Neueste Beiträge
- DSK veröffentlicht Bewertung von Pur-Abo-Modellen auf Websites
- Hinweisgeberschutz ist auch Unternehmerschutz!
- BfDI veröffentlicht FAQ zu TrustPID
- EDSA stellt den Entwurf des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework auf den Prüfstand
- Google Web Fonts 2.0: Deutet sich eine neue Abmahnwelle an?
Archive
- April 2023
- März 2023
- Februar 2023
- Dezember 2022
- November 2022
- September 2022
- August 2022
- Juli 2022
- Juni 2022
- Mai 2022
- März 2022
- Januar 2022
- Dezember 2021
- November 2021
- Oktober 2021
- September 2021
- August 2021
- Juli 2021
- Juni 2021
- Mai 2021
- April 2021
- März 2021
- Februar 2021
- Januar 2021
- Dezember 2020
- November 2020
- Oktober 2020
- September 2020
- August 2020
- Juli 2020
- Juni 2020
- Mai 2020
- April 2020
- März 2020
- Februar 2020
- Januar 2020
- Dezember 2019
- November 2019
- Oktober 2019
- September 2019
- August 2019
- Juli 2019
- Juni 2019
- Mai 2019
- April 2019
- März 2019
- Februar 2019
- Januar 2019
- Dezember 2018
- November 2018
- Oktober 2018
- September 2018
- August 2018
- Juli 2018
- Juni 2018
- Mai 2018
- April 2018
- März 2018
- Februar 2018
- Januar 2018
- Dezember 2017
- November 2017
- Oktober 2017
- September 2017
- August 2017
- Juli 2017
- Juni 2017
- Mai 2017
- April 2017
- März 2017
- Februar 2017
- Januar 2017
- Dezember 2016
- November 2016
- Oktober 2016
- September 2016
- August 2016
- Juli 2016
- Juni 2016
- Mai 2016
- April 2016
- März 2016
- Februar 2016
- Januar 2016
- Dezember 2015
- November 2015
- Oktober 2015
- September 2015
- August 2015
- Juli 2015
- Juni 2015
- Mai 2015
- April 2015
- März 2015
- Februar 2015
- Januar 2015
- Dezember 2014
- November 2014
Nachdem die Datenschutz-Grundverordnung am 25.05.2018 in Kraft getreten ist, kursieren bereits die ersten Abmahnungen zu diesem Thema. Besonders bemerkenswert sind allerdings die Forderungsschreiben nach Zahlung eines Schadensersatzes im Falle der Nicht-Verschlüsselung von Kontaktformularen. Was es hiermit auf sich hat, lesen Sie in unserem heutigen Beitrag.
HINTERGRUND
Bislang ist noch umstritten, ob Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) im Rahmen wettbewerbsrechtlicher Abmahnungen verfolgt werden können. Es bleibt abzuwarten, ob die Rechtsprechung einen Verstoß gegen Normen der DSGVO als Wettbewerbsverstoß qualifizieren wird.
Neben den bekannten Abmahnungen führte das Fordern von Schadensersatz bei Verstößen bislang ein Schattendasein. Nunmehr existieren die ersten Forderungsschreiben, welche im Falle von datenschutzrechtlichen Verstößen einen Schadensersatz geltend machen. Hierbei stützen sich die Schreiben auf die Vorschrift des Art. 82 Abs. 1 DSGVO, dieser lautet wie folgt:
„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“
SCHADENSERSATZ BEI DATENSCHUTZVERSTÖßEN
Die geforderten Schadensersatzsummen belaufen sich auf hohe vierstellige bis hin zu fünfstelligen Summen! Hierbei bleibt abzuwarten, ob diese Forderung zum einen gerichtlich geltend gemacht werden und zum anderen wie die Gerichte mit diesen Forderungen umgehen werden. Die IT-Recht Kanzlei betrachtet die Forderungen derart hoher Schadensersatzforderungen als äußerst kritisch.
Zwar ermöglicht die DSGVO im Falle von Verstößen auch die Verhängung von Bußgeldern durch die entsprechenden Datenschutzaufsichtsbehören. Derartige Bußgelder verfolgen allerdings die Intention den Verstoßenden zu disziplinieren und eingetretene Nachteile zu bestrafen.
Schadensersatz wird hingegen nicht Datenschutzaufsichtsbehörden geltend gemacht, sondern von einer natürlichen Person. Notwendig ist hierbei zumindest ein sog. immaterieller Schaden. Ein solcher liegt dann vor, wenn eine Beeinträchtigung des Persönlichkeitsrechts, etwa in Form von psychischen Auswirkungen, der betroffenen Person durch den Datenschutzverstoß, vorliegt. Nach der bisherigen Rechtsprechung genügt für einen immateriellen Schaden allerdings nicht irgendein Eingriff in das Persönlichkeitsrecht des Betroffenen.
Vielmehr ist ein schwerwiegender Eingriff Voraussetzung für einen immateriellen Schaden. Darüber hinaus ist notwendig, dass die Beeinträchtigung nicht in anderer Weise befriedigend ausgeglichen werden kann. Hierbei spielen die persönlichen Befindlichkeiten keine Rolle, vielmehr bemisst sich die schwere einer Persönlichkeitsverletzung an objektiven Kriterien, wie die Bedeutung und Tragweite des Eingriffs, ferner der Anlass und Beweggrund des Verstoßenden sowie der Grad seines Verschuldens.
Es bleibt abzuwarten, ob bzw. in welchen Fällen die Gerichte Schadensersatzansprüche im Falle gewisser Datenschutzverstöße bejahen werden.
VERMEIDUNG VON DATENSCHUTZRECHTLICHEN RISIKEN
Was ist eine SSL-Verschlüsselung?
Das SSL (kurz für: „Secure Sockets Layer“) ist ein hybrides Verschlüsselungsprotokoll, mittels dessen personenbezogene Daten durch die Einbindung von Zertifikaten in Domains kodifiziert und so vor Drittzugriffen bei der Eingabe und im Transferprozess geschützt werden. Die Technologie ist in den letzten Jahren zum weltweiten Verschlüsselungsstandard aufgestiegen und zeichnet sich vor allem dadurch aus, dass sie eine wenig zeit- und kostenintensive Einbettung ermöglicht und die eingegeben Daten mit einem Verfahren verschlüsselt, das – theoretisch – einzig den bestimmungsgemäßen Empfänger zur Dekodierung befähigt.
Der Einsatz der SSL-Verschlüsselung ist für den Nutzer dadurch erkennbar, dass beim Aufrufen der jeweiligen URL das normale Übertragungsprotokoll „http“ um ein „s“ (für das englische „secure“ = sicher) erweitert ist. Auf dem Markt kursieren derzeit verschiedene Zertifikate der SSL-Technologie, deren Vorzugswürdigkeit sich vor allem nach der Struktur der jeweiligen Internetpräsenz bemisst.
Verschlüsselung bereits nach alter Rechtslage gefordert
Das Bayerische Landesamt für Datenschutzaufsicht (LDA Bayern) war bereits unter Geltung des ehemaligen BDSG der Ansicht, dass Webseitenbetreiber die Übertragung sensibler Kundendaten mittels Kontaktformularen verschlüsseln müssten. Zudem forderte die LDA Bayern Webseitenbetreiber zu einer entsprechenden Umstellung der Kontaktformulare auf.
Das LDA Bayern stützte seine Auffassung zur alten Rechtslage auf § 9 BDSG, wonach öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, die technischen und organisatorischen Maßnahmen zu treffen haben, um diese Daten zu schützen. Erforderlich sind solche Maßnahmen allerdings nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.
In der Anlage zu § 9 BDSG war normiert, welche Ziele die Maßnahmen verfolgen müssen. Sie gewährleisteten, dass personenbezogene Daten bei der elektronischen Übertragung, während des Transports oder der Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierfür sind Verschlüsselungsverfahren nach dem Stand der Technik zu verwenden.
Welche Verschlüsselungsverfahren dabei tatsächlich eingefordert werden dürfen, hänge nach der Ansicht der LDA Bayern davon ob, wie der Stand der Technik zu bewerten ist. Die Verwendung einer Verschlüsselung mit „https“ sei inzwischen weit verbreitet und entspreche hierbei den rechtlichen Forderungen des LDA Bayerns.
Verschlüsselung auch nach DSGVO gefordert
Auch unter Geltung der DSGVO sollte eine Verschlüsselung insbesondere bei Kontaktformularen (und des Check-Out-Prozesses) durchgeführt werden:
Art. 5 lit f. DSGVO schreibt bei der Verarbeitung von Daten den sogenannten Grundsatz der Integrität und Vertraulichkeitvor. Danach müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.
Der Grundsatz der Integrität und Vertraulichkeit wird durch Art. 32 Abs. 1 Satz 1 Hs. 2 lit. a und lit. b konkretisiert, der einen Maßnahmenkatalog mit dem Ziel enthält, Gefahren für Daten durch Dritte abzuwehren. Dieser regelt:
„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.“
Zudem nennt Art. 32 Abs. 1 Satz 1 Hs. 2 DSGVO konkrete Maßnahmen, die die Datensicherheit sicherstellen sollen. Dazu gehören
- die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
- die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen.
Hieraus folgt: Das Gesetz erachtet die Verschlüsselung als geeignete technische und organisatorische Maßnahme, um die Datensicherheit sicherzustellen. Dementsprechend müssen Formulare im Online-Shop verschlüsselt sein, damit dort eingegebene Daten nicht abgegriffen werden können.
Wann sollte eine Verschlüsselung stattfinden?
Wie oben bereits herausgestellt, sollte dort, wo personenbezogene Daten verarbeitet werden, eine Verschlüsselung stattfinden. Hierbei sollte also zumindest beim Kontaktformular und im Rahmen des Bestellvorgangs (Check-Out) eine Verschlüsselung der Daten vorgenommen werden.
Grundsätzlich wäre es wohl zielführend, wenn die gesamte Internetseite verschlüsselt wird, da ein Mehraufwand hiefür kaum gegeben ist. Zudem ist auch aus Sicht der Platzierung der eigenen Internetseite in Suchmaschinen zu berücksichtigen, dass Google (wohl) Seiten mit Verschlüsselung besser rankt, als Seiten ohne Verschlüsselung (so zumindest ein Statement von Google aus dem Jahre 2014). Zudem hatte Google bereits anklingen lassen, dass das Internet „safe by defaul“ sein sollte, also „standardmäßig sicher“. Es gibt daher gleich eine doppelte Motivation für Internetseiten-Betreiber, die eigene Seite zu verschlüsseln.
FAZIT
Bereits unter Geltung des BDSG war das LDA Bayern der Auffassung, dass zumindest bei einem Online-Kontaktformular eine SSL-Verschlüsselung vorliegen müsse. Unter Geltung der DSGVO hat sich hieran nichts geändert, gemäß Art. 5 lit f. i.V.m. Art. 32 Abs. 1 Satz 1 Hs. 2 DSGVO wird die Integrität und Vertraulichkeit der Datenverarbeitung gefordert. Diese Vorgabe wird durch die Forderung präzisiert, durch geeignete technische und organisatorische Maßnahmen sicherzustellen, dass ein dem Risiko angemessenes Schutzniveau gewährleistet wird.
Die DSGVO erachtet die SSL-Verschlüsselung als geeignete technische und organisatorische Maßnahme, um die Datensicherheit sicherzustellen. Hiernach sollten Online-Händler im bestmöglichen Fall ihre komplette Internetseite SSL-verschlüsseln, zumindest aber die Bereiche, in denen personenbezogene Daten der Kunden verarbeitet werden, wie das Kontaktformular und der Bestellprozess, sollten SSL-verschlüsselt werden.
Ähnliche Artikel
Richtige E-Mail...
Im vergangenen Monat überprüfte das Bayerische Landesamt für Datenschutzaufsicht...
- By Martin Henfling
- Datenschutz
Datenschutzerklärung für...
Der Anteil von Nutzern, die heutzutage lieber mit dem Smartphone oder Tablet im Internet...
- By Ingo Kaiser
- Datenschutz
Datenschutz und WhatsApp? Wo...
Der Smartphone-Messenger Anbieter WhatsApp steht immer wieder in der Kritik, es mit dem...
- By Ingo Kaiser
- Datenschutz