Kategorie: Internationaler Datenschutz/Konzerndatenschutz

Mehr Personal für besseren Datenschutz erforderlich

11. April 2018

Nach Einschätzung der Landesdatenschutzbeauftragten können Datenschutzverstöße mangels Personal nicht ausreichend geahndet werden. Allen 16 Behörden mangelt es an genügend Personal um der Einhaltung des Datenschutzes gerecht zu werden. Laut einer Umfrage der Zeitung „Tagesspiegel“ fehlen bundesweit dafür fast 100 Beschäftigte. «Ich bezweifle stark, dass wir mit der jetzigen Ausstattung die Instrumente der DSGVO vernünftig nutzen können», sagt Marit Hansen, Landesdatenschutzbeauftragte in Schleswig-Holstein.

Es besteht die Gefahr, dass die am 25. Mai 2018 in Kraft tretenden neuen Datenschutzvorschriften nicht hinreichend durchgesetzt werden können. Das massive Stellendefizit erschwert die Ahndung von Datenschutzverstößen. Es besteht auch keine Bereitschaft in der Politik dies auszugleichen. Auch Bundesdatenschutzbeauftragte Andrea Voßhoff hat bereits auf die Belastung der Aufsichtsbehörden aufmerksam gemacht.

Mit Einführung der europäischen Datenschutzgrundverordnung werden hohe Auflagen hinsichtlich Bußgeldern eingeführt. Zur Verhängung dieser Bußgelder ist jedoch ein funktionsfähiger Aufsichtsapparat notwendig.

HIV-Nutzerdaten bei der Dating-App „Grindr“ nicht sicher

10. April 2018

Um die Dating-App Grindr rankt sich erneut ein Datenskandal. Nachdem der ägyptische Geheimdienst  im Jahr 2014 die Standortanzeige zahlreicher App-User dazu nutzte, Jagd auf homosexuelle Männer zu machen, gerät die App nun erneut in die Kritik. Diesmal geht es um Gesundheitsdaten.

Einem kürzlichen Bericht von CNN zufolge hat die bei homo- und bisexuellen Männern beliebte Dating-App Grindr HIV-Nutzerdaten an die Datendienste Apptimize und Localystics weitergegeben. Neben Angaben zum HIV-Status und dem Datum des letzten HIV-Tests zählen auch die E-Mail- und GPS-Adressen der Nutzer zu den weitergegebenen Daten. Geraten diese Informationen in die falschen Hände, können die Konsequenzen für Betroffene kaum schlimmer sein, zumal durch die damit mögliche Identifizierung von Personen auch die Gefahr einer gesellschaftliche Ächtung einhergeht. Wie konkret diese Gefahr tatsächlich einzustufen ist, ist allerdings unklar: Laut CNN hat die schwedische Non-Profit-Forschungsorganisation SINTEF herausgefunden, dass die Daten teilweise in reinem Textformat und völlig unverschlüsselt übermittelt worden sind, was Grindr jedoch bestreitet.

Grindr hat derweil reagiert und die Datendienste zur Löschung aufgefordert. Zudem verspricht der App-Anbieter für die Zukunft, Daten dieser Art nicht mehr weiterzugeben.

Auch wenn es die Weitergabe solch sensibler Daten kaum zu rechtfertigen vermag, hat der Appell von Grindr an einen eigenverantwortlichen Umgang der Nutzer mit ihren persönlichen Daten durchaus seine Berechtigung. Letztlich kann jeder Nutzer über die Einstellungsfunktion selbst entscheiden, welche Daten er von sich preisgeben möchte. So lässt sich das Risiko einer unerwünschten Datenweitergabe von vornherein ausschließen.

US-Regierung beantragt Microsoft-Fall zu den Akten zu legen

4. April 2018

In den USA ist vor wenigen Tagen der „Cloud Act“ (Clarifying Lawful Overseas Use of Data Act) durch die Unterschrift des Präsidenten Trump in Kraft getreten. Der Cloud Act regelt, dass US-Ermittler Zugriff auf Daten bekommen sollen, die auf Servern außerhalb der USA liegen. Dafür können bilaterale Abkommen geschlossen werden, die die Ermittler ermächtigen, direkt den Cloud-Anbieter zu kontaktieren.

Im Zuge dessen hat das US-Justizministerium beim US Supreme Court beantragt den dort anhängigen Fall, United States of America vs. Microsoft Corporation (New York Search Warrant Case) für erledigt zu erklären. Der Fall stammt aus dem Jahr 2013 und ist seit dem hoch umstritten.

Es geht um die Frage, ob Microsoft personenbezogene Daten, die außerhalb der USA, hier auf Servern in Irland, gespeichert sind, an US-Behörden herausgeben muss. Grundlage dafür war ein Durchsuchungsbeschluss eines Bundesbezirksgerichts in New York, der Microsoft zur Herausgabe verpflichten sollte. Dagegen klagte der Unternehmensriese. Ein Urteil war eigentlich für Juni diesen Jahres erwartet worden, jetzt könnte die Sache allerdings vor einer Entscheidung zu den Akten gelegt werden.

Der oberste Prozessvertreter der US-Regierung, Noel J. Francisco beantragte beim Supreme Court, unter Verweis auf den Cloud Act, dass die Auseinandersetzung zwischen Microsoft und den USA hinfällig ist und nicht mehr weiter verhandelt werden muss. Ein neuerlicher Durchsuchungsbeschluss, gestützt auf den Cloud Act, wurde Microsoft bereits übersandt.

Facebook überarbeitet seine Datenschutztools

28. März 2018

Aufgrund der anhaltenden Kritik im Zuge des Datenskandals hat Facebook nun seine Prviatsphäre-Tools überarbeitet. Ziel sei es, den Nutzern mehr Kontrolle über Ihre Daten zu ermöglichen. Um dies zu erreichen wuden die Einstellungen zur Prviatsphäre otpisch derart angepasst, dass der Zugang vereinfacht wurde und einzelne Einstellungsmöglichkeiten leichter auffindbar sind. Dadurch soll es den Nutzern möglich sein, transparenter zu erkennen, welche Informationen durch Facebook geteilt werden. Um eine solche erhöhte Transparenz zu ermöglichen, sollen die Mitglieder des Social-Media-Netzwerks in leicht verständlicher Sprache darüber informiert werden, wie personenbezogene Daten gesammelt und sodann verarbeitet werden. Hierzu wurde eine zeitnahe Aktualisierung der Datenrichtlinien angekündigt. In diesem Zusammenhang teilt Facebook mit, dass es nicht darum ginge „neue Berechtigungen zum Sammeln, Nutzen oder Teilen von Daten zu erlangen.“ Vielmehr ginge es um eine offengelegte Verarbeitung der Daten. Hierzu arbeitet das Unternehmen mit Aufsichtsbehöden und Datenschutz-Experten zusammen.

Die angekündigten Maßnahmen stehen dabei im Lichte der Datenschutzgrundverordnung (DSGVO), die ab dem 25. Mai diesen Jahres Anwendung findet. Die Verordnung sieht unter anderem vor, dass Betroffene transparent darüber informiert werden, wie und durch wen ihre personenbezogenen Daten verarbeitet werden. Um den erhöhten Pflichten der DSGVO nachzukommen, arbeite Facebook bereits „seit geraumer Zeit“ an der Anpassung der Prozesse.

Daten bei Facebook zu unsicher

26. März 2018

Nach einer Umfrage von US-Bürgern hat die Reuters/Ipsos Studie herausgefunden, dass die Mehrheit der Ansicht ist, dass ihre Daten bei Facebook schlechter aufgehoben sind als bei anderen Internet-Unternehmen.

Lediglich 41 % sind davon überzeugt, dass das soziale Netzwerk die Datenschutzvorschriften einhält. Bei Amazon und Google wissen ca. 60 % ihre Daten sicher.

Dieses Misstrauen gegenüber Facebook entstammt wahrscheinlich aus dem aktuellen Datenskandal, bei der Daten von etwa 50 Millionen Facebook-Nutzer ausgespäht wurden.

Nun sollen auch hunderte mit Facebook verknüpfte Apps untersucht werden. Als Gegenmaßnahme sollen auch die Privatsphäre- Einstellungen verbessert und der Zugriff von App-Anbieter eingeschränkt werden.

Dies ist zwar alles begrüßenswert, dennoch zu spät, denn wenn persönliche Daten einmal in die falschen Hände gelangen, sind sie kaum noch zu schützen.

Umso wichtiger ist es, dass Datenschutz am Anfang der Überlegung steht, quasi als Voreinstellung und nicht als unwichtige Draufgabe.

 

 

Datenschutz wird durch Lebensmittel-Lieferdienste verletzt

12. März 2018

Foodwatch Deutschland testete mehrere Lebensmittel-Lieferdienste (u.a. Amazon Fresh, Allyouneedfresh, Mytime).

Dabei wurde deutlich, dass viele Lieferdienste zur Verarbeitung der Bestellung die Angabe nicht erforderlicher Daten verlangten, wie z.B. das Geburtsdatum. Das Geburtsdatum ist lediglich bei Bonitätsprüfungen (bei Zahlung auf Rechnung) oder beim Kauf von Alkoholika notwendig.

Auch die Kontrolle der Shops durch Kontrollbehörden wird als mangelhaft angesehen. „Im Onlinehandel besteht ein echtes Kontrolldefizit, weil die Lebensmittelüberwachung nicht zeitgemäß aufgestellt ist. Die kommunal und offline organisierten Kontrollbehörden sind noch nicht im globalen Online-Zeitalter angekommen. Die zuständigen Lebensmittelkontrolleure schaffen es schlichtweg nicht, neben dem Bäcker vor Ort auch noch die großen Online-Supermärkte und die unzähligen Nischenanbieter im Internet zu kontrollieren, die zufällig ihren Sitz in diesem Ort haben.“ , sagte Martin Rücker, Geschäftsführer foodwatch Deutschland.

Außerdem benutzen die Lieferdienste bis auf Allyouneedfresh  eine hohe Anzahl von Trackern, oft völlig unbemerkt. Damit sammeln sie ohne Wissen des Nutzers Informationen über das Nutzerverhalten.

Es besteht mithin ein großer Bedarf an datenschutzrechtlichen Maßnahmen sowie an Kontrollmaßnahmen bei den Lebensmittel-Lieferdiensten.

 

 

OVG NRW: Google-Streit an den EuGH verwiesen

28. Februar 2018

Das Oberverwaltungsgericht NRW (OVG NRW)in Münster setzt ein Verfahren zwischen der Bundesnetzagentur und Google um deren E-Mail-Dienst GMail aus und verweist den Streit an den Europäischen Gerichtshof (EuGH) in Luxemburg.

Dem Verfahren liegt ein seit 2012 geführter Rechtsstreit zwischen den Parteien zu der Frage zugrunde, ob GMail ein Telekommunikationsdienst im Sinne des deutschen Telekommunikationsgesetzes (TKG) ist und Google daher den dort normierten Pflichten nachkommen muss. Hierzu gehören mitunter spezielle Anforderungen an den Datenschutz, sowie die Anmeldung bei der Budesnetzagentur. Speziell streiten die Parteien über die gesetzliche Definition, wonach ein Telekommuniukationsdienst in der Regel gegen Entgelt Dienste erbringt, die ganz oder überwiegend in der Übertragung von Signalen über Telekommunikationsnetze bestehen. Google weigerte sich dieser Anmeldepflicht als Telekommunikationsdienst nachzukommen und vertritt die Auffassung, dasss die Regelungen des TKG für GMail nicht einschlägig sind, da sie sich lediglich das Internet als bestehendes Telekommunikationsnetz zu Eigen machen und darüber hinaus ihre Dienste unentgeltlich zur Verfügung stellen.

Der entscheidenede 13. Senat des OVG führt zur Begründung der Verweisung die „unionsrechtliche Dimension“ des Sachverhaltes an, da das TKG im Wesentlichen auf die EU-Richtlinie 1001/21/EG zurückgeht. Der EuGH soll nun im Rahmen einer Vorabentscheidung klären, ob offen im Inernet bereitgestellte E-Mail-Dienste von der Richtlinie erfasst werden.

Mangel an Verschlüsselungstechniken in mittelständischen Unternehmen

27. Februar 2018

In einem Unternehmen gibt es zahlreiche sensible Daten, die jeden Tag verarbeitet werden. Sei es in Form von Speichern von sensiblen Daten oder im Versenden dieser an Vertragspartner.

Dennoch ergab eine Umfrage des Bundeswirtschaftsministeriums, dass ein Viertel der mittelständischen Unternehmen keine Verschlüsselungstechniken bei ihren Verarbeitungstätigkeiten anwenden. Bei Großunternehmen sind es lediglich 10 %, die es mit der Verschlüsselung nicht ganz so genau nehmen.

Es zeichnen sich auch erhebliche Branchenunterschiede ab. IT- und Telekommunikationsunternehmen speichern und tauschen mit Dritten nur verschlüsselt Daten aus. In der Autobranche sind es beispielsweise jedoch nur zwei Drittel, die verschlüsselt arbeiten.

Als Grund werden technischer und finanzieller Aufwand genannt sowie Komforteinbußen täglicher Arbeit.

„Informationen in einer unverschlüsselten E-Mail sind etwa genauso geschützt wie die auf einer Postkarte“, sagte Brigitte Zypries (SPD), die geschäftsführende Bundeswirtschaftsministerin.

Aus diesem Grund entwickelte das Bundeswirtschaftsministerium auch einen Kompass für Unternehmen, wie man am besten Daten verschlüsseln kann.

Deutsche Werbeindustrie: Großer Umsetzungsbedarf bei der Datenschutz-Grundverordnung

19. Februar 2018

Eine repräsentative Umfrage unter rund 700 Unternehmen der Informationswirtschaft ab 5 Beschäftigte ergab, dass mehr als die Hälfte der deutschen Werbeunternehmen (55,9%) sich noch keine Gedanken um die Datenschutzgrundverordnung (DSGVO), die am 25.5.2018 in Kraft tritt, gemacht haben. Dies meldete das Zentrum für europäische Wirtschaftsforschung (ZEW).

Demnach besteht ein großer Nachholbedarf bei der Umsetzung der neuen Anforderungen der DSGVO, da Werbeunternehmen ein sehr wichtiger Adressat dieser Verordnung sind.

Nur wenn alle Unternehmen die neuen Anpassungen umsetzen, kann der Schutz von personenbezogenen Daten innerhalb der EU und die Ermöglichung eines freien Datenverkehrs innerhalb des EU-Binnenmarkts gewährleistet werden.

Der Anteil der Unternehmen der Informationswirtschaft, die im Dezember 2017 eine vollständige Umsetzung der DSGVO verzeichnen konnten, belief sich auf 5 %.

70% der Unternehmen haben entweder noch gar nicht (42,9%) damit beschäftigt die Vorgaben in die Praxis umzusetzen oder gerade erst damit begonnen (25,6%).

Die Zuversicht der Unternehmen bis Ende Mai 2018 die Anpassungen erfolgreich umsetzen zu können, verwundert Dr. Jörg Ohnemus, stellvertretender Leiter des ZEW Forschungsbereichs „Digitale Ökonomie“.

Um hohe Bußgelder zu vermeiden, sollten Unternehmen sich so schnell wie möglich an die neuen Anforderungen der DSGVO anpassen.

Datenschutzpflicht der Zeugen Jehovas

14. Februar 2018

Die Zeugen Jehovas sind dafür bekannt, dass sie von Tür zu Tür ziehen um mit den angetroffenen Menschen über deren Glauben zu reden.

Dabei machen sie sich häufig Notizen über den Gesprächsverlauf. Diese Notizen beinhalten insbesondere Angaben über Religionszugehörigkeit und Familienstand des Gesprächspartners.

In einem Rechtsstreit, der vor dem finnischen Obersten Verwaltungsgericht anhängig ist, wurde die Frage relevant, ob es sich bei diesen Notizen um Datenverarbeitung handelt, auf die das europäische Datenschutzrecht Anwendung findet. Diese Frage legte das Gericht dem Europäischen Gerichtshof (EuGH) vor, welches nun entscheiden muss.

Der finnische Datenschutzbeauftragte ist der Ansicht, dass es sich um eine Datenerhebung handelt, für die sowohl die einzelnen Mitglieder als auch die Gemeinschaft der Zeugen Jehovas als solche verantwortlich sind und die dem europäischen Datenschutzrecht unterfällt.

Die Zeugen Jehovas hingegen berufen sich darauf, dass die Notizen nur von ihren Mitgliedern im Rahmen ihrer Religionsausübung angefertigt und nicht weiter gegeben werden, sodass eine Verantwortlichkeit für die Daten im Sinne des Datenschutzrechts nicht besteht.

Der Generalanwalt am EuGH, Paolo Mengozzi, ist in seinem, die Entscheidung des EuGH vorbereitenden, Schlussantrag, der Einschätzung des finnischen Datenschutzbeauftragten gefolgt: Es kommt gerade nicht darauf an, ob Zugriff auf die personenbezogenen Daten besteht, sondern dass die Möglichkeit der Einflussnahme auf die Erhebung besteht. Nach seinem Antrag handelt es sich bei den Notizen auch nicht um Aufzeichnungen die durch eine natürliche Person zu ausschließlich privaten Zwecken erfolgt sind.

Das Gutachten des Generalanwalts ist nicht bindend, in den meisten Fällen folgen die EuGH-Richter jedoch den Einschätzungen des Generalanwalts. Das Urteil wird für die nächsten Monate erwartet.

1 2 3 21