Datenschutzgesetz, ePrivacy & Cookies: Das ist neu

Datenschutzgesetz TTDSG: Das ändert sich für Unternehmen

Immer wieder sorgt das Thema Datenschutz für Konfliktsituationen im Unternehmensalltag. Unterschiedliche Gesetzesvorgaben erhöhen die Schwierigkeit insbesondere in kleinen Unternehmen tatsächlich rechtskonform Kundendaten zu erheben, aufzubewahren und auszuwerten. Bislang waren in Deutschland die DSGVO, das Telekommunikationsgesetz (TKG) und das Telemediengesetz (TMG) maßgebliche Rechtsgrundlage für den Schutz persönlicher Daten.

Zum 1. Dezember tritt nun das neue Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) in Kraft, welches die bestehenden Rechtsrahmen zusammenführt, ersetzt und um die Regeln der DSGVO aktualisiert.

Das neue Datenschutzgesetz soll für mehr Rechtssicherheit im digitalen Raum sorgen. Es gilt übergangsweise, bis die EU-Mitgliedsstaaten im aktuell stockenden Gesetzgebungsverfahren für die ePrivacy-Verordnung eine Einigung erzielt haben.

Was bedeutet das neue Telemediengesetz für den Datenschutz?

Sichere Kommunikation in digitalen Netzwerkdiensten, ein vereinfachtes Cookie-Management oder starke Kundenrechte bei Vertragsschließungen für Mobilfunk- und Internet zählen u.a. zu den Neuerungen des TTDSG.

Das ändert sich mit Inkrafttreten des TTDSG zum 1.12. 2021 konkret:

Ausweitung des Fernmeldegeheimnisses: Die Kommunikation von Endnutzern über digitale Messenger-Dienste wie z.B. WhatsApp, aber auch E-Mail-Kommunikation, Internettelefonie sowie weitere Telemedien und Telekommunikationsdienste (u.a. Google und Facebook) dürfen in Zukunft nicht ohne weiteres ausgewertet werden. Das TTDSG definiert diese Dienste ab sofort als sogenannte „Endeinrichtungen“.
Eingeschränkte Verarbeitung von Verkehrs- und Standortdaten: Die Erhebung und Verarbeitung von Verkehrs- und Standortdaten darf nur zum Zweck der Funktionsfähigkeit oder für Abrechnungszwecke erfolgen (§§ 9 Abs. 1 und 13 TTDSG). Darüber hinausgehende Datenverarbeitungen sind unzulässig.
Mobilfunk- und Internet-Verträge leichter kündigen: Eine automatische Verlängerung von Verträgen für Mobilfunk und Internet nach 24 Monaten ist nicht mehr möglich. Kundinnen und Kunden dürfen mit einmonatiger Frist zum Vertragsende kündigen.
Minderungs- und Sonderkündigungsrecht bei schwacher Internetleistung: Bei erheblichen Abweichungen von einer vertraglich abgesicherten und der tatsächlichen Internet-Bandbreite dürfen Kundinnen und Kunden ab sofort von einem Minderungs- und Sonderkündigungsrecht Gebrauch machen. Hierfür will die Bundesnetzagentur noch im Dezember eine App vorstellen, mit der die Leistungsgeschwindigkeit messbar wird.
Vereinfachung der Cookie-Einwilligung: Durch softwarebasierte PIMS-Dienste (Personal Information Management Services) sollen Websitebesucher ihre Vorlieben für die Weiterverarbeitung von Daten künftig automatisieren können. Ob dies das Ende des Cookie-Banners bedeutet, bleibt abzuwarten. Das Bundeswirtschaftsministerium arbeitet aktuell noch an einer Regierungsverordnung, welche die Rahmenbedingungen für anerkannte technische Lösungen vorgibt. Der Referentenentwurf soll dem Vernehmen nach im ersten Quartal 2022 vorliegen:

Die so genannten PIMS würden es ermöglichen, dass Menschen einfach selbstbestimmt über die Freigabe von Daten im Internet bestimmen können, indem sie Software-Systeme dafür benutzen, indem sie abstrakt einmal definieren, was sie eigentlich bereit sind, preiszugeben und nicht jedes Mal neu gefragt werden müssen. Das führt ja am Ende dazu, dass jeder nur noch die Sachen wegklickt, damit er endlich seine Seite aufrufen kann.

– Manuel Höferlin, FDP-Bundestagsfraktion und zuletzt Leiter im Digitalausschuss des Bundestages ggü. Tagesschau

Neuerungen bei Cookie-Bannern im TTDSG

Das neue „Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien“ äußert sich auch zur Gestaltung von Cookie-Bannern.

Agressives Push-Prinzip war gestern. In § 25 TTDSG finden Webmaster und Datenschutzbeauftragte die Richtlinien, die künftig zur Einwilligung der Endnutzer erfüllt sein müssen. Demnach kann auf die Einwilligung zur Erhebung und Auswertung persönlicher Daten nur noch in zwei Fällen verzichtet werden:

1. wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder

2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.

– § 25 Abs. 2 TTDSG

Vorsicht Abmahnung: Bußgeldkatalog gemäß TTDSG

Bei Zuwiderhandlungen, Fahrlässigkeit und auch bei Unwissenheit fallen teils sehr hohe Bußgelder an. Auch kleine Unternehmen sollten Ressourcen für eine verantwortliche Führungskraft bzw. einen Datenschutzbeauftragten bereitstellen, um ihren Geschäftserfolg nicht zu gefährden.

U.a. die folgenden Vergehen sind gemäß TTDSG in Zukunft strafbewehrt:

Unzulässige Verarbeitung von Verkehrsdaten: bis 300.000 EUR (§ 9 Abs. 1 S. 1, Abs. 2 S. 1)
Bei Erforderlichkeit Daten nicht oder nicht rechtzeitig gelöscht: bis 300.000 EUR (§ 10 Abs. 2 S. 3)
Zweckentfremdete Verarbeitung von Verkehrsdaten: bis 100.000 EUR (§ 12 Abs. 1 S. 3)
Verkehrsdaten nicht oder nicht rechtzeitig gelöscht: bis 100.000 EUR (§ 12 Abs. 2)
Bestimmte Aufzeichnungen nicht oder nicht rechtzeitig gelöscht: bis 10.000 EUR (§ 12 Abs. 1 S. 2)
Bei Erforderlichkeit Aufsichtsbehörde nicht oder nicht rechtzeitig informiert: bis 10.000 EUR (§§ 12 Abs. 4 S. 5, 14 Ab. 5)
Endnutzer nicht, nicht richtig oder nicht rechtzeitig informiert: bis 50.000 EUR (§ 13 Abs. 1 S. 2)
Unzulässig Rufnummernanzeige unterdrückt bzw. dies veranlasst: bis 300.000 EUR (§ 15 Abs. 2)
Nicht die erforderlichen Maßnahmen getroffen, die dem Endnutzer jederzeit das Beenden eines Dienstes bzw. dessen sichere Nutzung gestatten: bis 10.000 EUR (§ 19 Abs. 1)
Unzulässige Verarbeitung von personenbezogenen Daten: bis 300.000 EUR (§ 20)
Bei Erforderlichkeit entsprechende Daten nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt (Auskunftspflichten): bis 300.000 EUR (§§ 22 Ab. 5 S. 1, 23 Abs. 3 S. 1, 24 Abs. 4 S. 1)
Unzulässiger Zugriff auf Daten in Endeinrichtung: bis 300.000 EUR (§ 25 Abs. 1. S. 1)

Webinar DSGVO, Datenschutz & Cybersicherheit

Unsere Datenschutz-Experten auf ZANDURA Webinars geben dir praktische Tipps für den richtigen Umgang mit DSGVO, Cookies & Co.. Welche Anforderungen musst du für eine DSGVO-konforme Website erfüllen? Welche Vorschriften solltest du im Online-Shop beachten? Wie setzt man eine rechtskonforme Datenschutzdokumentation um? Und wie sichere ich mich gegen Abmahnungen ab?

Antworten erhältst du in unseren regelmäßigen Webinaren rund um den Schutz deiner Unternehmung. Das komplette Angebot findest du in der Mediathek von Zandura.