die Datenschutzbehörde auch die Privatklage vor. Zudem erledigen sich Beschwerden nicht dadurch, dass diese nicht bearbeitet werden. Anders ist es mit der selbst veranlassten Prüfung. Hier wird für die DSB der Handlungsspielraum eng. Es wird daher darauf ankommen, dass möglichst viele Betroffene von ihren Rechten Gebrauch machen und sich an die DSB wenden, sofern es zu Verletzungen ihrer Rechte nach der DSGVO kommt.

Der Gesetzestext der DSGVO, EU-Lex