DSGVO ein Jahr spter Ralf Bendrath Referent fr

DSGVO - ein Jahr später Ralf Bendrath Referent für bürgerliche Freiheiten, Justiz und Inneres Grüne/EFA im Europäischen Parlament (bis Juli 2018: leitender politischer Berater von Jan Philipp Albrecht Md. EP)

Ha!

generelles Fazit nach einem Jahr DSGVO • gestiegenes Bewusstsein • digitaler Frühjahrsputz • Auswahl bei Tracking-Cookies • keine Abmahnwelle • große Fische noch nicht im Netz • Datenschutzbehörden überlastet • globale Ausstrahlung

DSGVO und die Veranstaltungsbranche

1. Verantwortungsvoller Umgang mit Teilnehmer*innendaten • Grundsätze beachten! • Datensparsamkeit • Zweckbindung • datenschutzfreundliche Voreinstellungen • Einwilligung nicht immer nötig! • Vertragserfüllung / Dienstleistung • berechtigtes Interesse Erwartbarkeit durch bestehende Beziehung • wenn Einwilligung, dann nicht als Bedingung (Koppelungsverbot) • Information der Teilnehmer*innen • „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ - Artikel 12(1)

1. Verantwortungsvoller Umgang mit Teilnehmer*innendaten (Fortsetzung) • technisch-organisatorische Maßnahmen (Artikel 24) • Verfahrensverzeichnis (Artikel 30) • Datensicherheit (Artikel 32) • Datenschutz-Folgeabschätzung? (Artikel 35) • nur wenn „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ besteht • Benennung eines Datenschutzbeauftragten (Artikel 37) • i. d. R. nicht verpflichtend, aber hilfreich • Achtung, schwarze Schafe! • Auftragsverarbeiter: Vertrag; Subunternehmer genehmigen (Art. 28)

1. Verantwortungsvoller Umgang mit Teilnehmer*innendaten (Fortsetzung) © Invitario, https: //invitario. com/blog-content/2018/datenschutz-und-events

2. Besucher*innenströme verfolgen? • DSGVO: mindestens heikel • • Rechtsgrundlage? erwartbar für die Teilnehmenden? fair und transparent? Widerspruchsrecht? Recht auf Löschung? • kommende e. Privacy-Verordnung der EU • Kommission: ok, wenn informiert wird, auch über opt-out • Parlament: nur mit Einwilligung • Rat: ? • Pseudonymisierung? Anonymisierung!

3. Audiovisuelle Aufzeichnungen und deren Veröffentlichung • OK, wenn informiert wird und Opt-Out besteht • Veröffentlichung: Kunsturhebergesetz von 1907 (!) • § 22: “Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden. “ • § 23: „Ohne die nach § 22 erforderliche Einwilligung dürfen verbreitet und zur Schau gestellt werden: 1. Bildnisse aus dem Bereiche der Zeitgeschichte; 2. Bilder, auf denen die Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen; 3. Bilder von Versammlungen, Aufzügen und ähnlichen Vorgängen, an denen die dargestellten Personen teilgenommen haben; (…)“

4. interessierte Teilnehmer*innen gewinnen • Direktansprache • bestehende Kontakte: „berechtigtes Interesse“, erwartbar • gezielte Ansprache: „berechtigtes Interesse“, sofern fair • zugekaufte Kontakte: kommt drauf an… • Werbung • nicht targeted: kein Problem, außerhalb DSGVO-Geltungsbereich • targeted: • haben alle eingewilligt? • Granularität: „Frauen unter 30 in Berlin“ oder „Grünen-Wähler mit Hund SUV“? • lookalike Audiences: schwierig – GOOG und FB wahrscheinlich illegal • Achtung: Joint Controller-Verhältnis, Mithaftung • Sicher: Word of Mouth!

Welche Missverständnisse gab es? • Fronleichnamsgottesdienst in Freiburg • Sportergebnisse in der D-Jugend (11 -13 Jahre) • Visitenkarten • Klingelschildbürgerstreich in Wien • Newsletter der Grünen Bundestagsfraktion

Einsatz von Datenanalyse und KI im Veranstaltungsbereich? • KI / ML / DL / Big Data / … Statistik! • Forschungsprivileg: Artikel 5(1)(b): „eine Weiterverarbeitung für (…) statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken“ • Artikel 89(1): Datenminimierung, Anonymisierung, Pseudonymisierung • EG 162: „vorausgesetzt, dass die Ergebnisse der Verarbeitung zu statistischen Zwecken keine personenbezogenen Daten, sondern aggregierte Daten sind und diese Ergebnisse oder personenbezogenen Daten nicht für Maßnahmen oder Entscheidungen gegenüber einzelnen natürlichen Personen verwendet werden. “