DSGVO - ein Jahr später Ralf Bendrath Referent für bürgerliche Freiheiten, Justiz und Inneres Grüne/EFA im Europäischen Parlament (bis Juli 2018: leitender politischer Berater von Jan Philipp Albrecht MdEP)

Ha!

generelles Fazit nach einem Jahr DSGVO gestiegenes Bewusstsein digitaler Frühjahrsputz Auswahl bei Tracking-Cookies keine Abmahnwelle große Fische noch nicht im Netz Datenschutzbehörden überlastet globale Ausstrahlung

DSGVO und die Veranstaltungsbranche

1. Verantwortungsvoller Umgang mit Teilnehmer*innendaten Grundsätze beachten! Datensparsamkeit Zweckbindung datenschutzfreundliche Voreinstellungen Einwilligung nicht immer nötig! Vertragserfüllung / Dienstleistung berechtigtes Interesse  Erwartbarkeit durch bestehende Beziehung wenn Einwilligung, dann nicht als Bedingung (Koppelungsverbot) Information der Teilnehmer*innen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ - Artikel 12(1)

1. Verantwortungsvoller Umgang mit Teilnehmer*innendaten (Fortsetzung) technisch-organisatorische Maßnahmen (Artikel 24) Verfahrensverzeichnis (Artikel 30) Datensicherheit (Artikel 32) Datenschutz-Folgeabschätzung? (Artikel 35) nur wenn „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ besteht Benennung eines Datenschutzbeauftragten (Artikel 37) i.d.R. nicht verpflichtend, aber hilfreich Achtung, schwarze Schafe! Auftragsverarbeiter: Vertrag; Subunternehmer genehmigen (Art. 28)

1. Verantwortungsvoller Umgang mit Teilnehmer*innendaten (Fortsetzung) © Invitario, https://invitario.com/blog-content/2018/datenschutz-und-events

2. Besucher*innenströme verfolgen? DSGVO: mindestens heikel Rechtsgrundlage? erwartbar für die Teilnehmenden? fair und transparent? Widerspruchsrecht? Recht auf Löschung? kommende ePrivacy-Verordnung der EU Kommission: ok, wenn informiert wird, auch über opt-out Parlament: nur mit Einwilligung Rat: ? Pseudonymisierung? Anonymisierung! RFID im Konferenz-Badge; Wifi, Bluetooth, GSM im Smartphone GSM: IMSI-Catcher – betrieb in Deutschland illegal, wenn nicht gesetzlich autorisiert, z.B. Polizei

3. Audiovisuelle Aufzeichnungen und deren Veröffentlichung OK, wenn informiert wird und Opt-Out besteht Veröffentlichung: Kunsturhebergesetz von 1907 (!) §22: “Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden.“ §23: „Ohne die nach § 22 erforderliche Einwilligung dürfen verbreitet und zur Schau gestellt werden: Bildnisse aus dem Bereiche der Zeitgeschichte; Bilder, auf denen die Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen; Bilder von Versammlungen, Aufzügen und ähnlichen Vorgängen, an denen die dargestellten Personen teilgenommen haben; (…)“

4. interessierte Teilnehmer*innen gewinnen Direktansprache bestehende Kontakte: „berechtigtes Interesse“, erwartbar gezielte Ansprache: „berechtigtes Interesse“, sofern fair zugekaufte Kontakte: kommt drauf an… Werbung nicht targeted: kein Problem, außerhalb DSGVO-Geltungsbereich targeted: haben alle eingewilligt? Granularität: „Frauen unter 30 in Berlin“ oder „Grünen-Wähler mit Hund und SUV“? lookalike Audiences: schwierig – GOOG und FB wahrscheinlich illegal Achtung: Joint Controller-Verhältnis, Mithaftung Sicher: Word of Mouth!

Welche Missverständnisse gab es? Fronleichnamsgottesdienst in Freiburg Sportergebnisse in der D-Jugend (11-13 Jahre) Visitenkarten Klingelschildbürgerstreich in Wien Newsletter der Grünen Bundestagsfraktion

Einsatz von Datenanalyse und KI im Veranstaltungsbereich? KI / ML / DL / Big Data / …  Statistik! Forschungsprivileg: Artikel 5(1)(b): „eine Weiterverarbeitung für (…) statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken“ Artikel 89(1): Datenminimierung, Anonymisierung, Pseudonymisierung EG 162: „vorausgesetzt, dass die Ergebnisse der Verarbeitung zu statistischen Zwecken keine personenbezogenen Daten, sondern aggregierte Daten sind und diese Ergebnisse oder personenbezogenen Daten nicht für Maßnahmen oder Entscheidungen gegenüber einzelnen natürlichen Personen verwendet werden.“

Was wird / Wird etwas in der Praxis erschwert? Nichts, was nicht vorher schon schwer gewesen wäre…

Danke für die Aufmerksamkeit! ralf.bendrath@europarl.europa.eu https://bendrath.userpage.fu-berlin.de @bendrath