Standortdaten

Artikel durchsuchen

Sie können Standortdaten (Informationen des Netzwerks oder Dienstes über den Standort eines Telefons oder eines anderen Geräts) nur mit der Genehmigung des Netzwerk-, Dienst- oder Mehrwertdienstanbieters verarbeiten und nur, wenn:

Ausführlicher…

Standortdaten sind definiert als:

„alle in einem elektronischen Kommunikationsnetz oder von einem elektronischen Kommunikationsdienst verarbeiteten Daten, die den geografischen Standort des Endgeräts eines Nutzers eines öffentlichen elektronischen Kommunikationsdienstes angeben, einschließlich Daten im Zusammenhang mit –

(f) Breitengrad, Längengrad oder Höhe des Endgeräts; (g) die Reiserichtung des Benutzers; oder(h) der Zeitpunkt, zu dem die Standortinformationen aufgezeichnet wurden“.

Mit anderen Worten handelt es sich um von einem Netzwerk oder Dienst gesammelte Informationen darüber, wo sich das Telefon oder ein anderes Gerät des Benutzers befindet oder befand – zum Beispiel die Ermittlung des Standorts eines Mobiltelefons anhand von Daten, die von Basisstationen in einem Mobilfunknetz gesammelt werden.

GPS-basierte Standortinformationen von Smartphones, Tablets, Navigationsgeräten oder anderen Geräten zählen unseres Erachtens in der Regel nicht dazu, da diese Daten unabhängig vom Netz oder Dienstanbieter erstellt und erhoben werden. Es umfasst auch keine Standortinformationen, die auf rein lokaler Ebene erfasst werden (z. B. durch WLAN-Geräte, die von Unternehmen installiert werden, die WLAN in ihren Räumlichkeiten anbieten). Organisationen, die solche Daten verwenden, müssen jedoch weiterhin das Datenschutzgesetz einhalten.

Die Vorschriften zu Standortdaten sind in Verordnung 14 enthalten und sehr streng. Sie können Standortdaten nur verarbeiten, wenn Sie ein öffentlicher Kommunikationsanbieter, ein Anbieter eines Mehrwertdienstes oder eine im Auftrag eines solchen Anbieters handelnde Person sind, und nur wenn:

Diese Regelung gilt nicht, wenn es sich bei den Daten um Verkehrsdaten handelt. Weitere Informationen dazu, wann Sie Verkehrsdaten verwenden können, finden Sie oben.

Es gibt eine Ausnahme für Notrufe 999 oder 112 (Vorschrift 16). Es gibt auch eine Ausnahme für Notfallwarnungen, wenn eine zuständige Behörde Benutzer oder Abonnenten vor einem Notfall an ihrem Standort warnen, beraten oder informieren muss (Vorschrift 16A).

Die letztendliche Verantwortung für die Einhaltung dieser Regeln liegt beim jeweiligen öffentlichen Kommunikationsanbieter. Wenn Sie ein Netzwerk- oder Dienstanbieter sind und Standortdaten an einen Drittanbieter von Mehrwertdiensten weitergeben oder einen externen Datenverarbeiter mit der Verarbeitung von Standortdaten in Ihrem Namen beauftragen, müssen Sie Maßnahmen ergreifen, um die Einhaltung sicherzustellen mit PECR. Insbesondere sollten Sie mit jedem Datenverarbeiter einen schriftlichen Vertrag abschließen, der festlegt, was der Datenverarbeiter tun darf.

Dies ähnelt den Vertragspflichten der britischen DSGVO. Bedenken Sie jedoch, dass der Vertrag zur Einhaltung von PECR sowohl die Standortdaten von Unternehmensbenutzern als auch die personenbezogenen Daten von Einzelpersonen abdecken muss. Weitere Informationen zu allgemeinen Vertragspflichten finden Sie in unserem separaten Leitfaden zur britischen DSGVO.

Allerdings verstößt auch jeder andere, der Standortdaten ohne entsprechende Befugnis verarbeitet, gegen PECR.

Ein „Mehrwertdienst“ ist definiert als:

„Jeder Dienst, der die Verarbeitung von Verkehrsdaten oder Standortdaten erfordert, die über das hinausgehen, was für die Übertragung einer Kommunikation oder die Abrechnung dieser Kommunikation erforderlich ist.“

Dazu kann beispielsweise ein Anrufdienst gehören, der den Fahrer eines liegengebliebenen Fahrzeugs ortet, ein von einem Mobilfunkanbieter angebotener „Finde mein Telefon“-Dienst oder ein Mobilfunknetzbetreiber, der den Standort seiner Kunden nutzt, um gezielt standortspezifische Inhalte bereitzustellen .

Um gültig zu sein, muss die Einwilligung freiwillig, konkret und informiert erfolgen. Dabei muss es sich um eine klare positive Handlung handeln – zum Beispiel das Ankreuzen eines Kästchens, das Klicken auf einen Link, das Versenden einer E-Mail oder das Abonnieren eines Dienstes – und die Person muss vollständig verstehen, dass sie Ihnen die Einwilligung zur Nutzung ihrer Standortdaten erteilt. Sie können keine Einwilligung erteilen, wenn Sie Informationen über die Verwendung von Standortdaten nur im Rahmen einer Datenschutzerklärung bereitstellen, die schwer zu finden, schwer zu verstehen oder selten zu lesen ist.

PECR legt fest, dass Sie dem Benutzer oder Abonnenten Informationen über Folgendes geben müssen:

Sie können sich nicht auf eine pauschale „Allgemeinerklärung“ auf einer Rechnung oder auf einer Website verlassen und sollten für jede angeforderte Mehrwertdienstleistung eine gesonderte Einwilligung einholen. Der eindeutigste Weg, eine Einwilligung einzuholen, besteht darin, eine ausdrückliche Zustimmung zur Nutzung von Standortdaten einzuholen.

PECR legt außerdem fest, dass Sie die Einwilligung der Person einholen müssen, um die es in den Daten tatsächlich geht – das kann ein Abonnent oder ein Benutzer sein. Aus diesem Grund kann es nicht immer ausreichen, sich bei Vertragsabschluss auf die vorherige Einwilligung des Abonnenten zu verlassen, wenn der Anschluss tatsächlich von einer anderen Person genutzt wird.

Im Falle von Unternehmen und anderen Unternehmensabonnenten (Limited Liability Partnerships, Scottish Partnerships und Regierungsbehörden) können Sie Zusicherungen eines Vertreters akzeptieren, der im Namen der Organisation seine Zustimmung erteilt, es sei denn, Sie haben berechtigte Gründe, deren Autorität in Frage zu stellen.

PECR legen fest, dass der Netzwerk- oder Dienstanbieter die relevanten Informationen bereitstellen muss. Wenn der entsprechende Mehrwertdienst jedoch von einem Dritten angeboten wird, akzeptieren wir, dass es wahrscheinlich angemessener ist, wenn der Drittanbieter den Kunden direkt kontaktiert, um Informationen bereitzustellen und die entsprechende Einwilligung einzuholen. Wichtig ist, dass der Kunde verstehen muss, wer die Daten nutzt und wer die Dienstleistung erbringt.

Denken Sie daran, dass der Kunde das Recht hat, seine Einwilligung jederzeit zu widerrufen. In diesem Fall sollten Sie die Nutzung der Standortdaten sofort einstellen. Sie müssen Benutzern eine kostenlose und einfache Möglichkeit bieten, ihre Einwilligung jedes Mal zu widerrufen, wenn sie sich mit dem Netzwerk verbinden oder eine Mitteilung senden. Möglicherweise möchten Sie auch die Möglichkeit anbieten, ihre Einstellungen zu ändern, um die Einwilligung vorübergehend zu widerrufen. Allerdings müssen Sie die Wirkung deutlich machen, damit der Kunde genau versteht, wie das funktioniert und unter welchen Umständen seine Einwilligung reaktiviert wird.