Datenschutz: Das ist der aktuelle Stand
Photo by Nathan Dumlao on Unsplash
Datenschutz: Das ist der aktuelle Stand
Ein großes Datenschutzupdate gab es bei unserem Netzwerktreffen am 14. November um 16 Uhr im Van den Berg-Gewürzhaus in Graz. Ursula Illibauer, Datenschutzexpertin der WKÖ, gab Auskunft über aktuelle Themen, Entwicklungen und Entscheidungen. Fazit: Die Arbeit für Agenturen wird in Zukunft etwas einfacher, aber es gibt immer noch etliche datenschutzrechtliche Baustellen, die auch zu Fallen werden können. Das Wichtigste ist, die Kundinnen und Kunden über alles transparent zu informieren.
Zuerst eine sehr gute Nachricht: Seit Juli 2023 ist der Datentransfer in die USA wieder möglich, nämlich durch das EU-US Data Privacy Framework (DPF), einem Vertrag, den die EU-Kommission mit der US-Regierung ausgehandelt hat. Es gibt eine online abrufbare Liste all jener US-Unternehmen, die sich einer freiwilligen Selbstzertifizierung unterzogen haben und mit Daten gesetzeskonform umgehen, sprich die DSVGO einhalten – dazu gehört etwa auch Google, was einen wichtigen Meilenstein in Sachen Datenschutz darstellt. In dieser DPF-Liste lässt sich abgleichen, ob der „Purpose of Data Collection“ mit dem eigenen Verarbeitungszweck übereinstimmt.
Meta: weiterhin mit Vorsicht zu genießen
Die Zusammenarbeit mit Meta, also in erster Linie Facebook und Instagram, bleibt weiterhin schwierig. Der Datentransfer in die USA ist mittlerweile zwar unproblematisch, aber Meta agiert weltweit und das Kerngeschäft ist nun einmal die Verarbeitung personenbezogener Daten, etwa personalisierte Werbung. Unternehmen, die Meta-Dienste nutzen (Business-Tools, Plugins, Accounts, Fanpages, Themenseiten, Werbung), sind weiterhin mitverantwortlich und haftbar. Ein alternativ angebotenes Abo, auch „Pay or Okay“-Modell genannt, wie etwa von Tageszeitungen angeboten und auf Instagram unlängst eingeführt, klingt zwar sehr gut, kann aber auch problematisch werden, weil die Verarbeitung der Daten sehr weitreichend und pauschal implementiert ist, das bedeutet, man weiß nicht, was tatsächlich mit den Daten passiert. Fazit: Wer weiterhin mit Meta arbeitet, muss sich gut und ganzheitlich informieren und dann eine Entscheidung über die weitere Nutzung treffen. Agenturen haben hier eine besondere Verantwortung und auch eine Warnpflicht: Sie müssen ihre Kundinnen und Kunden über die datenschutzrechtlichen Probleme, die sich aus der Nutzung von Meta ergeben, informieren.
Google Fonts: Aktueller Stand bei den Abmahnungen
Zu den Massenabmahnungen zu Google Fonts, ausgehend von einem einzigen Anwalt im Namen einer einzigen Mandantin, gibt es ebenfalls Neuigkeiten. Zur Erinnerung: Der Anwalt verschickte rund 40.000 Abmahnungen auf 100 Euro Schadenersatz / 90 Euro Kostenersatz wegen der dynamischen Einbindung von Google Fonts auf Webseiten, da die IP-Adressen der User:innen in die USA weitergegeben werden. Ermittlungen wegen gewerbsmäßigen Betrugs sind bei der WKStA sowohl gegen den Anwalt als auch die Mandantin anhängig, dazu kommt ein Disziplinarverfahren bei RAK NÖ gegen den Anwalt und diverse weitere Verfahren vor den Zivilgerichten, um abklären zu lassen, ob überhaupt dem Grunde nach Schadenersatz zustehen könnte. Der Fall betraf den Datentransfer in die USA, was jetzt mit dem neuen Abkommen nicht mehr relevant ist. Derzeit ist die Verwendung von Google Fonts auch abseits der lokalen Einbindung wieder unproblematisch.
Cookie-Banner: keine Angst vor Post von „NOYB“
Bei „schlechten“ Cookie-Bannern gab es auch immer wieder Beanstandungen, also etwa wenn der „JA“-Knopf grün und dreimal so groß ist wie der graue „NEIN“-Knopf, das Impressum und die Datenschutzrichtlinien nicht abrufbar sind oder die Einwilligung nicht widerrufen werden kann etc. Das „NOYB – Europäisches Zentrum für digitale Rechte“ (von Englisch „none of your business“ – „geht dich nichts an“) von Max Schrems kommt aber ohne die klassischen, kostenpflichtigen Abmahnungen aus, sondern weist die betroffenen Unternehmen darauf hin, ihre Cookie-Banner upzudaten. Unser Tipp: Einfach machen.
KI: Warten auf konkrete EU-Regelungen
Eine neue Taskforce im europäischen Datenschutzausschuss beschäftigt sich mit der Verwendung von ChatGPT und anderen KI-Diensten. Denn man darf nicht vergessen, dass der Dienst im Hintergrund personenbezogene Daten verarbeitet. Ziel ist, den Einsatz „datenschutzfreundlich“ zu gestalten, ihn aber nicht zu unterbinden. Der „AI Act“, also die Verordnung des Europäischen Parlaments, wird in jedem Fall kommen. Er wird den Begriff KI sehr weit fassen und möchte darauf hinarbeiten, dass KI „sicher, transparent, nachvollziehbar, nichtdiskriminierend und umweltfreundlich“ sein soll. Tipp für die Agenturen: Wenn KI verwendet wird, sollte man das in die AGBs schreiben und gemeinsam mit den Kundinnen und Kunden eine Vereinbarung über die Verwendung von KI unterschreiben.
Links:
EU-US Data Privacy Framework:
https://commission.europa.eu/document/fa09cbad-dd7d-4684-ae60-be03fcb0fddf_en
Data Privacy Framework List
https://www.dataprivacyframework.gov/s/participant-search
Gesellschaft für Datenschutz und Datensicherheit
www.gdd.de
Infoseite der Bundessparte Information und Consulting
www.it-safe.at
NOYB – Europäisches Zentrum für digitale Rechte
https://noyb.eu/de
