[AUTOMATISCHE ÜBERSETZUNG]
Willkommen zur dritten noyb-Adventslesung!
Denn die letzte Woche war eine sehr interessante Woche,
möchten wir diese Woche mit einem "Wochenrückblick" beginnen.
Letzte Woche haben wir die internen Dokumente des EDPB
die wir durch einen Antrag auf Informationsfreiheit erhalten haben zum Thema "Artikel 6(1)(a) / (b) Umgehung" erhalten haben,
wo Facebook im Grunde versucht, die die GDPR-Zustimmungsanforderungen zu umgehen.
POLITICO hat sich das genauer angeschaut und einen genaueren Blick darauf geworfen.
Sie sprachen mit, ich glaube, drei oder vier verschiedenen DPAs die an der Sache beteiligt waren,
und sie alle bestätigten sozusagen was wir letzte Woche veröffentlicht haben.
Sie sagten auch, dass eigentlich alle anderen DPAs abgestimmt haben
gegen die DPC in ihrer endgültigen Entscheidung für den Richtlinienentwurf gestimmt.
Dennoch, ignorierte die DPC diese Punkte völlig
Leitlinien des EDPB in ihrem endgültigen Entscheidungsentwurf in der Angelegenheit Facebook.
All das finden Sie auch auf unserer Website.
Nichtsdestotrotz, die DPC
all diese Behauptungen "rundweg" zurückgewiesen - oder eigentlich alle diese Fakten,
und vertritt weiterhin den Standpunkt
dass sich alle DPAs gegenseitig liebten, und dass sie alle zu demselben Schluss gekommen sind.
Und dass eigentlich alle den Ansichten des DPC folgten - was interessant ist
denn es stellte sich heraus, dass der DPC der einzige war, der die gegen das endgültige Dokument gestimmt hat.
Es ist also schwer zu glauben, dass dass das ihre eigenen Ansichten sind, gegen die sie gestimmt haben.
Dann ging es weiter, und POLITICO hat tatsächlich bekam den Einspruch von der norwegischen Datenschutzbehörde.
Wir haben ihn bekommen...
...einen Tag später, glaube ich, nachdem wir gemerkt haben, dass sie
Zugang zu diesen Informationen haben durch Anträge auf Informationsfreiheit.
Und das zeigt auch dass die DPC im Grunde ein Einzelgänger ist
der Ansicht ist, dass man die Datenschutzgrundverordnung die Datenschutzgrundverordnung durch einen Vertrag umgehen kann.
Sie können alle diese Links finden
unten auf dieser Website mit allen weiteren Informationen dazu.
Aber nun zu unserer "Adventslesung" für diese Woche.
Das Dokument dieser Woche ist eigentlich ein ziemlich interessantes Dokument.
Es ist das sogenannte "ROPA" von Facebook, also der "Record of Processing Activities"...
...die coolen Kids nennen es anscheinend "ROPA".
Und das ist sozusagen das zentrale Dokument in dem Facebook
alles, was sie tun und wie das legal ist, darlegen
und was sie mit den Daten machen und Sicherheitsmaßnahmen und all diese Elemente.
Und es sollte das zentrale Dokument eines jeden Unternehmens sein eines jeden Unternehmens sein, damit eine Aufsichtsbehörde und
sie selbst herausfinden können, ob sie tatsächlich mit dem Gesetz konform sind oder nicht.
Nun haben wir dieses ROPA schon vor einer Weile - vor einer ganzen Weile.
Ich habe es schon einmal auf Twitter auf den Kopf gestellt so dass man nur die weißen Seiten sah
denn das Interessante ist, dass Facebooks ROPA vier Seiten lang ist.
Es ist wahrscheinlich die kürzeste ROPA, die die Welt den die Welt je von einem der größten Unternehmen gesehen hat
die die Welt je gesehen hat.
Und der DPC hat uns damals einen Brief geschickt, in dem stand dass ich es nicht einmal auf dem Kopf stehend teilen dürfe.
Also haben wir diese Woche beschlossen, dass wir einfach umzublättern und euch das ganze ROPA zu zeigen.
Es hat nur 1.500 Wörter - also kürzer
und die meisten Hausaufgaben die ich je in der High School machen musste oder so.
Und es sagt wirklich nicht viel aus.
Es ist ein sehr allgemeiner Wortlaut
und erlaubt es einem nicht wirklich zu verstehen was Facebook tut und nicht tut.
Und das scheint der ganze Plan zu sein.
Es scheint, dass die Idee dieses ROPA so generisch zu sein
dass man tatsächlich überprüfen kann was Facebook gerade macht.
Aber um ehrlich zu sein, ich bin kein Experte
für interne Compliance-Dokumente weil wir normalerweise von außen kommen.
Also diese Woche haben wir ein kurzes Interview geführt:
Heute ist also Peter bei mir,
und Peter ist bei Spirit Legal und die machen die ganze Zeit ROPAs.
Die erste Frage ist also, wie viele ROPAs habt ihr bis jetzt gemacht?
Seit 2016 haben wir erstellt, auditiert
und Hunderte von ROPAs verbessert in ganz Europa und auf der ganzen Welt,
überall dort, wo GDPR gilt.
Eine Artikel 30 ROPA ist also komplex
und man beginnt mit der Datenzuordnung, einer strukturierten Sammlung von Datenflüssen
und Verarbeitungsvorgängen.
Sie können selektiv zusammenfassen, aber
wenn man die Substanz eines Geschäftsprozesses berührt,
dann muss man bis ins letzte Detail gehen.
Jeder Fußballverein hat also einen detaillierteren ROPA als das, was Facebook hier präsentiert.
Facebook ist also sicher kein Fußballverein,
aber angesichts der Tatsache, dass Facebook tausende von externen Daten
Verarbeitungsvorgänge und wahrscheinlich noch mehr interne.
Wie lang wäre eine angemessene ROPA für ein Unternehmen wie Facebook sein?
Ich meine, das kann nur eine grobe Schätzung sein.
Wenn man sich also ansieht, was Facebook-Operationen tatsächlich beinhalten,
dann müsste das ROPA mehrere hundert Seiten stark sein
und viel mehr Informationen enthalten über jeden einzelnen Verarbeitungsvorgang enthalten.
Wir kennen das aus der IT-Sicherheit:
Wenn Sie ein Informations Sicherheitsmanagementsystem, also Informationen
werden die Sicherheitsexperten über den Autor eines solchen Dokuments, das wir hier sehen können.
Und im Datenschutzrecht ist es nicht anders.
Also mindestens, sagen wir mal 200, 300
und bis zu 1000 Seiten, mindestens weil man Tausende hat
von Verarbeitungsvorgängen in Facebook.
Nach meinem Verständnis besteht der Hauptzweck einer ROPA ist es, später die Einhaltung zu überprüfen.
Dieses Dokument hat nicht wirklich einen Inhalt.
Es sagt nicht wirklich viel darüber aus was Facebook mit den Daten macht.
Wie würde das bei einer tatsächliche Überprüfung der Einhaltung der Vorschriften später?
Ja, genau.
Also Compliance-Beauftragte oder Compliance-Prüfer, sie würden gerne,
lachen oder weinen, wenn sie ein solches Dokument sehen.
Das Hauptziel der Dokumentation ist also ist es, die Transparenz der Verarbeitung zu gewährleisten
sowohl für Sie als Kontrolleur der das Verzeichnis verwaltet
als auch für die Aufsichtsbehörden für die es bestimmt ist, das Verzeichnis
einen ersten strukturierten Überblick geben soll.
Und das Facebook ROPA erfüllt nicht all diese Anforderungen nicht.
Unterm Strich ist dieses Dokument also ein Witz?
Man könnte also sagen, es ist ein Witz, aber es geht um Hunderte von Millionen von Nutzern in Europa,
und es geht um Verantwortlichkeit.
Und aus meiner Sicht, wenn ich ein Prüfer wäre
würden wir dieses Dokument als nicht existent behandeln.
Wir würden das ROPA als nicht existent behandeln. Und vor Gericht -
Wir führen eine Menge Rechtsstreitigkeiten über den Datenschutz vor Gericht -
würde man eine umgekehrte Beweislast haben, also würde man würde man davon ausgehen, dass jede Facebook-Operation, die derzeit
illegal ist.
Cool und danke, dass Sie uns diesen Einblick aus der Sicht eines Praktikers,
und danke, dass Sie heute bei uns waren.
Gern geschehen.
Vielen Dank, Max.
Also wie jede Woche,
haben wir auch diese Woche wieder Fan diese Woche wieder Fanpost bekommen.
Für unsere Adventslesung, lassen wir die anderen Parteien immer wissen
dass wir ein Dokument veröffentlichen werden und fragen sie, ob sie irgendwelche Kommentare dazu haben.
Es gab einen privaten und vertraulichen Kommentar
von der Anwaltskanzlei von Facebook, in dem sie sagen Es ist uns nicht erlaubt, diese Dokumente zu veröffentlichen
weil sie nicht "beabsichtigt" waren, veröffentlicht zu werden - was nicht wirklich eine Rechtsgrundlage ist.
Die zweite Möglichkeit ist die DPC.
Sie sagen im Grunde, dass wir nach irischem Recht dürfen wir es ihrer Meinung nach nicht veröffentlichen.
Das ist nach irischem Recht falsch, wie wir bereits im ersten Video betont haben,
aber vor allem haben wir diese Dokumente
nach österreichischem Recht - und nach österreichischem Recht können Sie alle diese Dokumente verwenden.
Das war das zweite.
Das dritte ist eigentlich ein ganz niedliches Exemplar.
Es kommt von einem Noyb-Mitglied, das sagt
dass er darum bittet, uns davon abzuhalten, dies zu tun.
Andernfalls wird er seine Noyb-Mitgliedschaft fortsetzen und unsere hervorragende Arbeit unterstützen.
Diese "Fanpost" hat uns also besonders gut gefallen.
Wie wir bereits erwähnt haben, all unsere wunderbaren Fanposts, die wir bekommen haben,
wird eine Ausgabe von "Kafka - Der Prozess" erhalten an den Absender dieser Fanmails.
Und hier finden Sie alle Details und unsere Antworten und warum wir absolut legal sind
und absolut erlaubt sind, diese Dinge zu veröffentlichen direkt unter diesem Video.
Das war also unsere Adventslesung für diese Woche - die dritte.
Die vierte Lesung folgt am nächsten Wochenende und zum allerletzten Mal,
haben wir natürlich ein ganz besonderes besonderes Dokument in Vorbereitung
und wir freuen uns schon sehr darauf das wir nächste Woche mit Ihnen teilen werden.