Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Vortrag der ULD-Leiterin Marit Hansen auf der NordSec 2015 in Stockholm zu "Protection Goals for Privacy Auditing and Privacy Engineering" (Englisch)

Zu dem heute vom Bundestag verabschiedeten Gesetz zur „Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten“, mit dem die Vorratsdatenspeicherung von Telekommunikations-Verkehrsdaten wieder eingeführt wird, erklärt die Landesbeauftragte für Datenschutz Schleswig-Holstein, Marit Hansen:

„Auch mit dieser gesetzlichen Neuauflage der Vorratsdatenspeicherung wird massiv in die Grundrechte eingegriffen: Betroffen ist jede Nutzerin und jeder Nutzer von Telekommunikationsdiensten, ganz unabhängig davon, ob es einen Anlass dafür gibt. Nicht einmal die Kommunikation in besonderen Vertrauensbeziehungen sind von der Speicherung ausgenommen, beispielsweise das Telefongespräch mit der Ärztin oder das Fax vom Rechtsanwalt. Zwar sollen die Inhalte nicht gespeichert werden. Doch die gespeicherten Verkehrsdaten – zehn Wochen für Internet- und Telefonnutzungsdaten und vier Wochen für Standortdaten –  sind oft ebenso aufschlussreich wie die Inhalte. Denn aus ihnen lässt sich ablesen, mit welchen Personen die Betroffenen wie oft kommunizieren und wann sie sich an welchen Orten aufhalten. Daraus lassen sich das soziale Beziehungsgeflecht einer Person und ihr Bewegungsprofil ableiten. Auch Rückschlüsse auf Inhalte sind häufig anhand der Kenntnis über Gesprächspartner möglich. Hinzu kommt, dass – anscheinend aus technischen Gründen – doch in einem Fall Inhalte gespeichert werden: bei den versandten SMS-Nachrichten.

Vortrag der ULD-Leiterin Marit Hansen auf der Landesdatenschutzkonferenz Rheinland-Pfalz "Datenschutz und Datensicherheit in Unternehmen und Wirtschaft"  in Mainz zu "Datenschutz-Audit und Gütesiegel – Vorteile für Unternehmen, Erfahrungen und neue Entwicklungen auf europäischer Ebene"
 

Nachdem der Generalanwalt des Gerichtshofs der Europäischen Union (EuGH) bereits mit deutlichen Worten die Safe-Harbor-Grundsätze für unzureichend befunden hat (siehe Pressemitteilung des ULD vom 23.09.2015), hat der EuGH mit Urteil vom 06.10.2015 die Safe-Harbor-Entscheidung ausdrücklich für ungültig erklärt. Unternehmen, die personenbezogene Daten an US-amerikanische Geschäftspartner und Auftragnehmer übermitteln, können sich von nun an nicht mehr auf die Safe-Harbor-Grundsätze stützen. 

• Position Paper as PDF
• German Version

This Position Paper addresses public and private bodies in Schleswig-Holstein in their function as controllers responsible for the collection, processing or use of personal data [in the context of section 3, para. 7 BDSG (German Federal Data Protection Act) and section 2, para. 3 LDSG (State Data Protection Act of Schleswig-Holstein)]. The Unabhängiges Landeszentrum für Datenschutz (ULD) of Schleswig-Holstein aims to explain the appropriate consequences following the “Schrems”/Safe Harbor Judgment of the Court of Justice of the European Union (CJEU) in case C-362/14.

First, this paper clarifies which statements the CJEU has or has not taken in its judgment. Second, the position paper takes a stand on the question of what options for action are available to the European Commission in line with the judgment. Third, it considers on which legal basis a transfer of personal data to the United States can or cannot be taken into consideration, and, fourth, how to deal with Standard Contractual Clauses  for transfers to the United States. Fifth, and finally, it discusses the impact of the court decision – as far as is currently conceivable – on ULD’s enforcement action.

Schleswig-Holsteinische Unternehmen, die personenbezogene Daten an Geschäftspartner oder Auftragnehmer in die Vereinigten Staaten von Amerika übermitteln, haben sich bisher vor allem auf „Safe Harbor“ („Sicherer Hafen“) berufen: Die Europäische Kommission hatte im Jahr 2000 eine Übermittlung personenbezogener Daten an US-amerikanische Unternehmen für zulässig erklärt, sofern sich diese den Vorgaben der sogenannten Safe-Harbor-Grundsätze unterwerfen. 

Die Grundsätze dieser Safe-Harbor-Entscheidung werden seit mehreren Jahren erheblich von den Datenschutzaufsichtsbehörden kritisiert. Sie ermöglichen keine befriedigende Kontrolle für Betroffene, werden nur unzureichend durchgesetzt und sind vor dem Hintergrund der willkürlichen Überwachungsmaßnahmen der US-amerikanischen Geheimdienste nicht dazu geeignet, ein angemessenes Schutzniveau für Betroffene zu gewährleisten. Aus diesem Grund hat die Konferenz der Datenschutzbeauftragten des Bundes und der Länder im März 2015 auf Initiative des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) in einer Entschließung darauf hingewiesen, dass die Safe-Harbor-Entscheidung keinen ausreichenden Schutz für das Grundrecht auf Datenschutz bei der Übermittlung personenbezogener Daten in die USA biete.

Dieser Auffassung hat sich nun auch der Generalanwalt des Europäischen Gerichtshofs (EuGH) in dem Verfahren des österreichischen Studenten Max Schrems gegen die irische Datenschutzaufsichtsbehörde angeschlossen. Der EuGH hat in diesem Verfahren über die Frage zu entscheiden, ob die irische Aufsichtsbehörde verpflichtet war, auf Beschwerde des Studenten hin gegen die Facebook Ltd. tätig zu werden. Die irische Aufsichtsbehörde hatte dies mit Verweis auf die ausreichende Schutzwirkung der Safe-Harbor-Grundsätze verneint. Der daraufhin angerufene Irish High Court hat diese Rechtsfrage dem EuGH vorgelegt.

Mit der Bestellung von Barbara Körffer als Stellvertreterin der Landesbeauftragten für Datenschutz Marit Hansen ist die neue Leitung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) nun komplett.

Die parteilose Juristin Barbara Körffer bringt eine langjährige berufliche Erfahrung im Datenschutz mit und ist sowohl mit dem ULD als auch mit der öffentlichen Verwaltung und der Wirtschaft in Schleswig-Holstein bestens vertraut. Nach Jurastudium in Hamburg und Rechtsreferendariat in Schleswig-Holstein hat sie ihre berufliche Laufbahn vor 13 Jahren im ULD begonnen und seitdem Erfahrungen im Datenschutzbereich auf Landes- und Bundesebene gesammelt. Unterbrochen von einer zweijährigen Tätigkeit im Datenschutzreferat des Bundesministeriums der Justiz hat sie im ULD als Referatsleiterin vor allem den Bereich Polizei, Justiz und Verfassungsschutz bearbeitet.

Die abgelaufene Amtszeit von Dr. Thilo Weichert als Landesbeauftragter für Datenschutz Schleswig-Holstein wurde heute im Schleswig-Holstein-Saal des Landtags gewürdigt. Gleichzeitig wurde Marit Hansen als seine Nachfolgerin im Amt begrüßt. Nachfolgend einige Fotos der Veranstaltung:

Angriffe auf informationstechnische (IT) Systeme gehören zur Tagesordnung. Wer seinen Rechner nicht schützt, kann schnell Probleme mit Viren und Trojanern bekommen. Dass PCs und Smartphones nicht besonders sicher sind, haben die meisten schon einmal gehört. Aber wie sieht es mit den IT-Infrastrukturen aus, also den Systemen und Verfahren, die als Rückgrat der digitalen Welt und als Fundament für vielfältige Anwendung dienen? Wie vertrauenswürdig sind diese Infrastrukturen, beispielsweise für E-Mail, E-Commerce oder elektronische Angebote der Verwaltung angesichts der Bedrohungen durch Cyber-Kriminelle und der Ausspähung und Manipulation durch Geheimdienste? Und wie lässt sich mehr Vertrauenswürdigkeit erreichen?

Am Mittwoch, 15.07.2015, hat der Schleswig-Holsteinische Landtag Marit Hansen zur Landesbeauftragten für Datenschutz gewählt. Marit Hansen war seit 2008 die Stellvertreterin von Dr. Thilo Weichert, der über zwei Amtsperioden das Amt des Landesbeauftragten für Datenschutz ausgefüllt hat und davor ebenfalls als Stellvertreter tätig war. Nach insgesamt 17-jähriger Arbeit für die Datenschutzbehörde verlässt er nun das Unabhängige Landeszentrum für Datenschutz (ULD). In seiner Amtszeit entwickelten sich soziale Netzwerke, Web 2.0, Cloud Computing und Big Data, deren Datenschutzfragen er als einer der ersten in Publikationen und Vorträgen behandelte. Mit seiner Dienststelle ermittelte er in mehreren Datenschutzskandalen, wie beispielsweise dem Missbrauch von Kontodaten durch Call-Center.