DSGVO: Streaming-Diensten drohen Strafen in Milliardenhöhe

[h00bi]

Das Problem an der DSGVO ist:
Wer vorher Schindluder mit Userdaten getrieben hat wird das auch weiterhin machen. Also aktives Daten verkaufen an andere Firmen.
Da hilft auch die DSVGO nicht, da hilft nur seine Daten nicht bei jedem Rotz anzugeben.

Dafür hat der Mittelstand und Kleinbetriebe einen neuen Kostenpunkt dazu bekommen mit haufenweise schwammigen Formulierungen und ganz viel Rechtsunsicherheit. Also eigentlich f*ckt die DSGVO die, die noch nie mit Userdaten rumgemurkst haben.

"Kennen Sie einen guten Berater zum Thema DSGVO?"
"Ja"
"Können Sie mir seine e-Mail Adresse geben?"
"Nein!"

 

[timo82]

Nein. Es kommt darauf an, ob der Zahnarzt die Forderung bereits übermittelt hat - nachträglich kann man nicht einfach zurücktreten, du hast ja deine Leistung schon erhalten.
Art. 7 DSGVO Bedingungen für die Einwilligung - dejure.org
"Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. 2Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. 3Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. 4Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein."


Irgendwo muss halt die Grenze gezogen werden, du hast nur drüber nachgedacht, aber ich könnte wetten, dass es genug Idioten gibt, die es versucht hätten.

Ich hätte ja auch 1 Minute nach der Behandlung widerrufen können.

Ist es nicht so, dass ich widerrufen und Löschung verlangen kann?
Bei mir im Unternehmen haben wir es grundsätzlich besprochen.

Wenn Mitarbeiter Max Mustermann von Kunde Musterfirma den Job wechselt und von uns verlangt, dass wir seine personenbezogenen Daten löschen, dann müssen wir das tun.

Unsere Software gibt es weitestgehend her. Wir können löschen, wenn wir die Daten nicht mehr brauchen.
Falls wir sie aufbewahren müssen, dann können wir teilautomatisiert anonymisieren.

E-Mails müsste ich im Posteingang suchen und löschen.

 

[kausu]

Ich glaube nicht, dass man das so einfach durchgesetzt kriegt. Es gibt immerhin eine Grundlage. Eigentlich steht es auch alles im Gesetz

https://dejure.org/gesetze/DSGVO/17.html

b)zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde

Es gibt schließlich Aufbewahrungsfristen für Lohnunterlagen. Sofort alles löschen geht eigentlich nicht. Eure Abeilung wird sich damit sicherlich befasst haben, aber ich sehe nicht, dass man sofort auf Löschung aller Daten bestehen kann.
Gesetzliche Aufbewahrungsfristen mit Rechtsgrundlagen von A bis Z (Tabelle)


Zum Zahnarzt. Die DSGVO ist halt unglaublich schwammig formuliert.

2Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt

Was ist mit Verarbeitung genau gemeint? Muss die Verarbeitung dann unterbrochen werden? Darf der betroffene, muss ja nicht immer ein Zahnarzt sein, evtl. anfallende Kosten einholen? Ist es nicht auch schon eine Verarbeitung, wenn die Angestellte des Zahnarzts die Rechnung geschrieben hat und somit die Übergabe vorbereitet hat?

Gibt sicherlich auch langsame Zahnärzte aber bei meinem wird die Rechnung durch die zweite Kollegin während der Behandlung erstellt. Wenn ich rauskomme ist die schon fertig.

 

[timo82]

@ kausu: wir haben keine Lohnunterlagen von Mitarbeitern unserer Kunden.

Hier wurde besprochen, wie wir damit verfahren, wenn eine Kunde verlangt, dass wir seine Daten löschen.

Es ist klar, dass wir nicht gegen die gesetzliche Aufbewahrungsfrist verstoßen dürfen. Für uns wiegt das Gesetz höher.

Wir hatten bislang weder eine Anfrage, noch eine Bitte, Daten zu löschen, können es aber theoretisch.


Mein Zahnarzt hatte das früher auch so. Wie das jetzt mit Zuzahlung (Zahnreinigung...) ist, weiß ich nicht. Ich lasse die Reinigung nicht mehr machen und Füllungen habe ich nicht.

Die andere Rechnung kam früher nach Wochen per Post (privat versichert).
Wie lange es jetzt dauert, weiß ich nicht. Es wird aber nicht sofort sein, da ich um 19 Uhr zum Arzt gehe. Der Abrechnungsservice hat da sicher geschlossen.

Wenn ich es richtig verstanden habe, übergibt mein Zahnarzt die Daten an den Abrechnungsservice. Die erstellen dann die Abrechnung.
Das ist eine Verarbeitung im Sinne der DSGVO. Dem kann ich widersprechen. Und das geht auch rückwirkend und ohne Gründe.



Ich finde das Gesetz auch nicht durchdacht-

 

[kausu]

Wenn Mitarbeiter Max Mustermann von Kunde Musterfirma den Job wechselt und von uns verlangt, dass wir seine personenbezogenen Daten löschen, dann müssen wir das tun.

Dann habe ich den Satz falsch verstanden. Entschuldige - ich habe das Kunde überlesen.

Das ist eine Verarbeitung im Sinne der DSGVO. Dem kann ich widersprechen. Und das geht auch rückwirkend und ohne Gründe.

Dafür dass das Gesetz den "Normalos" das Leben erleichtern soll, ist es ziemlich wirr. Ich habe folgenden Satz so verstanden,

2Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt

dass man eben nicht rückwirkend zurücktreten kann - besteht dann nur die Frage, wie es weitergeht.

 

[Dracolein]

Das Problem mit der DSGVO ist die viel zu späte mediale Verbreitung und damit verbunden das Staunen aller Betroffenen erst seit Sommer 2018. Die Rahmenbedingungen waren bereits JAHRE zuvor bekannt, nur kümmerte sich niemand drum. Ich halte die DSGVO grundsätzlich (!) für vollkommen richtig. Falsch ist die abrupt notwendige Umsetzung selbiger, wofür die DSGVO an sich jedoch gar nichts kann.

Im übrigen gilt für DSGVO für weitaus mehr, als nur das Internet aus Sicht von uns Nutzern, worüber hier hauptsächlich diskutiert wird.
Beispielsweise müssen Firmen Eure Bewerbungen bei Nichtnutzung binnen eines Zeitraumes XY nach einem fest beschriebenen Schema löschen / vernichten. Alle Mitarbeiter eines jeden Unternehmens - auch solche, die überhaupt keinen Bezug zu Technik haben - müssen in Datenschutz-Grundlagen geschult werden (Bsp: Was passiert, wenn ich eine Abrechnung von Herrn/Frau XY im Pausenraum finde...).
Die grundsätzliche Sensibilität für personenbezogene Daten ist uns völlig abgegangen und das wird nun verstärkt bemerkt. Logisch, dass diverse Gewohnheiten damit kollidieren.

In einigen Jahren ist alles im Fluss und keiner wird sich mehr so drüber aufregen, wie derzeit.

 

[timo82]

@ Kausu: kein Problem, passiert.

Recht auf Löschung ("Recht auf "Vergessenwerden")

1. Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.



Wenn ich wegen b) oder c) die Löschung verlange, bekommt der Arzt Probleme.

 

[kausu]

Das stimmt. Was aber immer völlig von Datenschutzbeführwortern vergessen wird ist, dass es auch mein Recht ist andere Daten zur Verfügung zu stellen und da nützt mir eine europäische Datenschutzverordnung überhaupt nichts, wenn ich mit Diensten aus anderen Drittländern, die keine Standorte in der EU haben, arbeiten will.
Da wird einem einfach die Wahl genommen.
DSGVO: US-Medien sperren EU-Bddeutsche.de

Das wird noch schlimmer werden und alle werden über einen Kamm geschert.

 

[Dracolein]

dass es auch mein Recht ist andere Daten zur Verfügung zu stellen und da nützt mir eine europäische Datenschutzverordnung überhaupt nichts, wenn ich mit Diensten aus anderen Drittländern, die keine Standorte in der EU haben, arbeiten will.
Da wird einem einfach die Wahl genommen.

Faktisch hast Du hier recht, dass du chancenlos bist als Endanwender. Aber dass Dir "die Wahl genommen" wird, ist falsch formuliert. Dein Gegenüber, also dein US-Forum (or whatever nur um ein Bsp zu nennen) hat schlicht entschieden, den bequemeren Weg zu gehen und anstelle von datenschutzrechtlichen Nachbesserungen pauschal die Europäer auszusperren. Das hat NICHT die DSGVO vorgegeben, sondern das war eine Entscheidung des ausländischen Providers.

Gleiches Beispiel weiter oben mit dem Zahnarzt, der Rechnungen von eMail auf Papier umgestellt hat: es war augenscheinlich für ihn zunächst der simplere Weg, die DSGVO einzuhalten. Ist nervig, vielleicht sogar nicht zeitgemäß, aber kann man erstmal so tun, um konform zu sein. Der eigentliche Kern hier ist jedoch viel tiefer anzusiedeln: Im Jahr 2018 (oder jetzt 2019) beherrscht immer noch kaum jemand Technologien für flächendeckende eMail Verschlüsselungen! Auch hier sehe ich nicht die DSGVO als "schuldig", sondern unsere ganzheitliche viel zu lockere Arbeitsweise mit personenbezogenen Daten.

Weiteres Beispiel:
Wieso gibt es nicht flächendeckend bei sämtlichen Behören, Unternehmen, blablupp eine verpflichtende Nutzung von 2-Faktor-Authentifizierung?? Wir haben 2018 und nicht 1990!!! Allseits bekannte Technologien, die aus Bequemlichkeit nicht genutzt werden. Aber hinterher schreien wenn Hacker millionen von Datensätzen klauen.
Selbst meine §()%/% Bank nutzt noch kein 2FA....


DSGVO: US-Medien sperren EU-Bddeutsche.de

Das wird noch schlimmer werden und alle werden über einen Kamm geschert.[/QUOTE]

 

[kausu]

Es geht mir ja nicht nur um das Forum - wobei es ein gutes Beispiel ist - Amazon, Valve, eBay, puh was es sonst noch gibt, sind große Konzerne - die können es sich leisten Anwälte einzustellen, die sich mit der neuen Umsetzung beschäftigen oder gar Tochterfirmen im Ausland gründen.
Aber kleinere Firmen und auch Foren (wobei es noch nicht einmal ein Unternehmen ist, es ist ein privates Forum, welches die Ausgaben halt durch Werbung deckt) haben gar nicht die Möglichkeiten sowas ohne großen Verlust umzusetzen.
Man stülpt allen die gleichen Regeln über ohne auf besondere Umstände einzugehen. Wem hilft es? Den großen mit finanziellen Mitteln.

Von E-Mail Verschlüsselung halte ich persönlich eh nicht viel. Die E-Mail war nie als ein geheimes Übertragungsmedium gedacht. PGP ist für den Privatandwender ein graus und das komfortable S/MIME hat einige Probleme in seinem Design.
Man sollte die E-Mail einfach so lassen wie sie ist, und andere sichere Übertragungsmedien forcieren wie Signal oder sowas.


Dann nochmal ganz direkt doof gefragt. Ich will/wollte meine Daten zur Verfügung stellen. Warum muss mir diese Grundsatzvereinbarung da einen Strich durchmachen, wenn ich doch mit dem US Datenschutz hier einverstanden war. Geht nicht in meinem Kopf.

Selbst meine §()%/% Bank nutzt noch kein 2FA....

Eine meiner Onlinebanken, die ich mittlerweile aus dem Grund nicht mehr groß nutze, hat sogar das Passwort auf 5! Zeichen begrenzt... da nützt auch ein Keepass mit Vorschlägen nix mehr. Die sollten erst einmal sowas überarbeiten, dann kann man sich um 2FA kümmern.

 

[Dracolein]

Es geht mir ja nicht nur um das Forum - wobei es ein gutes Beispiel ist - Amazon, Valve, eBay, puh was es sonst noch gibt, sind große Konzerne - die können es sich leisten Anwälte einzustellen, die sich mit der neuen Umsetzung beschäftigen oder gar Tochterfirmen im Ausland gründen.
Aber kleinere Firmen und auch Foren (wobei es noch nicht einmal ein Unternehmen ist, es ist ein privates Forum, welches die Ausgaben halt durch Werbung deckt) haben gar nicht die Möglichkeiten sowas ohne großen Verlust umzusetzen.

Ich sehe es ja ähnlich wie Du, aber wenn gesetzlich was zum Thema Datenschutz für Endanwender eingeführt wird, dann auch konsequent für alle. Man kann nie jedem Anwendungsfall gerecht werden.

Von E-Mail Verschlüsselung halte ich persönlich eh nicht viel. Die E-Mail war nie als ein geheimes Übertragungsmedium gedacht. PGP ist für den Privatandwender ein graus und das komfortable S/MIME hat einige Probleme in seinem Design.
Man sollte die E-Mail einfach so lassen wie sie ist, und andere sichere Übertragungsmedien forcieren wie Signal oder sowas.

War ja nur ein Beispiel meinerseits. Die eMail ist weltweit ein so etablierter Standard, das wird man nicht mehr abwenden können. Ergo bleibt nur die Option der Nachbesserung.

Dann nochmal ganz direkt doof gefragt. Ich will/wollte meine Daten zur Verfügung stellen. Warum muss mir diese Grundsatzvereinbarung da einen Strich durchmachen, wenn ich doch mit dem US Datenschutz hier einverstanden war. Geht nicht in meinem Kopf.

Bezogen auf das US-Forum? Da macht Dir der Anbieter einen Strich durch die Rechnung, nicht die DSGVO. (Habe möglicherweise deine Frage mißverstanden)

Genau das. Die Menschen wurden den neuen Kommunikationstechniken völlig überrollt und keiner hat auch nur Ansatzweise über die Folgen nachgedacht, bis es eben so schlimm wurde, daß jetzt so stark zurückgerudert werden muß, daß es den Leuten Unanähmlilchkeiten bereitet.

Man schaue sich Instagram & Facebook und alles an. Teenies, die ihr Leben im Minutentakt veröffentlichen, Urlaubsbilder und Wohnorte gleich nebeneinander. Der Einbrecher muss gar nicht mehr tagelang das Haus beobachten; er schaut eben 10 Minuten die letzten Insta-Stories durch und weiß, dass Familie X grade auf Teneriffa Urlaub macht.
Daran ändert die DSGVO nichts - aber ein sensibler Umgang mit sowas gehört meiner Ansicht nach als fester Bestandteil in die Schulausbildung rein - und zwar sofort!

Wir hier im HWForum sind sicherlich nicht die Zielgruppe für Schulungen zu solchen Themen. Aber "die" Anderen da draußen haben Unmengen an Nacholbedarf. Vom Schulkind über Eltern bis hin zu Geschäftsleuten und Managern.

 

[kausu]

Ich sehe es ja ähnlich wie Du, aber wenn gesetzlich was zum Thema Datenschutz für Endanwender eingeführt wird, dann auch konsequent für alle. Man kann nie jedem Anwendungsfall gerecht werden.

Naja es ist schon möglich Gesetze etwas genauer zu formulieren. Anderes Beispiel aber im Gesetz zum Betriebsrat steht auch, dass ein Unternehmen mindestens 5 Angestellte benötigt, in den Steuergesetzen wird auch unterschieden, wer eine Erklärung abgeben muss und wer darf.
Es ist schon möglich.

ar ja nur ein Beispiel meinerseits. Die eMail ist weltweit ein so etablierter Standard, das wird man nicht mehr abwenden können. Ergo bleibt nur die Option der Nachbesserung.

Ehrlich gesagt sehe ich dann die Zukunft nicht in PGP sondern S/SMIME - weniger wegen der Sicherheit sondern des Komforts.

Bezogen auf das US-Forum? Da macht Dir der Anbieter einen Strich durch die Rechnung, nicht die DSGVO. (Habe möglicherweise deine Frage mißverstanden)

Mir fehlt jetzt die Erfahrung, um da die Kosten genau einschätzen zu können aber ich glaube kaum, dass ein private Forum, welches auf Werbeeinnahmen angewiesen ist, finanzieren kann. Ich lasse mich aber gern belehren.

dass Familie X grade auf Teneriffa Urlaub macht.

Theoretisch kann er aber nicht wissen, ob das Licht automatisch eingeschalten wird oder ein Nachbar nachdem Rechten sieht. Ich halte auch nicht viel von Instagram, aber es ist kein Weltuntergang sowas zu nutzen. Facebook habe ich seitdem ich in Berlin wohne, doch zu schätzen gelernt. "Jeder hilft Jedem" hat mir als ungeschickter schon einige kostenlose Hilfen bei Handwerk geholt, "Kostenlos abzugeben" ist auch nett usw. Man kann solche Dienste auch für etwas anderes nutzen, als seinen Lieblingsstar zu stalken.
Früher konnten die Einbrecher auch schon plane, die sind dann halt in den Sommerurlauben, Weihnachtszeit etc. losgezogen - ist jetzt nicht so, als ob die früher nicht auch geplant haben.

 

[heigro]

Ich weiß garnicht wie die das früher gemacht haben, zu der Zeit wo noch Namen auf den Klingelschildern waren.............

 

[passat3233]

Die Klingelschild-Geschichte ist ein typisches Beispiel für die Überreaktion auf die DSGVO.
Zitat DSGVO §2:

Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Bei Klingelschildern werden weder personenbezogenen Daten automatisiert verarbeitet, noch sind Klingelschilder ein Dateisystem.

Die DSGVO betrifft Klingelschilder also gar nicht.

Es gibt auch zahlreiche Ausnahmen:
Art. 2 DSGVO – Sachlicher Anwendungsbereich | Datenschutz-Grundverordnung (DSGVO)

Und was den Kläger in Ö angeht:
Die angefragten Unternehmen sind ihrer Auskunftspflicht nicht oder nicht in vollem Umfang nachgekommen.

Und was das Auslagern von Webseiten etc. auf Servern außerhalb der EU angeht:
Das schützt nicht vor den Bestimmungen der DSGVO, sofern der Betreiber der Webseite seinen Sitz innerhalb der EU hat.

Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.

 

[heigro]

Die Klingelschild-Geschichte ist ein typisches Beispiel für die Überreaktion auf die DSGVO.
Zitat DSGVO §2:

Bei Klingelschildern werden weder personenbezogenen Daten automatisiert verarbeitet, noch sind Klingelschilder ein Dateisystem.

Die DSGVO betrifft Klingelschilder also gar nicht.

Na da hat sich ja einer schonmal festgelegt. Ich zitiere aus der Quelle von WILDE BEUGER SOLMECKE
Rechtsanwälte Partnerschaft mbB

Ob Klingelschilder ein Dateisystem darstellen, ist heftig umstritten, sodass erst eine gerichtliche Entscheidung hier für Klarheit sorgen kann. In Wien jedenfalls ist ein Richter zu dem Ergebnis gekommen, dass die DSGVO anwendbar ist.

 

[passat3233]

Selbst wenn die Klingelschilder ein Dateisystem wären:
Das Entfernen der Klingelschilder ist Unsinn, denn dann wären die Bewohner eines solchen Hauses ja gar nicht mehr erreichbar.
Wo soll der Paketbote denn klingeln, wenn er ein Paket für Herrn Müller hat?
Im Übrigen würde das auch die Schilder auf den Briefkästen genauso betreffen.
Wo soll der Postbote die Post für Herrn Müller einwerfen, wenn an den Briefkästen kein Name dran steht?

 

[kausu]

Nicht das ich jetzt was gegen die Schilder habe, können von mir aus dran bleiben aber dies wäre kein Problem.

Kann jemand spanisch oder war schon mal in Spanien. 7°Izda - bedeutet einfach 7 Etage linkes Apartment. Kein Problem.

Dann steht da halt auf dem Brief nicht mehr Max Mustermann Straße xxx Plz xxx. Nur der Postbote sieht dann den Namen, die Zuordnung erfolgt über die Nummer.


Das funktioniert übrigens in vielen Ländern so - ist jetzt nichts besonderes.

Oder ein anderes Beispiel:
seltsame Adressen | meinMadrid

 

[elcrack0r]

Es tut sich was. Sieht aus als würde man endlich mal das durchsetzen was man so beschließt. Gute Entwicklung.

DSGVO: 50 Millionen Euro Strafe für Google in Frankreich - SPIEGEL ONLINE

 

[kausu]

Ja finde ich auch ganz toll -vielleicht nimmt mir diese österreische NGO dann auch die Wahl ab, ob ich weiterhin Google, Office, Windows, iIOS nutzen darf. Freue mich.