Datenrecht.at

Yesterday, the EDBP has issued its Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s), which has been adopted on 7 October 2024. The opinion is based on certain questions from the Danish SA which seem to be - at least partly - based on the findings of the first coordinated enforcement action within the Coordinated Enforcement Framework (CEF) regarding use of cloud services in the public sector. Therefore, the opinion is of relevance to all controllers whose processing activities are fully or parlty “outsourced” to cloud service providers (processors and their sub-processors).

Some quick excerpts (highlighting is mine):

• Margin no 25: In cases where the controller decides to accept certain sub-processors at the time of the signature of the contract, a list of approved sub-processors should be included in the contract or an annex thereto. The list should then be kept up to date, in accordance with the general or specific authorisation given by the controller. […]
• No.28: This means that the information relating to the identification of all of the processor’s sub-processors should be easily accessible to the controller. […]
• No. 31: While this is not explicit in these provisions, the Board considers that for the purpose of Article 28(1) and 28(2) GDPR, controllers should have the information on the identity of all processors, sub-processors etc. readily available at all times27 so that they can best fulfil their obligations under the provisions mentioned above. […]
•  No. 32: To this end, the processor should proactively provide to the controller all information on the identity of all processors, sub-processors etc. processing on behalf of the controller, and should keep this information regarding all engaged sub-processors up to date at all times.
• No 88: As a first step, where personal data will be transferred to third countries in connection with the use of (sub-)processors, the controller should assess and be able to show documentation relating to the transfer mapping. The controller should ensure that a transfer mapping is carried out by the exporter (which processes personal data on its behalf), setting out which personal data are transferred (including remote access), where, and for which purposes. […]

Diese Dokumente (auszugsweise wiedergegeben), die (dazu eher spärlich vorhandene) Kommentarliteratur und natürlich der Wortlaut der DSGVO haben mich bei der Beantwortung einer diesbezüglichen Anfrage unterstützt - mehr dazu vielleicht als Publikation:

• EDPB, Guidelines 9/2022 on personal data breach notification under GDPR, https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf
• EDPB, Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten, https://www.edpb.europa.eu/system/files/2022-09/edpb_guidelines_012021_pdbnotification_adopted_de.pdf
• Hamburger LfDI, Umgang mit Data-Breach-Meldungen nach Art. 33 DSGVO, https://datenschutz-hamburg.de/fileadmin/user_upload/HmbBfDI/Datenschutz/Informationen/Vermerk_Data_Breach_2023.pdf
• ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches, https://op.europa.eu/en/publication-detail/-/publication/dd745e70-efb8-4329-9b78-79020ec69da5
• BayLDA, Meldepflicht und Benachrichtigungspflicht des Verantwortlichen (2019), https://www.datenschutz-bayern.de/datenschutzreform2018/OH_Meldepflichten.pdf

Der EDPB trifft zumindest zur Downtime wegen einer geplanten Maintenance eine klare Aussage:

Wenn personenbezogene Daten aufgrund einer geplanten Systemwartung nicht verfügbar sind, ist dies keine „Sicherheitsverletzung“ im Sinne von Artikel 4 Absatz 12 der Datenschutz-Grundverordnung.

Und was in der Praxis manchmal übersehen wird - zur Dokumentation eines Vorfalls, auch wenn keine Meldung erforderlich ist führt der EDPB in Rz 22 seiner Guidelines 9/2022 aus:

Wie bei einem dauerhaften Verlust oder einer Zerstörung personenbezogener Daten (oder auch bei jeder anderen Art von Datenschutzverletzung) sollte eine Datenschutzverletzung, die mit einem vorübergehenden Verlust der Verfügbarkeit einhergeht, gemäß Artikel 33 Absatz 5 DSGVO dokumentiert werden. Dies hilft dem für die Verarbeitung Verantwortlichen, gegenüber der Aufsichtsbehörde, die möglicherweise Einsicht in diese Aufzeichnungen verlangt, seine Verantwortlichkeit nachzuweisen.

Das Landgericht Hamburg (LG Hamburg 27.09.2024, 310 O 227/23) hat in einem interessanten Verfahren zur Erstellung von KI-Trainingsdatensätzen das erstinstanzliche Urteil erlassen (Hintergründe aus Klägersicht u.a. hier und hier). Die Beklagtenvertreterin hat sich bereits dazu geäußert und sieht darin

einen wichtigen Meilenstein für die Forschung im Bereich der generativen Künstlichen Intelligenz dar, da es die die legale Nutzung von urheberrechtlich geschützten Bildern für Trainingsdatensätze wie „LAION 5B“ bestätigt.

Im Kern ging es in diesem Gerichtsverfahren um die Ausnahme für Text- und Data-Mining (kurz „TDM“) in Art 2 Z 2, Art 3, 4 und 7 DSM-RL, welche die im Rahmen des KI-Trainings vorgenommenen Vervielfältigungen unter bestimmten Voraussetzungen gestatten soll. Die TDM-Ausnahme wurde in Deutschland u.a. in § 60d UrhG (Text und Data Mining für Zwecke der wissenschaftlichen Forschung) umgesetzt, in Österreich mit § 42h UrhG.

Ohne Urheberrechtsexperte zu sein, stellt sich mir die Frage, wie weit diese Ausnahme reicht, also was von wissenschaftlicher Forschung (in Österreich: “wissenschaftliche oder künstlerische Forschung”) umfasst ist - eine Frage, die sich übrigens auch unter der DSGVO stellt, siehe hierzu unlängst die deutsche Datenschutzkonferenz zum Begriff der “wissenschaftlichen Forschungszwecke”. Besonders wichtig - und mE nicht abschließend geklärt - ist dabei die (spätere) Überführung in die kommerzielle Verwertung, woran der ursprüngliche Urheber wohl kaum mitpartizipieren wird …

Was lernt man daraus? Wenn man das Scraping auf dem eigenen Webauftritt untersagen möchte, ist die Verwendung einer (maschinenlesbaren) “robots.txt” und am besten auch ein schriftlicher Nutzungsvorbehalt (siehe hier bei Heise im Impressum) erforderlich, mehr dazu (samt Anleitung) u.a. hier und (paywalled) bei Heise (die Artikel-Links sind frei abrufbar) - zwar kein perfekter Schutz, aber immerhin …

Die Europäische Kommission hat am 25.7.2024 ihren Zweiten Bericht zur Anwendung der Datenschutz-Grundverordnung (DSGVO), COM(2024) 357 final, veröffentlicht (hier findet man die zuvor ergangenen Rückmeldungen aus der Zivilgesellschaft zur Sondierung). Der vorliegende Bericht ist der zweite Bericht der Kommission über die Anwendung der Datenschutz-Grundverordnung (DSGVO), der gemäß Artikel 97 DSGVO angenommen wurde; den ersten Bericht findet man hier: COM/2024/357 final.

Laut Kommission muss der Fokus auf folgende Elemente gerichtet werden, damit die Ziele der DSGVO erreicht werden:

• solide Durchsetzung der DSGVO, beginnend mit der raschen Annahme des Vorschlags der Kommission über Verfahrensregeln, um in Fällen, die Einzelpersonen in der gesamten EU betreffen, schnelle Rechtsbehelfe und Rechtssicherheit zu schaffen;
• aktive Unterstützung von Interessenträgern, insbesondere KMU und kleinen Marktteilnehmern, durch die Datenschutzbehörden bei ihren Bemühungen um Einhaltung der Vorschriften;
• einheitliche Auslegung und Anwendung der DSGVO in der gesamten EU;
• wirksame Zusammenarbeit zwischen den Regulierungsbehörden sowohl auf nationaler als auch auf EU-Ebene, um die einheitliche und kohärente Anwendung des wachsenden Regelwerks der EU im digitalen Bereich sicherzustellen;
• weitere Förderung der internationalen Datenschutzstrategie der Kommission.

Update: Hier der Beitrag der GDPR Multistakeholder Expert Group.

Mit Hinblick auf den EHDS hat die Gesundheit Österreich GmbH eine Visualisierung wesentlicher Datenflüsse im österreichischen Gesundheitswesen anhand ausgewählter Fallbeispiele erstellt (ohne Anspruch auf Vollständigkeit; eine regelmäßige Aktualisierung ist geplant):

Degelsegger-Márquez, Alexander; Dolanski-Aghamanoukjan, Lorenz; Maier, Gunter; Weishäupl, Kristina (2024): Datenflüsse im österreichischen Gesundheitswesen. Gesundheit Österreich, Wien.

Der ständig zunehmende Trend zur Auslagerung “in die Cloud” führt da und dort zu Reaktionen von Behörden. So führte eine Informationsfreiheitsanfrage in Deutschland vor Kurzem zur Veröffentlichung der sogenannten “roten Linien” des BSI aus dem Jahr 2022, in denen festgelegt ist, welche Anforderungen Cloud-Angebote für eine souveräne Verwaltungscloud (”Requirements for Cloud Platforms in the Federal Administration“, pdf) erfüllen müssen. In bestimmten Sektoren existieren zudem  (”unverbindliche”) Empfehlungen, die teilweise strengere Anforderungen enthalten, so z.B. die Aufsichtsmitteilung der deutschen BaFin zu Auslagerungen an Cloud-Anbieter, die als Aufsatzthema einiges an Stoff bietet (Thalhofer/Monschke, CR 2024, 366-373).

DIe CNIL übt Kritik an dem European certification scheme for cloud services (EUCS draft), da dieses (dereit) nicht mehr die Möglichkeit enthält, bei “sehr sensiblen” Verarbeitungen sicherzustellen, dass der Cloud-Anbieter nicht unter außereuropäische Rechtsvorschriften fällt. Ein höheres Schutzniveau sei für bestimmte “kritische” Datenverarbeitungen erforderlich (z.B. große Gesundheitsdatenbanken, strafrechtliche Daten oder Daten über Minderjährige), bei denen die in der Europäischen Union gehosteten Daten nicht dem Risiko eines unbefugten Zugriffs durch Behörden in Drittländern ausgesetzt werden sollten: In diesen Fällen empfiehlt die CNIL, dass der Dienstleister ausschließlich europäischem Recht unterliegen (on-shoring) und ein angemessenes Schutzniveau bieten soll. In Frankreich beinhalte die Zertifizierung SecNumCloud der Agence nationale de la sécurité des systèmes d'information (ANSSI) für Cloud-Dienste dieses Kriterium und schützt die Daten vor dem Zugriff ausländischer Behörden, so die CNIL.

Damit den Datenschutz- und IT-Recht-affinen Jurist:innen nicht langweilig wird, sorgt die EU u.a. mit Cloud Switching in Art 1 Abs. 1 lit d und Abs 3 lit f Data Act - es bleibt viel zu lesen und zu tun, IT-Compliance wird nicht leichter. Froh muss derjenige sein, der einen leistungsfähigen Anbieter findet, welcher all diese Anforderungen erfüllen kann und will …

Heute, 12.7.2024, wurde der AI Act (KI VO) im Amtsblatt der Europäischen Union kundgemacht:

• deutsche Sprachfassung (Langtitel): Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz)Text von Bedeutung für den EWR
• englische Sprachfassung: Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act)Text with EEA relevance.

Die Bestimmungen des AI Act treten gemäß Artikel 113 KI VO “gestaffelt” in Geltung, siehe dazu die folgende Grafik (© RTR, CC BY 4.0):

Diese in der Praxis relevante Frage will ein neues Paper der GMDS Arbeitsgruppe „Datenschutz und IT-Sicherheit im Gesundheitswesen“ (DIG), verfasst von Dr. Bernd Schütze, beantworten. Hintergrund ist die Definition eines Cloud-Computing-Dienstes im Unionsrecht, in concreto in Artikel 6 Z 30 NIS-2-Richtlinie (diese RL ist am 16. Jänner 2023 in Kraft getreten und ist von den Mitgliedstaaten bis zum 17. Oktober 2024 umzusetzen), wonach der Begriff

„Cloud-Computing-Dienst“ einen digitalen Dienst [bezeichnet], der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind;

Dr. Schütze geht in diesem Dokument u.a. auf die möglichen Rechtsfolgen des Vorliegens eines Cloud-Dienstes ein - diese Folgen werden in der Praxis manchmal übersehen (siehe aus österreichischer Sicht auch den Verweis auf das GTelG unten).

Seit heute, dem 1.7.2024, ist der (wesentliche) Teil der Novelle des österreichischen DatenschutzG durch BGBl I 62/2024 in Kraft. Mit dieser Änderung wird in § 9 Abs 1 und 1a DSG ein sogenanntes datenschutzrechtliches “Medienprivileg” nromiert - diese Änderung war notwendig geworden, da der VfGH (G 287-288/2022) die vorhergehende Regelung für verfassungswidrig befunden hatte. Das Grundrecht auf Datenschutz erlaube es nicht, prinzipiell der Meinungsäußerungs- und Informationsfreiheit für Tätigkeiten, die zu journalistischen Zwecken ausgeübt werden, den Vorrang vor dem Schutz personenbezogener Daten einzuräumen, so der VfGH in seiner damailigen Pressemeldung.

Man wird sehen, ob die auch weiterhin bestehenden, relativ weitgehenden Ausnahmen (insbesondere was die Betroffenenrechte angeht) in der novellierten Fassung des DSG die verfassungs- und unionsrechtlichen Anforderungen erüllen …