DSGVO

[radneuerfinder]

https://www.heise.de/newsticker/meldung/DSGVO-Wiener-Klingelschild-Posse-sorgt-in-Deutschland-fuer-Verunsicherung-4195736.html


Update:
https://www.bfdi.bund.de/DE/Home/Kurzmeldungen/Klingelschilder.html

[radneuerfinder]

Tim Cook preist die DSGVO als Vorbild:
https://9to5mac.com/2018/10/24/watch-tim-cooks-speech-about-why-privacy-dignity-and-respect-are-key-tech-issues/

https://m.heise.de/mac-and-i/meldung/Apple-Chef-Tim-Cook-Datensammlung-fuehrt-zu-Ueberwachung-und-Extremisierung-4202018.html
https://m.heise.de/mac-and-i/meldung/Apple-Chef-Datenschutzprobleme-bald-zu-gross-um-sie-zu-beheben-4202736.html

[radneuerfinder]

Wie die EU Cookie Regelung, einfach Zustimmung verlangen und weiter machen wie bisher.

"Die einfachste und eleganteste Lösung also um in datenschutzrechtlicher Hinsicht auf der sicheren Seite zu sein, ist die Einholung einer „Einwilligung“ des Arbeitnehmers":
https://www.anwalt.de/rechtstipps/wann-muss-ich-nach-dsgvo-vom-angestellten-eine-einwilligung-anfordern_134919.html

[MacFlieger]

Ich bezweifle ganz stark, dass das die "einfachste und eleganteste" Lösung ist.
Die hat einige Fallstricke und ist daher gar nicht gut nutzbar:
1. Es geht hierbei sowieso nur um Daten des Arbeitnehmers, die der Arbeitgeber nicht benötigt.
2. Von dieser Einwilligung dürfen keine anderen Verträge oder Ähnliches abhängen (Stichwort Freiwilligkeit und Kopplungsverbot)
3. Die Einwilligung kann jederzeit rückgängig gemacht werden und dann müssen die Daten gelöscht werden.

Die einfachste und eleganteste Lösung ist:
Man speichert nur Daten, die benötigt werden. Dann braucht es keine Einwilligung, das reicht schon als Rechtsgrundlage.

Die Einwilligung ist, gerade auch wegen der Widerrufbarkeit, die in der Praxis schlechteste Möglichkeit von allen.

Und zu den Cookies:
Es gibt IMHO aktuell keine gültige EU Cookie Regelung. Was wir da erleben, ist an vielen Stellen vorauseilender Gehorsam gepaart mit einem Hoax, der sich selber verbreitet.
In Wirklichkeit sind diese Banner Warnungen, dass die jeweilige Seite Schindluder mit den Daten treiben will. Leider schreiben sie es nicht so deutlich. Und korrekt umgesetzt ist das meist auch nicht.

[Florian]

Damit musste ich mich auch beruflich beschäftigen und Macflieger liegt, nach allen was ich eruiert habe, 100% richtig.
Wüsste auch nicht, was ein Arbeitgeber ohne Einwilligung vor der DSVGO über die wirklich notwendigen Daten hinaus speichern hätte dürfen. Löschen muss man - falls möglich und verlangt - auch schon immer.

Wirkliche Änderung, falls man sich vorher an die Regeln hielt: Null.

Bei dieser Richtlinie sieht man mal wieder, in welch aufgeregten Zeiten wir heute leben. Davon profitieren nur Geschäftemacher, die einen dann „beraten“. Zugegeben, die DSVGO ist ein schwer zu durchdringender Moloch. Zeit, sie umzusetzen, war aber echt genug. Und Datenschutzverordnungen gab es auch vorher schon, und die waren auch nicht wirklich Laien-freundlich!

[MacFlieger]

Es hat jetzt das erste Bußgeld gegeben, welches bekannt wurde:
20.000€ für die Chatplattform Knuddels.de

Im Juli 2018 sind durch einen Hackerangriff personenbezogene Daten (u.a. E-Mail-Adressen und Kennwörter) von ca. 330.000 Nutzern erbeutet und im September veröffentlicht worden.
Das Bußgeld gab es dafür, dass die Kennwörter im Klartext gespeichert waren. Seit Jahrzehnten ist es bekannt, dass man Kennwörter nur gesalzen und als Hashwert speichert. Knuddels hatte diese trotzdem im Klartext gespeichert, damit im Chat ein Filter die Eingabe des eigenen Kennwortes verhindern konnte.

Aufsichtsbehörde Baden-Württemberg verhängt Bußgeld von 20.000 €
Erstes Bußgeld in Deutschland nach der DSGVO in Höhe von „nur“ 20.000 EUR verhängt – Eine Einordnung
Passwörter im Klartext: 20.000 Euro Bußgeld nach DSGVO gegen Knuddels.de

[MacFlieger]

Gut dazu passt meiner Meinung nach auch das hier:
Untersuchung: Microsoft Office sammelt Daten und verstößt gegen die DSGVO

Vor allem kann hier anders als bei Knudels nicht darauf plädiert werden, dass man gut mit den Behörden zusammen arbeitet. Ähnlich gelagert auch das Verhalten der anderen großen Datenkraken und der Nutzer von Werbenetzwerken und Marketingfirmen.

Es wäre schön, wenn man sich nun den großen "Sündern" zuwendet, und denen nicht einfach alles durchgehen lässt.
Interessant wären auch Entscheidungen bei den vielen Fällen von "berechtigtem Interesse" bzw. erzwungener Einwilligung, was meiner Meinung nach ohne Nachzudenken immer eingesetzt wird. Denn die Grenze, was ein "berechtigtes Interesse" ist und was nicht, ist leider noch nicht festgelegt.

[Florian]

Ich denke, die Großen kommen auch noch dran.
Könnte allerdings sein, dass man derzeit Trump nicht provozieren will… 

[fränk]

Das Abo meiner Life-Traffic-Funktion in meinem Auto ist nach drei Jahren abgelaufen. Verlängern lässt sie sich nur, wenn man das größere „connect me“ von Mercedes abonniert. In diesem Abo gibt es dann auch die Life-Traffic-Funktion.
Weil mein Auto aber über ein nie aktiviertes „connect me-Abo“ verfügt, ist das nun von meinem Händler, für umme, aktiviert worden und drei Jahre beginnen heute.
Auf meine Nachfrage, ob ich denn Live-Traffic nutzen kann, ohne Daimler permanent meine Position und den Servicestand meines Fahrzeugs mitzuteilen, sagte man mir, dass ich die Dienste einzeln an- und abwählen kann.
Wählt aber nur eine Funktion ab, sind alle anderen auch nicht verfügbar... ein Fall für die DSGVO...

[MacFlieger]

Uber sind 2016 57 Millionen Nutzerdaten gestohlen worden. Das wurde aber erst im Dezember 2017 bekannt. Da Uber nicht wie vorgeschrieben den Diebstahl innerhalb von 72h gemeldet hatte, müssen sie nun 600.000€ Strafe zahlen.

Das gehört zwar nicht 100% zur DSGVO, weil es vor Inkrafttreten der Strafen der DSGVO stattfand, aber ich denke, es passt hier trotzdem ganz gut. Kann gut sein, dass nun mit der DSGVO bei solchen Sachen auch höhere Strafen möglich sind.

Datenleck verschwiegen: 600.000 Euro Strafe in den Niederlanden gegen Uber

[radneuerfinder]

https://www.maclife.de/news/apple-soll-dsgvo-nicht-vollstaendig-erfuellen-100111423.html

[Florian]

Mittlerweile kommt es ja zu Strafen, Milliardenbußgelder waren noch nicht dabei.

Gegen Kleine, die sich recht blöd angestellt haben:
https://www.heise.de/newsticker/meldung/DSGVO-5000-Euro-Bussgeld-fuer-fehlenden-Auftragsverarbeitungsvertrag-4282737.html
Gegen die große Datenkrake, noch wenig bedrohliche Strafe:
https://www.heise.de/newsticker/meldung/DSGVO-Verstoesse-Frankreich-verhaengt-Millionen-Strafe-gegen-Google-4283765.html

[MacFlieger]

Gegen Kleine, die sich recht blöd angestellt haben:
https://www.heise.de/newsticker/meldung/DSGVO-5000-Euro-Bussgeld-fuer-fehlenden-Auftragsverarbeitungsvertrag-4282737.html

Die haben sich wirklich blöd angestellt und sind selber Schuld, meiner Meinung nach.
Sie arbeiten mit einem Partner zusammen und müssen daher mit diesem einen Auftragsverarbeitungsvertrag schliessen. Auch nach mehrfacher Nachfrage stellt dieser Partner keinen Vertrag zur Verfügung. Die Datenschutzbehörde erteilt ihnen die Auskunft, dass sie auf jeden Fall einen Vertrag brauchen und auch selber einen Vertrag erstellen können. Das verweigern sie, weil es Arbeit und Geld kostet. Sie wissen ganz genau, dass sie so nicht arbeiten dürfen, machen aber einfach weiter. Deshalb kam es dann zu einem Bußgeld.
Sie hätten mehrere Optionen gehabt:
1. Selber einen Vertrag erstellen und den Partner unterschreiben lassen. Wenn der das nicht macht, bleibt noch Option 2.
2. Einen anderen Partner beauftragen. Wenn sich der Geschäftspartner weigert, sich an geltendes Gesetz zu halten, muss man sich eben einen neuen Partner suchen.

Gegen die große Datenkrake, noch wenig bedrohliche Strafe:
https://www.heise.de/newsticker/meldung/DSGVO-Verstoesse-Frankreich-verhaengt-Millionen-Strafe-gegen-Google-4283765.html

Das ist schon mal ein Anfang. Auch wenn immer die Maximalstrafen genannt werden: Es ist nicht Ziel der DSGVO jeweils die Maximalstrafe einzuziehen, sondern den datenschutz zu verbessern. Es wurde von Anfang an gesagt, dass man zunächst mit keinen/geringen Strafen in einem Fall anfängt und die Maximalstrafen dann für Firmen sind, die sich trotz Aufforderung weiter falsch verhalten.

[fränk]

Eine Blüte zur DSGVO:

Ich brauchte einen Entschäumer, kleines Gebinde, Warenwert um die 25,-€.
Im Netz wurde ich schnell fündig, allerdings war die Internetseite der Firma eine langsame und unübersichtliche Katastrophe. Ich rufe also an und die Sekretärin eröffnet mir, dass ich, im Fall einer Bestellung, unbedingt meine Umsatzsteuer ID angeben muss. Auf meine Frage warum, antwortet sie: Wegen dem neuen Datenschutz, sie müsse die Umsatzsteuer ID abfragen.

Ich habe dann ohne die Angabe der Umsatzsteuer-ID, per Mail bestellt und siehe da...sie liefern.

[MacFlieger]

Die haben sich wirklich blöd angestellt und sind selber Schuld, meiner Meinung nach.

Evtl. bin ich an der Stelle auch zu voreilig.
Es gibt durchaus Stimmen, dass hier gar keine Auftragsverarbeitung vorliegt und daher kein Vertrag nötig ist. Beurteilen kann ich das nicht.
Allerdings würde ich mit einem Partner, der sich auf meine Anfrage zu einem Vertrag nicht rührt und wenigstens zurückmeldet, dass man keinen benötigt, nicht zusammen arbeiten. Die betroffene Firma war ja der Meinung, dass ein Vertrag notwendig wäre und hat auf dieser Basis weiter gearbeitet ohne einen zu haben. So ganz unschuldig sind sie dann auch nicht.

Ich rufe also an und die Sekretärin eröffnet mir, dass ich, im Fall einer Bestellung, unbedingt meine Umsatzsteuer ID angeben muss. Auf meine Frage warum, antwortet sie: Wegen dem neuen Datenschutz, sie müsse die Umsatzsteuer ID abfragen.

Na da wüßte ich aber gerne, warum das so sein soll. Dazu fällt mir gar nichts ein.
Steuergründe, Produktsicherheitsgründe etc. könnte ich mir vorstellen, aber Datenschutzgründe?