LDI NRW: 60.000 Euro Bußgeld für die Easycash GmbH

13. September 2011

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Lepper hat bekannt gegeben, gegen die Easycash GmbH – ein Dienstleistungsunternehmen, das Lastschriftverfahren im Rahmen der EC-Kartenzahlung für Einzelhändler abwickelt – ein Bußgeld in Höhe von 60.000 Euro verhängt und damit die unzulässige Weitergabe von rund 400.000 Kontodaten und Daten über Ort, Zeitpunkt und Höhe von Zahlungsvorgängen sanktioniert zu haben. Diese Daten wurden einem Schwesterunternehmen der Easycash GmbH, das Kunden- und Bonusprogramme anbietet, zur statistischen Auswertung übermittelt.

„Wer Zahlungsvorgänge quasi als Treuhänder für Einzelhandelsunternehmen abwickelt, muss besonders sorgfältig mit diesen Daten umgehen. Er darf so sensible Daten über Zahlungsverhalten und Kontoverbindungen, die durchaus auch Profilbildungen erlauben würden, nicht für andere Zwecke an Dritte übermitteln. Deswegen musste ich hier einschreiten“, kommentierte Lepper sein Vorgehen. Er zeigte sich jedoch erfreut, dass sich das Unternehmen in Datenschutzfragen kooperativ gezeigt und das Bußgeld bereits gezahlt habe. Außerdem habe Easycash nicht nur die Weitergabe von Kontoverbindungsdaten an Dritte umgehend eingestellt, sondern auch die von ihm geforderten Änderungen umgesetzt. (sa)

Sächsischer Landesdatenschutzbeauftragter zur Dresdner Datenschutzaffäre

12. September 2011

Der Sächsische Landesdatenschutzbeauftragte  hat in einem Bericht zu der nichtindividualisierten Funkzellenabfrage und anderen Maßnahmen der Telekommunikationsüberwachung, die von Ermittlungsbehörden in Dresden im Februar dieses Jahres durchgeführt wurden, kritisch Stellung bezogen. Seiner Ansicht nach ist die Funkzellenabfrage der SoKO 19/2 über „das Ziel hinausgeschossen“. Zwar sei ein Konzept zur Reduzierung der Daten auf das für die Strafverfolgung erforderliche Maß vorhanden gewesen, eine über die zeitliche und örtliche Beschränkung hinausgehende Prüfung der Verhältnismäßigkeit sei jedoch ausgeblieben. Die Funkzellenabfragen des LKA Sachsen wiederum sollen  „weit über das Ziel“ hinaus gegangen sein, da die zeitlichen und örtlichen Ausmaße unangemessen gewesen seien und überdies auf eine Verhältnismäßigkeitsprüfung sowie ein Konzept zur Reduzierung der Daten auf das erforderliche Maß gänzlich verzichtet worden sei. Daher hat der Sächsische Landesdatenschutzbeauftragte die Polizeidirektion Dresden, das Landeskriminalamt sowie die Staatsanwaltschaft Dresden jeweils nach § 29 SächsDSG beanstandet.

Er verlangt nun, dass die namentlich bekannt gewordenen Betroffenen rückwirkend informiert und die gespeicherten Datenbestände in den Arbeitsdateien unverzüglich reduziert werden. Die für die Strafverfolgung nicht erforderlichen Daten sollen gelöscht, Rohdaten wiederum gesperrt werden. Für die Zukunft sollen Funkzellendaten nicht für Gefahrenabwehrzwecke gespeichert und der Kennzeichnungspflicht der erhobenen Daten nachgekommen werden. Des weiteren solle diese Enscheidung über die Verwendung von Verkehrsdaten aus den Funkzellenabfragen künftig bei anderen Verfahren Berücksichtigung finden. Dies bedinge, dass in den zu stellenden Anträgen die genaue Bezeichnung der Rechtsgrundlagen erfolge und anhand eines allgemeinen Reduzierungskonzepts, welches für solche Fälle zu erstellen ist, vorgegangen werde. Explizit fordert er ferner, die Schaffung untergesetzlicher Handlungsanweisungen und die Präzisierung der gesetzlichen Grundlagen. (sa)

Sony reagiert mit neuem Sicherheitschef auf Datenschutzdisaster

8. September 2011

Nach den verheerenden Angriffen auf das Playstation Network und Qriocity reagiert Sony mit der Ernennung eines neuen IT-Sicherheitschefs.

Um den „Sommer der Schicksalsschläge, Katastrophen und Unglücke“, wie Sonys Vorstandsvorsitzender Howard Stringer die Vorfälle gegenüber der FAZ nannte, nicht zu einem ganzen Jahr werden zu lassen, ernannte das japanische Unternehmen nun Philip R. Reitinger zum Chef der globalen IT-Sicherheit. Reitinger war zuvor in Schlüsselpositionen der US-Heimatschutzbehörde, bei Microsoft sowie im amerikanischen Verteidigungs- und Justizministerium tätig.

Eine weitere Maßnahme zur Bewältigung des Skandals besteht darin, dass der in Verruf geratene Name Qriocity in Zukunft nicht mehr verwendet wird. Anlässlich der IFA in Berlin gab das Unternehmen bekannt, seine Musik- und Videodienste künftig unter dem Dach des „Sony Entertainment Network“ anzubieten. (se)

Auftragsdatenverarbeitung in Indien nicht von neuen Datenschutzregeln betroffen

Wie bereits im Vorfeld erwartet, reagierte die indische Regierung auf die anhaltende Kritik aus der Wirtschaft, die in Bezug auf 43a IT Act laut wurde. In einer Mitteilung vom 24.08.2011 wird nunmehr klargestellt, dass die angegriffenen Regeln ausschließlich auf indische Unternehmen, die in einem direkten Vertragsverhältnis mit einer natürlichen Person stehen, anzuwenden sind. Es wird weiterhin explizit ausgeführt, dass die Regeln nicht anwendbar sind, wenn ein Auftragsdatenverarbeitungsverhältnis mit einem indischen Unternehmen besteht.

Unternehmen, die ihre Datenverarbeitung nach Indien ausgelagert haben, sind somit voraussichtlich durch die Neuregelung nicht betroffen. (se)

Meldewesen: Weniger Bürokratie und mehr Datenschutz

6. September 2011

Das Bundesministerium des Inneren hat bekanntgeben, dass die Bundesregierung nunmehr den vorgelegten Entwurf eines Gesetzes zur Fortentwicklung des Meldewesens (MeldFortG) beschlossen hat. Mit diesem Gesetzesentwurf wird die dem Bund übertragene ausschließliche Gesetzgebungskompetenz für das Meldewesen wahrgenommen und ein Bundesmeldegesetz initiiert. Damit soll das Melderecht in Deutschland harmonisiert und fortentwickelt werden.

Vorgesehen ist unter anderem, dass Prozessabläufe „verschlankt“ und auf diese Weise Bürokratiekosten abgebaut werden, wobei mit Einsparungen von rund  117 Mio. Euro jährlich gerechnet wird. Diese Einsparungen sollen sich auch dadurch ergeben, dass Krankenhäuser und ähnliche Einrichtungen in Zukunft keine gesonderten Verzeichnisse über ihre Patienten zu führen haben und auch die Hotelmeldepflicht u.a. dadurch vereinfacht werden soll, dass Hotelmeldescheine bundeseinheitlich nur noch ein Jahr aufzubewahren sind. Daneben ist es Ziel des Gesetzentwurfes, den Datenschutz für die Bürgerinnen und Bürger zu stärken. Künftig sollen bei einfachen Melderegisterauskünften gewerbliche Auskünfte nur noch zweckgebunden erteilt werden und für Auskünfte zu Zwecken des Adresshandels und der Werbung eine Einwilligung des Betroffenen erforderlich sein. Die Speicherfrist für Meldedaten nach Wegzug oder Tod des Betroffenen wird auf das Minimum von fünf Jahren beschränkt. Weiterhin sollen die Informationsmöglichkeiten öffentlicher Stellen erheblich verbessert werden. Nach dem Gesetzesentwurf sollen diese länderübergreifend und zeitlich unbegrenzt online auf die Meldedatenbestände zugreifen können. (sa)


BITKOM: Studie zu sozialen Netzwerken

5. September 2011

Nach den Ergebnissen einer  jüngst durch den Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. (BITKOM) durchgeführten Studie sind 76 Prozent aller Internetnutzer Mitglied in zumindest einer Online-Community, durchschnittlich sogar in 2,4 Online-Communities. Im Schnitt soll jedes Mitglied 133 Kontakte pflegen, wobei jüngere Mitglieder unter 30 Jahren generell kontaktfreudiger sein und durchschnittlich über mehr als 200 Kontakte verfügen sollen. Elf Prozent der Mitglieder ordnet BITKOM wiederum als sog. Heavy User ein, was bedeutet, dass sie täglich mehr als zwei Stunden in den Netzwerken verbringen. Frauen liegen in der Community-Nutzung mit 80 zu 74 Prozent deutlich vor den Männern. „Junge Frauen werden zu den Vorreitern in der digitalen Welt“, so BITKOM-Präsident Kempf. (sa)

Kategorien: Allgemein
Schlagwörter: ,

Auslieferung der elektronischen Gesundheitskarte

2. September 2011

Seit dem gestrigen Tag wird die neue elektronische Gesundheitskarte (eGK) bundesweit ausgeliefert. Die gesetzlichen Krankenkassen sind verpflichtet, bis zum Jahresende mindestens 10 % ihrer Versicherten mit einer solchen Karte ausstatten. Ansonsten droht eine Kürzung ihrer finanziellen Mittel.

Derzeit ist die eGK lediglich mit einem Lichtbild und einem zunächst funktionslosen Chip ausgestattet und ersetzt die bisherige Krankenversichertenkarte. Ab 2012 wird mit deren Hilfe online überprüft werden können, ob und in welchem Umfang Patienten gesetzlich krankenversichert sind. Frühestens 2014 sollen – sofern der Betroffene explizit eingewilligt hat – auf der eGK zusätzliche personenbezogene Daten des Versicherten, wie z.B. dessen „Notfalldaten“ in Form von Blutgruppe, chronischen Erkrankungen, Allergien etc. und elektronische Arztbriefe, gespeichert werden können. Noch ungewiss ist, ob und wann weitere Punkte, wie z.B. die elektronische Patientenakte, realisiert werden.

Die für den funktionsgerechten Gebrauch zwingende Anschaffung von eGK-fähigen Kartenlesegeräten seitens der Arztpraxen ist jedenfalls noch nicht flächendeckend erfolgt. So sollen beispielsweise in Rheinland-Pfalz nach Angaben des Landesbeauftragten für den Datenschutz in Rheinland-Pfalz zurzeit nur in rund der Hälfte aller Arztpraxen neue Kartenlesegeräte vorhanden sein. (sa)

Einsatz von Körperscannern in Deutschland vom Tisch

1. September 2011

Zu einem flächendeckenden Einsatz von Körperscannern, der gerade auch im Hinblick auf Datenschutzaspekte immer wieder Bedenken aufwirft, wird es in Deutschland in nächster Zeit nicht kommen.

Nach Abschluss der Auswertung einer zehnmonatigen Testphase am Hamburger Flughafen teilte das Innenministerium zwar mit, „dass Körperscanner grundsätzlich geeignet sind, die Effizienz und Effektivität von Luftsicherheitskontrollen zu verbessern.“ Nichtsdestotrotz spricht das BMI der aktuellen Gerätegeneration jedoch die Eignung für die Praxis ab. Dies wird damit begründet, dass infolge von Fehlalarmen in zu vielen Fällen Nachkontrollen notwendig seien, die die Kontrollen verlängerten.

Bis es zu weiteren technologischen Fortschritten kommt, dürfte die Diskussion um Körperscanner daher vorwiegend auf europäischer Ebene geführt werden. (se)

Kategorien: Allgemein
Schlagwörter:

Artikel-29-Gruppe zu Anforderungen an die informierte Zustimmung von Werbecookies

Zur Vorbereitung eines Treffens zwischen dem Internet Advertising Bureau (IAB) und der European Advertising Standards Alliance (EASA), welche die Interessen der Onlinewerbewirtschaft wahrnehmen, und der Artikel-29-Datenschutzgruppe hat deren Vorsitzender Jacob Kohnstamm in einem Brief Stellung zur Frage genommen, welche Anforderungen an eine Zustimmung zur Speicherung von Cookies zu stellen sind. Diese Frage stellt sich infolge der ePrivacy Richtlinie der EU, welche den Anbietern von Internetdiensten vor der Nutzung von Cookies bestimmte Informationspflichten auferlegt und Ihnen abverlangt eine Einwilligung der Nutzer einzuholen. Auf Grund dieser Verpflichtung wird die Richtlinie auch als Cookie Richtlinie bezeichnet. Zum Inhalt der ePrivacy Richtlinie und deren Umsetzung in nationales Recht finden Sie bereits einige Artikel in unserem Blog.

Der Brief Kohnstamms stellt eine Antwort auf den Vorschlag der Werbewirtschaft dar, der im Kern in einem nichterfolgten Opt-Out eine Einwilligung der Nutzer sieht.

Kohnstamm stellt dabei klar, dass in dem Unterbleiben eines Opt-Outs keineswegs eine freiwillig gegebene und informierte Zustimmung zu sehen sei. Er begründet dies damit, dass durchschnittliche Nutzer kaum Kenntnisse über die Methoden der verhaltensbasierten Onlinewerbung hätten und demzufolge auch nicht wüssten, wie man diesen widerspricht. Eine Zustimmung basierend auf einem unterbliebenen Opt-Out bezeichnet er daher als illusorisch. Damit folgt Kohnstamm mit seiner Argumentation dem rechtlichen Grundsatz, dass ein Schweigen keine Willenserklärung darstellt.

Weiterhin führt Kohnstamm aus, dass auf einer Website, die mehrere Werbenetzwerke einsetzt, für jedes Werbenetzwerk eine einzelne informierte Zustimmung zu verlangen sei. Den Nutzern dürfe es nicht zum Nachteil gereichen, wenn eine Websitebetreiber auf mehrere Werbepartner setze.  Ist jedoch dasselbe Werbenetzwerk auch auf einer anderen Website aktiv ist, solle es keiner erneuten Zustimmung bedürfen. Die informierte Zustimmung ist laut Aussage Kohnstamms daher auf das das jeweilige Werbenetzwerk und nicht auf die einzelne Website bezogen. Dies habe auch zur Folge, dass sich die Flut der Zustimmungs-Pop-Ups automatisch im Verlauf der Internetnutzung reduziere. Nichtsdestotrotz schließt die Artikel-29-Gruppe nicht grundsätzlich aus, dass die Industrie eine einheitliche zentralisierte Möglichkeit zur Annahme (oder Ablehnung) von Werbecookies über eine Website schaffe, solange eine feingestaffelte Abstufung möglich bleibe. Kohnstamm forderte die Industrieverantwortlichen explizit auf, zusammen eine gangbare Lösung zu entwickeln.

Auch eine einheitliche browserbasierte Lösung, welche auf Basis von Erwägungsgrund 66 der Richtlinie angedacht wird, lehnt die Artikel-29-Gruppe nicht schlichtweg ab. Unabdingbar sei jedoch, dass der Browser als Voreinstellung alle Cookies ablehne, um den Nutzern überhaupt eine Zustimmungsmöglichkeit zu eröffnen. Auch hier führt Kohnstamm aus, dass es dem durchschnittlichen Nutzer an Kenntnis bezüglich der Einstellungsmöglichkeiten des Browsers in Bezug auf Onlinewerbung fehle. Damit eine Zustimmung über den Browser den Erfordernissen der Richtlinie entspreche, müsste dieser auch die Möglichkeit bieten, die relevanten Informationen über den Zweck des Cookies und die weitere Verarbeitung [der Daten] anzuzeigen. Die Artikel-29-Grupppe erkennt zwar ausdrücklich die Fortschritte der Browserhersteller im letzten Jahr an, hält aber nochmals fest, dass die Voreinstellung Cookies generell anzunehmen, nicht im Einklang mit der von der Richtlinie geforderten informierten Zustimmung stehe.

Schlußendlich erläutert Kohnstamm, welche Anforderungen an eine informierte Zustimmung zu stellen seien. So müssten sämtliche Informationen derart bereitgestellt werden, dass sie auch dem durchschnittlichen Nutzer einleuchteten. Voraussetzung für das Setzen eines Tracking-Cookies sei es, dem Nutzer zu erklären, dass basierend auf seiner Aktivität beim Besuch von Websites ein Profil angelegt werde, um ihm Werbung anzuzeigen. Dies müsse in klarer und unmissverständlicher Art und Weise erfolgen. Aktuell ließe sich das noch nicht, wie von IAB/EASA vorgeschlagen, über ein einheitliches Icon bewerkstelligen, da die Nutzer diesem Icon nicht den entsprechenden Aussagegehalt beimessen könnten. Weiterhin müssten die geforderten Informationen leicht zugänglich sein. Dies könne insbesondere nicht angenommen werden, wenn drei Klicks bis zum Ziel notwendig seien. (se)

1 155 156 157 158 159 167