Datenschutzverstöße in der Community - Fragen hierzu

[#1]

Es kommt immer öfter vor, dass Themenersteller hier gegen Datenschutz und ggf. andere Rechtsnormen verstoßen, weil personenbezogene Daten veröffentlicht werden.

Das Problem ist aber nun, dass alle, die z.B. auf den Link geklickt haben, nun die Dokumenten mit den personenbezogenen Daten ggf. unter "downloads" abgespeichert haben und das Ganze ungewollt (war ja vorher nicht klar, dass da in dem Link - z.B. pdf personenbezogene Daten waren) und ggf. auch unbewusst - wenn man nicht weiß, dass diese Dateien überhaupt im System gespeichert werden.

Jetzt muss (muss es?) aktiv durch denjenigen der gedownloaded hat diese Datei aktiv gelöscht werden und dann auch noch aus dem Papierkorb gelöscht werden.

Ansonsten hält das "Datenleck" ja irgendwie an.... (Kann man das unter Windows verhindern? Dass diese Datei gespeichert wird?).

Jetzt die spannende Frage an die Rechtswissenden: Muss dieser Verstoß gegen Datenschutzrecht (sofern es einer ist?) dem Auftraggeber durch den verursachenden gemeldet werden und/oder muss sogar eine generelle Datenschutzverstoß-Meldung erfolgen.

[#2]

Geht es bitte mal ein wenig konkreter? Wann genau soll denn ein Verstoß stattgefunden haben?

Wieso wird unterstellt, dass einzelne Teilnehmer gegen den Datenschutz verstoßen? Es ist ja auch denkbar, das personenbezogene Daten mit Zustimmung verwendet werden?

[#3]

---

@oaausb69  schrieb:

Geht es bitte mal ein wenig konkreter? Wann genau soll denn ein Verstoß stattgefunden haben?

Wieso wird unterstellt, dass einzelne Teilnehmer gegen den Datenschutz verstoßen? Es ist ja auch denkbar, das personenbezogene Daten mit Zustimmung verwendet werden?

---

Hin und wieder kommt es ja vor, dass aus "Unwissen" oder "Versehen" hier etwas personenbezogenes "veröffentlich" wird.

Vor allem bei Fragen zu Lohn- und Gehaltsabrechnung. Vielleicht bezieht sich die Frage des Themenerstellers ja darauf. 

[#4]

Das 180min Limit ist an der Stelle nicht förderlich, um etwaigen Schaden schnell begrenzen zu können, wenn er denn entstanden ist. Nach 180min gilt das Prinzip Hoffnung und Bitte, Bitte 🙏, weil man selber nicht in der Lage ist, den Fehler zu beheben. Sind zumindest meine Gedanken aus technischer Sicht 🤓.  

[#5]

---

@metalposaunist  schrieb:

Das 180min Limit ist an der Stelle nicht förderlich, um etwaigen Schaden schnell begrenzen zu können, wenn er denn entstanden ist. Nach 180min gilt das Prinzip Hoffnung und Bitte, Bitte 🙏, weil man selber nicht in der Lage ist, den Fehler zu beheben. Sind zumindest meine Gedanken aus technischer Sicht 🤓.  

---

Und: wenn jemand anderes einen vermeintlich "datenschützwürdigen Beitrag" wiederum zitiert....wie geht man denn dann vor?

M.E. ist es Aufgabe des Forenbetreibers, dafür Problemlösungen bereitzustellen. In welcher Form auch immer. Letztendlich ist der Forenbetreiber ja auch der Verantwortliche für dieses Forum.

[#6]

Guten Tag,

der Forenbetreiber und Verantwortliche liest mit 😉

Zunächst mal würde ich bestreiten, dass hier "öfter" "gegen Datenschutz und ggf. andere Rechtsnormen" verstoßen wird. Zum einen ist über die Nutzungsbedingungen, denen jeder zugestimmt hat, klar geregelt, was geht und was nicht geht. Zum anderen administrieren wir hier natürlich wie jeder andere Community-Betreiber auch. Verstöße werden gelöscht, sobald wir sie zur Kenntnis genommen haben. 

Die Sache mit Downloads und Papierkorb habe ich leider nicht verstanden, da wäre ich für eine Konkretisierung und Erklärung dankbar.

[#7]

Durch das Löschen im Forum werden aber Kopien der Dateien im Download-Verzeichnis von Dritten nicht gelöscht. Das selbige gilt auch für den Cache. ich bezweifle aber dass man sich strafbar macht, wenn man solche Datien bei sich nicht aktiv löscht. Die Meisten werden den "Datenschutz"-Verstoß ja gar nicht mitbekommen, da sie die Screenshots o.ä. nicht so genau ansehen und das Entfernen in den Beiträgen u.U. auch nicht mitbekommen, selbst dann geht ja keiner hin und durchforstet seine Festplatte/Cache, ob dort etwaige Kopien liegen.

[#8]

Mir ist nun immer noch nicht klar, wer hier wann gegen den Datenschutz verstoßen haben soll...

Und eins ist klar: Wenn ich auf einen Link klicke und ein Dokument öffne, welches dann "automatisch" bei mir gespeichert wird: Dann kann ich nie gegen den Datenschutz verstoßen, wenn ich dieses Dokument nicht aktiv teile/veröffentliche. Wo soll also das Problem sein?

[#9]

Also man kann sich auch Probleme selbst konstruieren. Das verstößt meines Erachtens gegen das Prinzip der Bürokratievermeidung, ist aber noch nicht meldepflichtig.

[#10]

Bsp.: Sie haben eine Frage, weil das Lohnprogramm auf der Lohnabrechnung etwas macht, was Sie so nicht wollen.

Sie machen einen Screenshot davon, schwärzen Die Adressdaten, aber nicht die SVNr./ID-Nr oder aber Berater/Mandantennummern oder oder oder... Sie laden den Screenshot hier hoch mit der Bitte um Feedback.

Ich klicke auf den Anhang, dieser wird automatisch in meinem Downloadordner gespeichert. Dadurch habe ich nun Daten hier, die Sie Außenstehenden eigentlich nicht zugänglich machen dürfen.

[#11]

Moin,

ich habe noch nie bemerkt, dass ein Anhang aus der Community direkt beim anklicken, um ihn zu sehen, gedownloaded wird (ich nutze Edge - und in Edge wird mir üblicherweise in einem kleinen Fenster angezeigt, wenn ich einen Download vorgenommen habe). Daher müsste ich m. E. einen solchen Anhang schon aktiv downloaden und speichern. Aber mein Vorgehen, wenn ich solche Versehen feststelle, ist ein anderes: schnell wieder schließen und denjenigen, dem das Versehen passiert ist, per PN benachrichtigen, damit er das Versehen schnellstmöglich berichtigen kann.

Daher sehe ich das hier geschilderte Problem auch noch nicht so ganz.

Viele Grüße aus dem sonnigen Norden,

bfit

[#12]

---

@bfit schrieb:

Daher müsste ich m. E. einen solchen Anhang schon aktiv downloaden und speichern.

---

Eingebettete Bilder aka gleich hier angezeigte Bilder werden nicht heruntergeladen. Fügt man sie als Anhang dran, lädt die Community diese Daten (Bilder, PDFs, ...) in Downloads runter. Zum Ausprobieren: LODAS DB kann nicht mehr angepasst werden

Genau so sollte man's nicht machen, weil wenn in dem Bild wirklich personenbezogene Daten stehen, habe ich die auf meiner Festplatte und könnte die damit woanders veröffentlichen. Aber da bin ich rechtlich raus. Ich vertraue noch auf das Gute im Menschen. 

[#13]

Danke @metalposaunist , jetzt habe ich das Problem gesehen. Ich habe aber auch gesehen, dass ich bei solchen Dateien aus der Community, auch das kleine Fenster für den Download sehe. Somit habe ich so etwas seit Ewigkeiten nicht mehr angeklickt.

Viele Grüße aus dem Norden,

bfit

[#14]

---

@lohnhilfe  schrieb:

Sie machen einen Screenshot davon, schwärzen Die Adressdaten, aber nicht die SVNr./ID-Nr oder aber Berater/Mandantennummern oder oder oder... Sie laden den Screenshot hier hoch mit der Bitte um Feedback.

Eine Berater/Mandantennummer oder die versehentliche Nennung eines Unternehmens ist wohl eher nicht personenbezogen. Das gehört sich nicht, aber ob das ein Datenschutzverstoß ist? Lohnabrechnungen mit SV und ID Nr habe ich hier noch  nicht gesehen. Insofern auch keine Chance für Abmahnverbrecher.

[#15]

Alle Daten, durch die etwas eindeutig zuordenbar wird (ob einer Firma oder einem Arbeitnehmer), sind für mich personenbezogen.

[#16]

Wie sagt man: Ein Blick ins Gesetz ...

Art. 4 DSGVOBegriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

[#17]

Allein im Februar 2022 habe ich mich an 2 Threads beteiligt, bei denen personenbezogene Daten veröffentlicht wurden. In beiden Fällen war dies der Name und die Anschrift des Mandanten/Arbeitgebers.

Fall 1 = Lohnabrechnung/Lohnzettel
Fall 2 = Name des Unternehmens in einem Screenshot einer DATEV-Fehlermeldung.  

Im letzten Jahr wurde sogar von einem recht großen Unternehmen BWA-Daten durch einen Teilnehmer veröffentlicht.   

Alles nur versehentlich (aber das ist hier nicht das Thema).

Weiterhin wurden über mich selbst von Teilnehmern personenbezogene Daten veröffentlicht obwohl ich darum gebeten habe, dies sein zu lassen. Das war allerdings bestimmt auch nicht in böser Absicht. 

Das kam somit aus meiner Wahrnehmung "öfter" in der Vergangenheit vor, Teilnehmer oder DATEV haben immer interveniert (aber das ist hier nicht das Thema).

Offenbar haben wir hier eine unterschiedliche Realität, wahrscheinlich muss "öfter" definiert werden.

Schade, dass Sie das mit dem Download nicht verstehen, gerne kläre ich Sie am praktischen Beispiel auf:

In einer Diskussion Anfang dieser Woche wurde als Anlage zum Text ein pdf angefügt. Wenn man wissen wollte was sich dahinter verbirgt (Inhalt), muss man den Anhang anklicken. Zumindest bei mir wird dieser Anhang (pdf) dann unter "Downloads" (im Hintergrund) gespeichert.

An anderer Stelle wurde das hier von Fachleuten (der Metallbläser) korrekt verstanden und erklärt.

Nun zum konkreten Fall:

Es ging um eine Lohnabrechnung. Hier wurde zwar der Name des AN und dessen SoV-Nr. geschwärzt, nicht aber Beitragsgruppenschlüssel, Arbeitgebername, Krankenkasse, Personalnummer, Gehaltsbestandteile, Eintrittsdatum etc.

Eine Kleinigkeit, mit diesen (verbleibenden Daten) sich den Namen des AN zu besorgen (Anruf Krankenkasse).

Aus meiner Sicht zu viele Daten, die hier veröffentlicht wurden.

Die Teilnehmer aus dem Thread haben das bemängelt, der Nutzer hat dann die Anlage gelöscht.

Allerdings befindet sich das (ggf. datenschutzrechtlich problematische) Dokument möglicherweise immer noch auf allen Rechnern derer Teilnehmer, die diese angeklickt haben.

[#18]

Aber nochmal: Gegen den Datenschutz verstößt in diesem Fall nur derjenige, der die Daten veröffentlicht. Alle User, die das Dokument lediglich ansehen, oder "ungefragt" speichern, haben kein Problem. Zumindest solange sie diese Daten nicht selbst nutzen oder gar weitergeben. 

[#19]

***gelöscht

[#20]

Gut, dass Sie hier sind und verstehen was man meint.

[#21]

Korrekt! Dabei ist die Frage ob das Ganze versehentlich oder absichtlich geschehen ist für die Frage eines Verstoßes zunächst vollkommen irrelevant.

Alle Fälle die mir hier (in der Community) bisher bekannt geworden sind, geschahen in Unkenntnis oder waren ein Versehen. Alle Fälle wurden auch im Nachgang bereinigt (meist durch hilfreiche Hinweise der Teilnehmenden - aber auch durch DATEV).

[#22]

Auch das ist ein (gut erkanntes) Problem.   

[#23]

Mit "anderen Rechtsnormen" meine ich ganz konkret den Verstoß gegen die Verschwiegenheitsverpflichtung, sofern personenbezogene Daten hier z.B. durch StB veröffentlicht werden. 

Aber wenn Sie als Wissender klar sagen, dass es das hier alles nicht gibt, hat sich meine Fragestellung doch eigentlich schon erledigt.

Ich mache mir mal ein Spaß draus und sammle das alles in 2022, sende Ihnen dann dieses gesammelte Werk zu,  dann können wir gerne neu bewerten.

DAS allerdings führt mich zur Eingangsfrage, wie dieses "Sammeln" dieser Daten (beabsichtigt oder unbeabsichtigt) aus Sicht des Datenschutzes und der Verschwiegenheit zu bewerten ist?

Na ja, ich lösche so etwas sofort, daher kann ich wohl leider keine Beweisführung anbieten.

[#24]

Ich bin kein Jurist, aber soweit ich es verstanden habe (mit dem Datenschutz) geht es nicht darum, dass Daten tatsächlich (ggf. missbräuchlich) genutzt werden.

Ihre Sichtweise ist aber durchaus nachvollziehbar, wenn man praktisch denkt.  

Der Verstoß und damit auch die evtl. Strafbarkeit kann alleine darin liegen, das Daten überhaupt (irgendwo) vorhanden sind, wo Sie nichts zu suchen haben (der Fall hier) keinem Zweck dienen (Mülldaten - auch dieser Fall) oder von deren Existenz man überhaupt nicht weiß (auch dieser Fall -Anlage unter "Downloads") und zumindest theoretisch zu Schaden führen können.

[#25]

Wo habe ich geschrieben, dass es das hier alles nicht gibt?

Menschen, die sich mit sowas auskenne, sagen mir: Ein Beitragsschreiber macht sich eines Datenschutzverstoßes schuldig, wenn er unberechtigt personenbezogene Daten in der Community postet. Völlig egal, in welcher Form. Je nachdem, was das für Daten sind, kann daraus ein Risiko für den Betroffenen (also den, dessen Daten gepostet wurden) entstehen. Dann muss der Beitragsschreiber a) möglichst schnell den Zustand korrigieren, b) bei einem Risiko innerhalb von 72 Stunden seine Aufsicht informieren und c) bei einem hohen Risiko den Betroffenen informieren. Der Beitragsleser macht sich erst mal nicht schuldig, denn er kann ja kaum beurteilen, ob es eine unberechtigte Veröffentlichung ist. Das gilt wohl auch für den Fall, dass dabei Dateien lokal gespeichert werden, im Download-Ordner, im Cache, wo auch immer. Denn auch das weiß der Beitragsleser in den meisten Fällen gar nicht.

Aber: Ich bin weder Jurist noch Datenschutz-Experte. Wenn Sie es genau wissen wollen, sollten sie jemanden fragen, der eines von beidem oder beides ist.

[#26]

"Es kommt immer öfter vor, dass Themenersteller hier gegen Datenschutz und ggf. andere Rechtsnormen verstoßen, weil personenbezogene Daten veröffentlicht werden."

Meinen Eingangssatz ändere ich wie folgt:

"Meiner Meinung nach kommt es immer öfter vor, dass Themenersteller hier gegen Datenschutz und ggf. andere Rechtsnormen verstoßen, weil personenbezogene Daten veröffentlicht werden."

[#27]

Sie sagten:

"Zunächst mal würde ich bestreiten, dass hier "öfter" "gegen Datenschutz und ggf. andere Rechtsnormen" verstoßen wird."

Daraus habe ich geschlussfolgert, dass Sie anzweifeln, dass hier öfter" "gegen Datenschutz und ggf. andere Rechtsnormen" verstoßen wird.

Was haben Sie denn sonst damit sagen wollen?

Möglicherweise: Es kommt vor, aber nicht "öfter". 

Wie schon gesagt, "öfter" ist dann noch nicht genau definiert.

[#28]

Ich gebe Ihnen von Nachricht 1 bis 24 Recht, und auch allen anderen fachkundig Äußernden.

Aber was in dieser Community passiert, bleibt bei mir persönlich auch hier. Ich werde nicht ein einziges Mal als Kläger auftreten und weiterhin versuchen auf Unstimmigkeiten (so nenne ich das) hinzuweisen.

[#29]

Meinen Sie nicht, dass dies (auch) in der Verantwortung der DATEV für diese Community liegt?

[#30]

Ich weiß nicht, worum es Ihnen geht. Bei Verstößen gegen die DSGVO gibt es einen Meldepflicht. Das betrifft aber nur personenbezogene Daten von natürlichen Personen.

Wenn ich blöderweise den Namen eines Mandanten in einer Kneipe, bei einem Zeitungsinterview oder hier in der Community versehentlich nennen sollte, weiß ich nicht, warum ich mich selbst anzeigen oder den Mandanten informieren müsste.

Genausowenig sehe ich für den Kneipenwirt, die Zeitungsherausgeberin oder die Datev eine Pflicht zur Anzeige meines Datenschutzverstoßes. Auch muss der Kneipenwirt nicht seinen Gästen ein Schweigeverbot auferlegen oder die Zeitungsherausgeberin bei ihren Zeitungskäufern die Zeitungen wieder einsammeln.

Auch die Datev muss sich nicht darum kümmern, ob im Cache meines PC noch irgendwelche Daten schlummern.