Kategorie: Internationaler Datenschutz
21. November 2017
Der EU-Rat bestätigte jetzt Verordnungsentwürfe, die ab dem Jahr 2020 ein biometrisches Ein- und Ausreisesystem einführen sollen um die Grenzen der EU zu sichern.
Die neue Verordnung sieht vor, dass sich künftig Angehörige von Drittstaaten bei der Einreise in den Schengen-Raum sowie an den Grenzen Rumäniens und Bulgariens durch vier Fingerabdrücke kombiniert mit einem Gesichtsbild registrieren lassen müssen. In dem System sollen ebenfalls weitere Identitätsangaben und Daten aus den Reisedokumenten aufbewahrt werden.
Als Vorbild für die Verordnung wurden die Ein- und Ausreisebedingungen der Vereinigten Staaten von Amerika herangezogen. Als vorhergehende Maßnahme wurde bereits im Sommer 2017 ein Kompromiss für verschärfte Grenzkontrollen ausgehandelt und befürwortet.
Dem Aufbau des Systems steht nach Unterzeichnung und Veröffentlichung der Verordnung nichts mehr entgegen, sodass die Bestimmungen 20 Tage nach der Veröffentlichung im EU-Amtsblatt in Kraft treten wird.
Um das System einsatzbereit zu machen, müssen sowohl die Mitgliedstaaten der EU, als auch die Betriebsagentur EU-Lisa gemeinsam Datenbanken einrichten.
Die Kosten für das Projekt und die Realisierung der Verordnung werden sich wahrscheinlich auf eine Milliarde Euro belaufen. Gerechtfertigt wird eine solche Summe mit dem Nutzen der dem Projekt gegenüber steht. Generell soll dadurch nämlich sowohl der Kampf gegen den Terrorismus verstärkt, als auch „Aufenthaltsüberzieher“ identifiziert werden.
Trotz der positiven Annahme des EU-Rats, könnte die neue Verordnung und das eingerichtete System gegen das EU-Grundrecht verstoßen und eine Klage vor dem Europäischen Gerichtshof nach sich ziehen.
Auch in Bezug auf datenschutzrechtliche Komponenten müssen noch einige Regelungen getroffen werden. So sieht die aktuelle Verordnung vor, dass die erhobenen Daten drei Jahre gespeichert werden sollen und die Aufbewahrungsfrist verlängert werden kann, wenn ein Ausländer seinen Aufenthalt unerlaubt verlängert. Außerdem soll das System Sicherheitsbehörden warnen, sobald der Betroffene bis zum Ablauf der Aufenthaltsdauer nicht ausgereist ist.
Das aktuell eingesetzte Stempelverfahren soll durch das neue System ersetzt werden und mit dem Visa-Informationssystem (VIS) zusammenwirken. Ergänzend soll eine virtuelle biometrische Datenbank mit übergreifenden Suchmöglichkeiten erstellt werden.
Die datenschutzrechtliche Sicherheit wurde in den Überlegungen noch nicht ausführlich besprochen. Man kann jedoch davon ausgehen, dass eine Ausarbeitung der zu treffenden Maßnahmen in naher Zukunft erfolgen wird.
7. November 2017
Der EU-US Privacy Shield (Privacy Shield) soll die Daten von EU-Bürgern vor dem US-Spähapparat schützen. Kritiker haben jedoch ernste Zweifel, ob dies momentan der Fall ist.
Der transatlantische Datenpakt ist seit gut einem Jahr in Kraft und wurde jetzt einer ersten Überprüfung unterzogen. Der Privacy Shield ist der Nachfolger des Safe Harbor Abkommens, welches in einer aufsehenerregenden Entscheidung des EuGH aufgehoben wurde.
Zweck des Privacy Shield ist, in den USA ein ähnliches Datenschutzniveau zu erreichen wie in der EU, sodass die Daten der EU-Bürger in den USA genauso geschützt sind wie hier zu Lande. Dabei soll insbesondere erreicht werden:
- die Daten sollen sicher sein vor ausufernder Massenüberwachung durch US-Behörden (zB die NSA),
- eine Ombudsperson, die im US-Außenministerium etabliert wird, an die sich EU-Bürger direkt wenden können,
- keine Speicherung auf unbestimmte Zeit von personenbezogenen Daten von EU-Bürgern durch Unternehmen.
2400 Firmen haben sich seit der Einführung für den Schutzschirm zertifiziert. Dazu gehören Branchenriesen wie Amazon, Tesla, Facebook und Google. Die Wichtigkeit des Privacy Shield als Datenschutzregelung ist demnach nicht von der Hand zu weisen. Neben der Zertifizierung bleiben als rechtliche Grundlage nur Standardvertragsklauseln.
Die erste Überprüfung zeigt allerdings, dass der Privacy Shield immer noch umstritten ist und das zentrale Forderungen, wie die Ombudsperson, von Seiten der US-Regierung noch nicht umgesetzt sind. Zudem hat US-Präsident Trump bereits kurz nach Amtsantritt versucht den Datenschutz für Nichtamerikaner per Dekret aufzuheben.
Dennoch ist die verantwortliche EU-Justizkommissarin Vera Journová nicht unzufrieden mit dem Verlauf des ersten Jahres. Es wird zwar gemahnt, dass die Ombudsperson möglichst schnell ernannt werden sollte, aber sie ist sich sicher, dass die USA die Sorgen der Europäer inzwischen ernst nehmen.
Kritiker bemängeln allerdings weiterhin, dass zu wenig getan wird, um die bestehenden Ansprüche durchzusetzen und das der Privacy Shield die im Safe Harbor Urteil formulierten Anforderungen nicht erfüllt.
18. Oktober 2017
Anlässlich des frisch gewählten Bundestags formulierten alle unabhängigen deutschen Datenschutzbehörden einen Katalog mit Grundsatzpositionen für die neue Legislaturperiode. Die diesjährige Vorsitzende der Datenschutzkonferenz, die niedersächsische Landesbeauftragte Barbara Thiel, legte das Dokument allen im Bundestag vertretenen Fraktionen vor. Die Aufsichtsbehörden von Bund und Ländern formulierten elf Forderungen an den deutschen Gesetzgeber.
Die Datenschutzbehörden warnen davor, Daten zu einer “rein wirtschaftlichen Größe” zu machen und fordern, dass das Verbotsprinzip nach der Datenschutzgrundverordnung (DSGVO) nicht unter dem modernen Schlagwort “Datensouveräntität” zurückweichen darf. Das Grundprinzip der Datenminimierung müsse weiterhin an vorderer Stelle stehen. Diese Forderungen seien nach Ansicht der Konferenzvorsitzenden Thiel kein Hindernis für die Digitalisierung. Vielmehr sei Datenschutz als Grundrechtsschutz und “integraler und förderlicher Bestandteil” von Fortschritt in Politik, Wirtschaft und Gesellschaft.
Die Grundsatzpositionen der Datenschutzkonferenz heben auch die Bedeutung von Privacy by Design und Privacy by Default hervor. Datenschutz muss im gesamten Lebenszyklus von Produkten und Dienstleistungen bedacht und implementiert werden. Nach den Aufsichtsbehörden soll die Bundesregierungen solche Projekte und Innovationen fördern, auch indem sie sich mit Vertretern aus Wirtschaft, Forschung und Entwicklung austauscht.
Weiter fordern die Aufsichtsbehörden ein eigenständiges Gesetz zum Beschäftigtendatenschutz, das den Anforderungen der Arbeitswelt 4.0 entspricht. § 26 BDSG-neu sei den aktuellen Herausforderungen wie z.B. durch verdeckte technische Überwachung, nicht gewachsen. Im Bereich von E-Health fordern die Datenschutzbehörden strenge Vorgaben, damit z.B. Patienten, die eine laufende Erfassung von Gesundheitsdaten via Wearables und Fitness-Apps nicht zustimmen, bei Versicherungstarifen nicht benachteiligt werden. Big-Data-Projekte im Gesundheitswesen sollten per Gesetz mit der zuständigen Datenschutzaufsichtsbehörde abzustimmen sein. Schließlich sehen die Aufsichtsbehörden das Thema Vorratsdatenspeicherung weiterhin kritisch, jene sei “in all ihren Ausprägungen auf den Prüfstand zu stellen”.
17. Oktober 2017
Ende 2013 hatte ein Bundesbezirksgericht in New York einen Durchsuchungsbeschluss erlassen, in dem der Unternehmensriese Microsoft verpflichtet wurde, E-Mails eines Kunden herauszugeben. Hinsichtlich der Nachrichten des Nutzers, die auf us-amerikanischen Servern des Unternehmens gespeichert waren, tat dies Microsoft auch, verweigerte allerdings die Herausgabe der Mails, die auf Servern in Irland gespeichert waren. Dabei berief sich Microsoft darauf, dass hierfür die irischen Gerichte zuständig seien und zog vor das Bundesberufungsgericht für den 2. Bundesgerichtsbezirk (2nd Circuit). Die Richter des 2nd Circuit entschieden gegen das Begehren der US-Regierung zu Gunsten von Microsoft, da das zugrundeliegende US-amerikanische Gesetz “Stored Communications Act” nur im Inland gelte. Auf das Urteil des Gerichts hin beantragte die US-Regierung eine erneute Anhörung vor einer erweiterten Richterbank des selben Gerichts. Nur vier von acht Richtern des 2nd Circuit stimmten allerdings für eine neuerliche Anhörung. Der Antrag der US-Regierung wurde daher abgelehnt.
Als neuerlichen Versuch, den Durchsuchungsbefehl auch hinsichtlich der EU-Daten durchzusetzen, wandte sich die US-Regierung mit der Unterstützung von 33 US-Staaten an den US Supreme Court. Der US Supreme Court beschäftigt sich mit Rechtsfragen, die von Bundesberufungsgerichten uneinheitlich beantwortet wurden. In den meisten anderen Fällen wird ein Begehren allerdings abgelehnt. Im vorliegenden Fall hat sich der US Supreme Court jedoch dazu entschieden, die Frage der Anwendbarkeit des Gesetzes und der Zulässigkeit der Datenübermittlung von EU-Daten in die USA zu klären und den Fall daher angenommen. Dies untermauert die Brisanz, die diese Rechtsfrage beinhaltet.
Einen Termin für die mündliche Anhörung des Falls, der offiziell “In the Matter of a Warrant to Search a Certain E-Mail-Account Controlled and Maintained by Microsoft Corporation, United States of America v. Microsoft Corporation” heißt, gibt es noch nicht. Die Entscheidung des Falls ist daher ungewiss und mit Spannung zu verfolgen. Sollte der US Supreme Court geurteilt haben, werden wir erneut darüber berichten.
23. August 2017
Der chinesische Staat möchte bis 2020 ein „Sozialkreditsystem“ einsetzen. Es soll auf einer Erhebung der personenbezogenen Daten chinesischer Bürger beruhen, und als Rating-System gestaltet werden, das ihre „Ehrenhaftigkeit“ bewertet. Mehrere Pilotprojekte sollen derzeit schon existieren. Außerdem verwenden bereits manche große chinesische Unternehmen wie Alibaba eigene ähnliche Systeme zur Berechnung der Kreditwürdigkeit ihrer Kunden.
Das staatliche Projekt wird u.a. von dem chinesischen Softwareunternehmen Kingdee programmiert. Kingdee entwickelt die Plattformen, die von den Lokalregierungen zu Zwecken der Durchführung des Rating-Systems genutzt werden können. Die bereits beteiligten Behörden speichern über die Plattformen die personenbezogenen Daten, die sie online oder in staatlichen Registern über die Bürger sammeln konnten. Die eingesetzte Software bewertet sie anschließend mittels eines Algorithmus. Die chinesischen Machthaber planen dabei eine Bewertung der Bürger anhand von vier Hauptkriterien: Ihr Verhalten gegenüber der Verwaltung, ihre Einhaltung der Gesetze, ihre finanzielle Aktivität und ihr soziales Verhalten.
Diese Bewertung ermöglicht anschließend eine Belohnung oder Bestrafung der Betroffenen. Die Lokalregierungen, die das Sozialkreditsystem bereits eingeführt haben, verwenden eine Bewertungsskala mit den Noten A, B, C und D. Die unter A eingestuften Bürger werden in vieler Hinsichten bevorzugt behandelt: Sie erhalten leichter Visen, bekommen mehr Sozialleistungen, und ihre Kinder werden ggf. für Schulzulassungen privilegiert. Dagegen werden die „C- und D-Bürger“ bestraft: Sie dürfen teilweise keine Flug- oder Zugtickets mehr buchen, ihre Visa-Anträge werden abgelehnt, ihre Sozialleistungen werden gekürzt oder sogar gestrichen.
Dies besorgt vor allem Regierungskritiker, die eine noch weitere Einschränkung ihrer Meinungsfreiheit im Netz durch die Androhung dieser Strafen befürchten.
8. August 2017
Auch aus datenschutzrechtlicher Sicht ist bereits viel diskutiert worden, welche Folgen der Ausstieg des Vereinigten Königreichs aus der EU haben wird. Die britische Regierung hat nun aber verlauten lassen, trotz oder gerade wegen der Austrittsverhandlungen eine Anpassung des UK-Datenschutzrechts an die neuen EU-Maßstäbe der Datenschutz-Grundverordnung vornehmen zu wollen. Hierzu wurde die Pressemitteilung “Government to strengthen UK data protection law” veröffentlicht.
Die EU-Datenschutz-Grundverordnung gilt ab dem 25.05.2018 unmittelbar und zwingend in jedem EU-Mitgliedsstaat, lässt durch sogenannte Öffnungsklauseln aber zum Teil Spielraum für national individuelle Gestaltung. Als erster Mitgliedsstaat hat Deutschland hiervon Gebrauch gemacht und ein neues Bundesdatenschutzgesetz konzipiert, das die bestehenden Spielräume für sich nutzt. Dieses Vorgehen plant nun auch die britische Regierung und will die Regelungen der Datenschutz-Grundverordnung in die Zeit nach der Durchführung des Brexit “retten”. Durch ein an die EU-Verordnung angepasstes Datenschutzrecht soll der ungehinderte Datenfluss zwischen Großbritannien und den kontinentaleuropäischen Staaten über den Brexit hinaus sichergestellt werden. Dass man durch ein neues Gesetz die Datenschutz-Grundverordnung in britisches Recht überführe, sei ein wichtiger Baustein für eine erfolgreiche Durchführung des Brexits, so die Pressemeldung.
Für die Zulässigkeit der Datenübermittlung an Stellen außerhalb der EU (sogenanntes “Drittland”) verlangt die Datenschutz-Grundverordnung in Art. 45 ein “angemessenes Schutzniveau” in der betreffenden Region, welches von der Europäischen Kommission festgestellt werden kann. Hintergrund der geplanten Auferlegung der EU-Datenschutzregeln durch die britische Regierung dürfte daher sein, den Weg für einen entsprechenden Angemessenheitsbeschluss frühzeitig zu ebnen.
28. Juli 2017
Hackern gelang es durch einen Cyberangriff an Kontodaten von über 400.000 italienischen Kunden der UniCredit-Bank zu kommen. Das Unternehmen bestätigte den Angriff, unterstreicht allerdings auch, dass keine besonders kritischen Daten, wie Passwörter, kopiert wurden, die für einen Zugriff auf Kundenaccounts oder illegale Transaktionen genutzt werden könnten. Sicher ist jedoch, dass persönliche Informationen und die IBAN-Nummern der Kunden abhanden gekommen sind.
Bereits Ende 2016 war die UniCredit-Bank in das Visier von Hackern geraten und erlebt damit nun bereits den zweiten Cyberangriff innerhalb von zehn Monaten. Nach Angaben des Unternehmens soll der Zugriff auf die Daten über einen “unautorisierten Zugang durch einen italienischen Dienstleister” erfolgt sein.
Die UniCredit-Bank will nun 2,3 Milliarden Euro investieren, um die eigene IT-Sicherheit zu stärken. Zu beachten ist hierbei, dass das Unternehmen für die Datensicherheit ihrer Kunden und Partner stets selbst verantwortlich bleibt, auch wenn verschiedene Prozesse – wie hier – durch Outsourcing von anderen Unternehmen im Wege der Auftragsdatenverarbeitung übernommen werden. Das Outsourcing stellt aber oftmals auch ein erhöhtes Sicherheitsrisiko dar, weshalb bei der Auswahl des Dienstleisters und den zu treffenden Sicherheitsvorkehrungen höchste Sorgfalt geboten ist. Erst recht, wenn 2018 die DSGVO in Kraft tritt und solche Datenpannen mit erhöhten Bußgeldern geahndet werden können.
17. Mai 2017
Der Bundesminister für digitale Infrastruktur, Alexander Dobrindt (CSU), will das IT-Sicherheitsgesetz verschärfen. Grund für seinen Vorstoß ist der Krypto-Trojaner WannaCry, der in den letzten Tagen für Aufsehen sorgte.
Der Trojaner hat weltweit hunderttausende Windows-Rechner lahmgelegt. Die Ransomware WannaCry ist ein Erpressungstrojaner. Ist der Rechner einmal befallen verschlüsselt das Programm Benutzer- und Systemdateien und fordert den Nutzer auf, einen bestimmten Betrag in Bitcoins zu zahlen, damit die die Dateien wieder freigegeben werden. Zudem versucht das Programm noch weitere Rechner zu infizieren.
Steven Wilson, der Chef der Ermittlergruppe EC3, des europäischen Cybercrimezentrums, sagt: “Das ist der größte Cyberangriff, den wir weltweit bisher gesehen haben und wir können sein Ausmaß auf die Wirtschaft nicht vorhersagen”.
Das Ausmaß des Angriffs ist enorm, auch wenn der Trojaner inzwischen durch Zufall gestoppt wurde und das erpresste Geld wahrscheinlich nicht mehr als 30.000€ einbringen wird. Der Schaden ist riesig. Betroffen sind nicht nur tausende Rechner von Privatpersonen, sondern auch beispielsweise die Deutsche Bahn, die Probleme mit den Anzeigetafeln und Ticketautomaten seit Tagen versucht wieder in den Griff zu kriegen.
Auf Grundlage dessen fordert Bundesminister Dobrindt ein schärferes IT-Sicherheitsgesetz und bringt eine Meldepflicht ins Spiel, damit Infrastrukturen besser geschützt werden. „IT-Störungen sollen zwingend dem Bundesamt für Sicherheit in der Informationstechnik gemeldet werden“.
26. April 2017
Bei dem kostenlosen unroll.me handelt es sich um ein Programm, das das Email-Postfach seiner Nutzer aufräumt. Dazu werden beispielsweise Gmail-Konten nach Newslettern und Spam durchsucht, so dass diese im Anschluss abbestellt werden können.
Während ihrer Recherche-Arbeit über den Fahrdienstvermittler Uber ist die New York Times gleichzeitig auf die Praktiken von unroll.me aufmerksam geworden. Der Dienst nutzt den Zugriff auf die E-Mail-Konten seiner Nutzer neben dem Aufräumen nämlich auch dazu, Informationen über diese herauszufinden und sie anschließend anonymisiert weiter zu verkaufen.
Nutzer kritisieren den Verkauf ihrer Daten und argumentieren, dass auch ihre nicht-personenbezogenen Daten Rückschlüsse auf sie zuließen.
Der Gründer und Geschäftsführer von unroll.me, Jojo Hedaya, verweist in einer Stellungnahme auf seinem Blog ausdrücklich auf die Datenschutzbestimmungen seines Dienstes, in denen darauf hingewiesen wird, dass unroll.me nicht-personenbezogene Daten seiner Nutzer sammeln, nutzen, übertragen, verkaufen und offenlegen darf. Er versichert jedoch, dass unroll.me nicht auf die persönlichen Daten zugreift und diese dementsprechend auch nicht veröffentlicht oder verkauft werden.
Zum Abschluss verspricht er, dass die Praktiken für die Nutzer in Zukunft deutlicher zu erkennen sein sollen, als dies bisher in den Datenschutzbestimmungen der Fall ist.
Nach dem Kauf von WhatsApp durch Facebook vor zwei Jahren bewahrheitete sich die Befürchtung, dass Facebook auf die Nutzerdaten von WhatsApp-Nutzern zugreifen will relativ schnell. Der Bundesverband der Verbraucherzentralen (VZBV) mahnte WhatsApp im vergangenen September ab, dadurch wurde die Weitergabe der Nutzerdaten zumindest vorläufig gestoppt.
Um zu erreichen, dass die Datenkrake Facebook auch zukünftig nicht auf Nutzerdaten zugreifen darf wurde zudem Klage eingereicht. Das Verwaltungsgericht Hamburg (VG) hat am Dienstag beschlossen, dass eine Nutzung von personenbezogenen Daten deutscher WhatsApp-Nutzer nur bei Vorliegen einer den deutschen Datenschutzvorschriften entsprechenden Einwilligung erfolgen darf.
Weiterhin problematisch und noch nicht hinreichend geklärt ist allerdings, ob deutsches Datenschutzrecht überhaupt zur Anwendung kommt und der Datenschutzbeauftragte gegen die in Irland firmierende Facebook Ltd. vorgehen kann. Sofern das deutsche Datenschutzrecht angewendet werden kann, dürfte der Beschluss des VG Hamburg Bestand haben, denn die von WhatsApp benutzten Einwilligungserklärungen genügen den Anforderungen des deutschen Datenschutzrechts nicht.
Somit bleibt abzuwarten, ob ein von Facebook eingereichter Widerspruch gegen den Beschluss des VG Hamburg Erfolg haben wird.
Pages: 1 2 ... 15 16 17 18 19 ... 34 35 
