DSGVO Verschärfungen

[Daniel]

In HH ist das zum Beispiel seit 2009 Prof. Caspar.
https://www.datenschutz-hamburg.de/

Ich denke, dass Du im behördlichen Umfeld Deiner Stadt oder der nächsten Gemeinde suchen musst.

[Codehunter]

Zitat von bernau:

Ich stehe auf dem Schlauch. Wo soll ich den "öffentlichen Datenschutzbeauftragten" finden. In Google finde ich dann nur den Datenschutzbeauftragten für den öffentlichen Dienst. Aber der wird ja wohl nicht gemeint sein.

Google "Datenschutzbeauftragter Köln", 10 Sekunden Scrollen, das gefunden:

http://www.stadt-koeln.de/service/ad...tzbeauftragter

Köln scheint sich hier etwas zurück zu halten in der Zusammenarbeit zwischen Verwaltung und Privatwirtschaft. Aber als erste Anlaufstelle sicher trotzdem nicht verkehrt. Sei es auch nur um zu erfahren, wer wirklich zuständig ist.

[Rollo62]

Alter Tread, jaaaa. Aber noch aktuell

Ich will hier noch ein paar Einschätzungen von unserem DS-Beauftragten geben,
die ich auch teile nach meinen diversen Recherchen:

1. Personenbezogene Daten sind Alles wo eine Peron irgendwie rückverfolgt werden kann (siehe auch Threads weiter unten)
2. Normale Infrastruktur, wie Festnetztelefon, etc. könnte von der DSGVO unberücksichtigt bleiben.
   (Obwohl ich diese Einschätzung nicht 100% teile, denn da muss man mal richtig drüber nachdenken, ich sehe Fritzbox und Co. auch als möglichen Auftragsbearbeiter).
3. Wenn ich Entwicklung, Datenpflege, etc. für andere Firma übernehme, sollte ich als Verarbeiter aktiv einen Vertrag anfordern, oder warten bis der Kunde zu mir kommt ?
   # Ja, besser aktiv anfordern wenn nichts vom Kunden kommt. Es müssen sowieso alle Beteiligten die DSGVO einhalten, deshalb besser vertraglich absichern.
4. Personenbezogene Daten sind zur Registrierung bei Apple / Google Store nötig.
   Die App selbst verwaltet keine persönlichen Daten.
   # Die Abwicklung Datenschutz wurde durch Phone Co. beim Kauf erledigt, die App muss nichts unternehmen.
   # Die Kundendaten liegen bei Phone Co., und nicht bei der App.
   # Keine Datenschutz Maßnahmen nötig
5. Nutzer kann seine Daten mit Ortungsdaten verknüpfen (nach Zustimmung in der App)
   # App ist nur verantwortlich für App funktionen, Lokal sollte das kein Problem sein.
6. Weiterleitung der Ortungsdaten an EMail-App, WhatsApp, etc. liegt nicht im Verantwortungsbereich der App
   # Datenschutz wurde durchFremdapp geklärt (EMail Client, WhatsApp, etc.) wenn App nicht unbeaufsichtigt senden kann.
   # Wenn Nutzer Taste drücken muss, evtl. mit 2x Bestätigen in Fremdapp, liegt es in seiner Verantwortung.
7. Web-Server, und oder PushNotifications.
   # Zur Registrierung unkritischer Personendaten sollten EMail und Passwort, womöglich mit 2-Faktor Auth ausreichen.
8. Web-Server, PushNotification: Vorher Abfrage mit Zustimmung nötig ?
   # JA
9. Web-Server, PushNotification: In welche Form muss eine solche Zustimmung in der App haben ?
   # Kann wie üblich im Web aussehen.
   # Zusätzliche Mobile-Formalien sind nicht nötig.
10. Web-Server sollte von einem deutschen Hoster geführt werden.
    # Die personenbezogenen Daten würden in dessen DB gespeichert.
    # Das ist ein Auftragsverarbeiter, auch wenn er selber nichts verarbeitet, sondern nur die Infrastruktur stellt.
    # Auftragsbearbeiter und Verarbeiter ist wer die Datenbank betreibt.
11. Sollte ich mit dem Web-Hoster einen Vertrag abschliessen ?
    # Ja, der Hoster würde aber von sich aus in seinen AGB entsprechende Formen finden.
    # Man sollte versuchen einen spezielen Vertrag mit dem Hoster abzuschliessen.
12. Gibt es für den Fall des Standard-Hostings einen Mustervertrag ?
    # Nein, sollte bei den Hostern abgefragt werden.

Bestimmt kann das ja noch jemand sinnvoll Ergänzen, denn da fehlt 99%

Rollo

[Codehunter]

Zitat von Rollo62:

Alter Tread, jaaaa. Aber noch aktuell

Na warts mal ab wenns Mitte Mai wird. Dann fängt dieser Thread an zu kochen

Zitat von Rollo62:

[*]Weiterleitung der Ortungsdaten an EMail-App, WhatsApp, etc. liegt nicht im Verantwortungsbereich der App
# Wenn Nutzer Taste drücken muss, evtl. mit 2x Bestätigen in Fremdapp, liegt es in seiner Verantwortung.

Kannst du das mal genauer ausführen? Das liest sich jetzt so als könnte man eigene Verpflichtungen dahingehend auf den Anwender abwälzen, in dem man ihn nur penetrant genug mit Bestätigen-Meldungen belegt. Das kann doch nicht im Sinne des Erfinders sein...

[Rollo62]

Zitat:

Zitat von Rollo62:[*]Weiterleitung der Ortungsdaten an EMail-App, WhatsApp, etc. liegt nicht im Verantwortungsbereich der App
# Wenn Nutzer Taste drücken muss, evtl. mit 2x Bestätigen in Fremdapp, liegt es in seiner Verantwortung.
Kannst du das mal genauer ausführen? Das liest sich jetzt so als könnte man eigene Verpflichtungen dahingehend auf den Anwender abwälzen, in dem man ihn nur penetrant genug mit Bestätigen-Meldungen belegt. Das kann doch nicht im Sinne des Erfinders sein...

Die Ortungsdaten sind erstmal lokal in der App.
Das wäre unkritisch, wenn man vorher sich die Zustimmung des Nutzers geholt hat.

Wenn ich diese jetzt sende an einen anderen Intent/Share, dann übergebe ich die Daten an
z.B. den Email-Client des Phones.
Damit ist der EMail Client in der Datenschutz-Verantwortung.
Der Nutzer muss jede Mail erst in meiner App, dann in der EMail App bestätigen bevor etwas raus geht.

Das meinte ich, wenn es von meiner app zu einer 2. App geschickt wird, lokal, sollten die DS Vorgaben auf diese 2. App übergehen, und meine App hat damit nichts mehr zu tun.

Soweit die Einschätzung des DSB, kann ich auch nachvollziehen.
Du hast ja bei der Mail-App oder WhatsApp schon deine DS abgenickt.

Rollo

[Codehunter]

Ah ok, das klingt einleuchtend. Hat sich denn euer DSB dahingehend geäußert, ob man sich den Datentransfer jedesmal bestätigen lassen muss wenn er stattfinden soll oder reicht es, wenn die "Abnickung" intern hinterlegt? Mit Blick auf die nervigen Cookie-Banner im Web meine ich. Nicht dass das dann in mobilen Apps auch zu inflationärer Vermehrung von Liest-ohnehin-niemand-vor-dem-Wegklicken-sondern-sind-nur-formaljuristisch-vorhanden-Meldungen führt.

[Rollo62]

Nein, ich habe aber so nicht nachgefragt.
Für mich ist klar das eine einmalige Bestätigung reichen sollte.

Ich überlege auch ob man die Bestätigung lokal protokollieren sollte (Datum, Entscheidung),
um im Zweifelsfall etwas nachweisen zu können.

Andererseits kommt der Nutzer ohne Bestätigung ja gar nicht erst weiter.

Ich glaube nicht das man das bei jeder Aktivierung machen muss, soviel Gehirnschmalz müsste man dem DAU schon zumuten können.
Der kann ja auch Ratenkreditverträge, Telefone und Häuserkaufverträge unterschreiben.

Ist aber ein guter Hinweis, mich nerven diese Cookie-Dinger auch extrm.
Für mich ist das ein klarer Fall von Überreaktion der WebMaster

Interessant fand ich auch die Einschätzung von dem DSB das bis Mai wohl kaum jemand sein Web/App auf Stand gebracht haben wird.
Der hat sehr Praxisnah verstanden das diese wohl noch eine Weile dauern wird, auch bis sich neue Standardverfahren etabliert haben.
Die Großen arbeiten da schon dran und das wird wohl bis Mai kommen, aber bei dem Rest kanns halt noch dauern.
Er meinte ich wäre klar im Vorteil, weil ich mich zumindest mit der Materie schon auseinandersetze.

Rollo