Thread by @winfriedveil

Zeit für die nächste Mindmap-Auskoppelung:

#DSA und der #Datenschutz

Bekanntlich lässt der DSA ja die #DSGVO unberührt ("without prejudice"). Aber: Es wimmelt im DSA nur so von datenschutzrelevanten Regelungen. Fangen wir mit den Rechtsgrundlagen an:

DSGVO lila↙️ DSA gelb↘️

#DSA und der #Datenschutz

DSA enthält DatenverarbeitungsVERBOTE, durch die Rechtsgrundlagen der #DSGVO (insbes. #Einwilligung, #Vertrag und #berechtigtesInteresse) ausgeschlossen werden.

DSA enthält DatenverarbeitungsGEBOTE, also rechtliche Verpflichtungen zur Verarbeitung pbD.

Der #DSA nimmt insbesondere Art. 6 Abs. 1 lit. c #DSGVO für datenschutzrechtliche Regelungen in Anspruch:

dsgvo-gesetz.de/art-6-dsgvo/

Anders sind mE die zahlreichen Verpflichtungen des DSA jedenfalls nicht zu erfüllen👇

Art. 9 #DSA

Staatliche Anordnung gegen rechtswidrige Inhalte erfordert Rechtsgrundlagen für ...

🔴Erlass durch Behörde
🔴Information IS > Behörde
🔴Übermittlung Behörde > DSC
🔴Übermittlung DSC an andere DSCs
🔴Übermittlung IS > Nutzer

(rot:) datenschutzrechtlich relevant👇

Art. 10 #DSA

Auskunftsanordnung in Bezug auf bestimmte Nutzer erfordert Rechtsgrundlagen für ...

🔴Erlass durch Behörde
🔴Information IS > Behörde
🔴Übermittlung Behörde > DSC
🔴Übermittlung DSC an andere DSCs
🔴Übermittlung IS > Nutzer

(rot:) datenschutzrechtlich relevant👇

Art. 16-18 #DSA

Notice and Action

Datenschutzrechtlich relevant sind ...

🔴Einrichtung von Verfahren zur Meldung rechtswidriger Inhalte
🔴Entgegennahme des Speicherorts
🔴Entgegennahme von Kontaktdaten des Melders

Information des Melders über ...
🔴Empfang der Meldung
🔴Entscheidung
🔴Einsatz automatisierter Mittel

Information des betroffenen Nutzers über ...
🔴genaue Umstände der Meldung
🔴Identität des Melders
🔴Einsatz automatisierter Mittel

(rot:) datenschutzrechtlich relevant 👇

🔴Übermittlung des Verdachts auf Straftaten an Strafverfolgungs- und Justizbehörden

(rot:) datenschutzrechtlich relevant 👇

Art. 20 #DSA

Internes Beschwerdemanagementsystem

Datenschutzrechtlich relevant sind ...

🔴Pflicht, dem Melder & dem Nutzer interne Beschwerden anzubieten
🔴Pflicht, präzise & begründete Beschwerden zu ermöglichen (erfordert Angabe personenbezogener Daten)

🔴Pflicht zur sorgfältigen & willkürfreien Bearbeitung von Beschwerden
🔴Pflicht zur Aufsicht durch qualifiziertes Personal
🔴Verbot rein automatisierter Entscheidung
🔴Pflicht zur Information des Beschwerdeführers über Entscheidung

(rot:) datenschutzrechtlich relevant👇

Art. 21 #DSA

Außergerichtliche Streitbeilegung

Mindestens datenschutzrechtlich relevant sind ...

🔴Verarbeitung der Daten von #recipients #notifiers #traders durch Streitbeilegungsstelle
🔴Zertifizierung der Streitbeilegungsstelle durch Digital Services Coordinator

Bei Art. 21 #DSA ist mir noch nicht ganz klar, ob die außergerichtliche Streitbeilegungsstelle personenbezogene Daten ...

... aufgrund rechtlicher Verpflichtung (Art. 6 I c #DSGVO) oder
... als im öffentlichen Interesse liegende Aufgabe (Art. 6 I e #DSGVO)

verarbeitet.

Bei Art. 21 #DSA ist mir auch noch nicht klar, wer Streitbeilegungsstellen einrichtet:

... die Mitgliedstaaten "können" ("may establish").
... die Onlineplattformen dürfen gar nicht, denn jene müssen ja unabhängig sein.

Was, wenns niemand macht? Der Nutzer hat Anspruch darauf.

Auch bei Art. 21 #DSA zeigt sich der Preis privatisierter Rechtsdurchsetzung:

Zahlreiche Private verarbeiten zusätzlich personenbezogene Daten. In diesem Fall:

🔴Recipients
🔴Notifiers
🔴Traders
🔴Online Platforms
🔴Dispute Settlement Bodies
🔴Digital Service Coordinators

(letztere natürlich keine private Stelle, sondern eine Behörde)

Kommen wir zu Art. 22 DSA

#TrustedFlagger = Vertrauenswürdige Hinweisgeber

Datenschutzrechtlich relevant (& problematisch):

Online-Plattformen müssen #TrustedFlagger-Meldungen
🔴priorisieren
🔴bearbeiten & über sie entscheiden
🔴an den Digital Services Coordinator übermitteln

#TrustedFlagger müssen dem DSC zur Statuserlangung nachweisen
🔴Sachkenntnis & Kompetenz
🔴Unabhängigkeit
🔴Sorgfalt, Genauigkeit & Objektivität ihrer Meldungen

Und (steht nicht im #DSA, liegt aber in der Natur der Sache)
🔴das Netz durchforsten
🔴pbD erfassen, speichern, melden

Digital Services Coordinators müssen
🔴den #TrustedFlagger-Status zuerkennen, suspendieren & ihn widerrufen
🔴Untersuchungen einleiten & durchführen
🔴der @EU_Commission & dem Gremium zuerkannte, suspendierte & widerrufene #TrustedFlagger-Status mitteilen

Die @EU_Commission muss eine Datenbank veröffentlichen mit ...
🔴Namen & Adressen der #TrustedFlagger
🔴suspendierten #TrustedFlagger
🔴#TrustedFlagger, deren Status widerrufen wurde

Pflichten des Art. 22 #DSA von
🟡Onlineplattform
🟡Digital Service Coordinator
🟡@EU_Commission
lassen sich wohl unter Art. 6 I c #DSGVO (rechtliche Verpflichtung) subsumieren

Allgemeiner Auftrag der #TrustedFlagger wäre wohl (?) DV im öffentlichen Interesse (Art. 6 I e #DSGVO)

#TrustedFlagger

Dass die Suche nach Straftätern im Netz im staatlichen Auftrag & mit staatlicher Zertifizierung durch Private durchgeführt wird, ist natürlich auch politisch, demokratietheoretisch, rechtsstaatlich und unter Grundrechtsgesichtspunkten höchst fragwürdig.

#TrustedFlagger

Unter Datenschutzgesichtspunkten macht der #DSA ein riesiges Fass auf, denn zur Erfüllung ihrer Pflichten müssen #TrustedFlagger, Onlineplattformen, Digital Services Coordinators & @EU_Commission massenhaft personenbezogene Daten systematisiert verarbeiten.

21/n Jetzt wirds datenschutzrechtlich richtig ernst:

Art. 23 #DSA: Maßnahmen gegen Missbrauch

Onlineplattformen müssen
🔴die häufige Bereitstellung offensichtlich rechtswidriger Inhalte durch einzelne Nutzer bewerten
🔴diese Nutzer vom Dienst suspendieren

Bei der Bewertung müssen Onlineplattformen berücksichtigen:

🔴absolute Zahl rechtswidriger Inhalte
🔴Verhältnis rechtswidriger Inhalte zur Gesamtzahl an Inhalten
🔴Schwere der Fälle
🔴vom Nutzer verfolgte Absichten (sic!)

Die Pflichten des Art. 23(3) #DSA können Onlineplattformen realistischerweise nur erfüllen, wenn sie über "straffällig" gewordene Nutzer systematisch Datenbanken anlegen.

Wer einmal einen rechtswidrigen Inhalt gepostet hat, muss auf eine Liste suspendierungsgefährdeter Nutzer.

Mit der Überwachungspflicht des Art. 23 #DSA ist das #Hostproviderprivileg (in Art. 8 #DSA an sich nochmal bestätigt) jedenfalls nach erstmaligem "Sündenfall" eines Nutzers eigentlich hinfällig.

🤔

25/n

Art. 23 #DSA: Maßnahmen gegen Missbrauch

Onlineplattformen müssen auch gegen Einmelder/Denunzianten vorgehen. Sie müssen ...

🔴die häufige Bereitstellung offensichtlich unbegründeter Denunziationen bewerten
🔴die Bearbeitung von Meldungen dieser Denunzianten aussetzen

Bei der Bewertung müssen Onlineplattformen berücksichtigen:

🔴absolute Zahl unbegründeter Denunziationen
🔴relativer Anteil unbegründeter Denunziationen an der Gesamtzahl der Denunziationen
🔴Schwere der missbräuchlichen Denunziationen
🔴vom Denunzianten verfolgte Absichten

Diese Pflichten des Art. 23 #DSA können Onlineplattformen realistischerweise nur erfüllen, wenn sie über auffällig gewordene Denunzianten Datenbanken anlegen.

Wer 1 x eine unbegründete Denunziation abgegeben hat hat, muss auf eine Liste suspendierungsgefährdeter Denunzianten.

28/n

Art. 23 #DSA: Maßnahmen gegen Missbrauch

Auch gegen notorische Beschwerdeführer müssen Onlineplattformen vorgehen. Sie müssen ...

🔴die häufige Bereitstellung offensichtlich unbegründeter Beschwerden bewerten
🔴die Bearbeitung von Beschwerden dieser Querulanten aussetzen

Bei der Bewertung müssen Onlineplattformen berücksichtigen:

🔴absolute Zahl unbegründeter Beschwerden
🔴relativer Anteil unbegründeter Beschwerden an der Gesamtzahl der Beschwerden
🔴Schwere der Fälle missbräuchlicher Beschwerdeführung
🔴vom Beschwerdeführer verfolgte Absichten

Diese Pflichten des Art. 23 #DSA können Onlineplattformen realistischerweise nur erfüllen, wenn sie eine #Beschwerdeführerdatenbank anlegen.

Wer ein Mal eine unbegründete Beschwerde abgegeben hat, muss auf eine Liste suspendierungsgefährdeter Beschwerdeführer.