Datenvorratsspeicherung steht weiterhin zur Debatte

14. August 2017

Aus einem von der britischen Bürgerrechtsorganisation Statewatch veröffentlichten und als vertraulich eingestuften Papier der estnischen Präsidentschaft des EU-Ministerrates geht hervor, dass neue Wege gesucht werden, um zukünftig bereits bestehende Daten längerfristig für die Bekämpfung schwerer Straftaten speichern zu können.

Zuvor hatte der Europäische Gerichtshof bereits 2014 die EU-Richtlinie zur Datenvorratsspeicherung für mit der EU-Grundrechtecharta nicht vereinbar erklärt und diese Entscheidung im Jahr 2016 bestätigt. Auch das Bundesverfassungsgericht hat entschieden, dass die anlasslose Vorratsdatenspeicherung gegen die Grundrechte verstößt.

Aus dem Papier geht hervor, dass die Mitgliedsstaaten alle Möglichkeiten ausloten sollen, unter denen die Speicherung erhobener Verbindungsdaten möglich ist und welche mit der neuen ePrivacy Verordnung in Einklang stehen.

Insbesondere soll dabei geprüft werden, ob Behörden zur Bekämpfung von schweren Straftaten auf die von Providern und IT-Dienstleistern gespeicherten Daten zurückgreifen dürfen. Providern ist die Speicherung bestimmter Daten erlaubt, um beispielsweise gegen Betrugsfälle vorzugehen oder um sie zu Abrechnungszwecken zu nutzen. Auch die Möglichkeit eines Rückgriffs auf die von Messenger Diensten wie WhatsApp, die die Einwilligung ihrer Nutzer in die Speicherung derer Daten haben, soll erwogen werden.

Eine weitere Überlegung betrifft die Einführung eines Systems, über das die Rückgängigmachung bereits pseudonymisierter Daten möglich sein soll und die Überprüfung ob ein solches mit geltendem EU-Recht vereinbar wäre. Durch eine Pseudonymisierung könnte die Privatsphäre der betroffenen Personen grundsätzlich gewahrt werden und nur im Ermittlungsfall die Daten de-pseudonymisiert werden.

Es bleibt abzuwarten, wie sich das Thema weiterentwickelt. Die Mitgliedsstaaten sollen ihre Vorschläge bis zum 04. September 2017 einreichen. Jedoch bestehen angesichts der Grundsatzurteile des EuGH hohe Anforderungen hinsichtlich datenschutzrechtlicher Gesichtspunkte, die es bei der Umsetzung zu beachten gäbe.

GFF reicht Verfassungsbeschwerde gegen das Bayerische Verfassungsschutzgesetz ein

11. August 2017

Die Gesellschaft für Freiheitsrechte e.V. (GFF) hat letzte Woche eine Verfassungsbeschwerde gegen das neue Bayerische Verfassungsschutzgesetz eingereicht.

In der am 2. August 2017 veröffentlichten Pressemitteilung begründete die GFF ihre Klage durch die Hervorhebung „uferloser Befugnisse des Bayerischen Inlandsgeheimdienstes“.

Das umstrittene Gesetz ist am 1. August 2016 in Kraft getreten und erlaubt dem bayerischen Landesamt für Verfassungsschutz auf die Vorratsdatenspeicherung zuzugreifen, ein Zugriffsrecht das von der GFF in ihrer Pressemitteilung als „unkontrolliert“ bezeichnet wurde. Es ermöglicht des Weiteren die Anordnung von Online-Durchsuchungen mittels „Staatstrojaner“ gegen bloße Kontakt- und Begleitpersonen. Die GFF sieht darin einen Grundrechtseingriff. Auch bemängelt die GFF fehlende Kontrollen der Überwachungstätigkeit der bayerischen Geheimdienste durch unabhängige Stellen.

BAG Urteil zum Beschäftigtendatenschutz

Das Bundesarbeitsgericht (BAG) hat kürzlich ein mit Spannung erwartetes Urteil (Az.: 2 AZR 681/16) zum Beschäftigtendatenschutz gefällt.

Das BAG musste sich mit der Kündigung eines Web-Entwicklers befassen, dem wegen eines vermuteten Arbeitszeitbetrugs durch seinen Arbeitgeber gekündigt wurde.

Die Vermutung beruhte auf einer Keylogger-Software die auf dem Dienst-PC des Gekündigten installiert war und dauerhaft sämtliche Tastatureingaben aufzeichnete und in regelmäßigen Abständen Screenshots von dem Bildschirm gemacht hat. Dadurch kam nach einer Auswertung der erstellten Daten der Verdacht auf, ein Gespräch mit dem Arbeitnehmer folgte und bestätigte die Daten. Daraufhin wurde der Web-Entwickler außerordentlich fristlos, hilfsweise ordentlich gekündigt.

Gegen die auf dieser Grundlage ausgesprochene Kündigung ging der Arbeitnehmer vor Gericht. In dem Kündigungsschutzverfahren konnte der Arbeitgeber die Pflichtverletzung des Arbeitszeitbetrugs dann allerdings nicht mehr nachweisen. Das BAG erklärte die aufgezeichneten Daten von der Keylogger-Software, wegen Verstoßes gegen das Datenschutzrecht, für unverwertbar. Es liegt ein Verstoß gegen § 32 Bundesdatenschutzgesetz (BDSG) vor. Die Software wurde ohne Verdacht auf Arbeitszeitbetrug ins Blaue hinein auf dem PC des Arbeitnehmers installiert.

Das BAG bestätigt damit die vorinstanzlichen Entscheidungen. Datenschutzwidrige Beweise sind vor den Gerichten nicht verwertbar.

Grundsätzlich lässt sich festhalten, dass der Einsatz einer solchen Keylogger-Software nicht illegal ist, allerdings braucht es zumindest bereits einen begründeten Verdacht einer Straftat oder sonstigen schwerwiegenden Pflichtverletzung. Somit ist die Verwendung nur in Ausnahmefällen datenschutzrechtlich unbedenklich.

Passwort-Vorgaben im Unternehmen: Der Vorreiter bereut sein Werk

Bill Burr ist 72 Jahre alt, mittlerweile im Ruhestand und arbeitete beim National Institute of Standards and Technology, das unter anderem für Technlogiestandards zuständig ist. Er ist auch derjenige, der die Vorgaben für Passwörter verfasst hat, die mehr als ein Jahrzent als das Nonplusultra galten. Im Rahmen seines 2008 verfassten Dokumentes „NIST Special Publication 800-63. Appendix A“ empfahl er, welche Passwort-Richtlinien Behörden, Unternehmen und Webseitenbetreiber für ihre Nutzer und Mitarbeiter einführen sollten.

Konkret regte Burr an, dass Passwörter alle 90 Tage gewechselt werden sowie stets nicht nur kleine und große Buchstaben, sondern auch eine Nummer und ein Sonderzeichen enthalten sollten. Der Schutz, der durch solche Maßnahmen tatsächlich erreicht wird, ist allerdings schon seit längerem fraglich. So schätzte Microsoft-Analyst Cornac Herley schon vor Jahren, dass die Pflicht, das Passwort in regelmäßigen Abständen zu wechseln, mehr koste als eventuelle Angriffe von IT-Kriminellen, vor denen der Wechsel des Kennwortes schützen soll. Auch die Varation zwischen normalen Buchstaben, Zahlen und Sonderzeichen bringt oftmals nicht den gewünschten Effekt der höheren Sicherheit, da Nutzer in vielen Fällen einfach nur einen Begriff variieren und die einzelnen Buchstaben eines Wortes mit Sonderzeichen – wie etwa dem „$“ für ein „S“ – ersetzen. Algorithmen, die dafür genutzt werden, Passwörter erraten zu können, können diese Varationen leicht erraten.

Wie Burr in einem Interview mit dem Wall Street Journal erklärte, bereue er seine Empfehlungen mittlerweile: „Vieles von dem, was ich getan habe, bereue ich.“ Sein Problem war vor allem, dass 2003 der Kenntnisstand über den effektiven Schutz von Passwörtern sehr gering war und er sich daher laut seinen Angaben im Interview auf ein Paper aus den 1980er Jahren stützte. Einem Jahrzent, in dem nur Wenige überhaupt ein Computerpasswort benutzten.

Nicht nur deswegen hat der NIST in diesem Sommer Burrs Empfehlungen komplett überarbeitet. Dabei konnten sie auf die Auswertung von einer Vielzahl von Passwörtern zurückgreifen, die Hacker in den letzten Jahren nach Angriffen auf beliebte Webseiten geknackt und ins Netz gestellt hatten. Dies half dem NIST, zu verstehen, wie Nutzer ihre Kennwörter auswählen und wie leicht sie für Hacker zu knacken sind. Nach Ansicht des NIST empfiehlt es sich daher, Passwörter aus möglichst mehreren Wörter zu bilden, sodass ein langes Passwort entsteht. Die Nutzung von Sonderzeichen und Zahlen ist dabei nicht mehr erforderlich.

Höchstmögliches Bußgeld wegen unerlaubter Telefonwerbung

9. August 2017

Nachdem sich bei der Bundesnetzagentur rund 2.500 Verbraucher über Werbeanrufe der Energy2day GmbH  über rechtswidrige Werbeanrufe für Energielieferverträge beschwert hatten, verhängte die Behörde in der vergangenen Woche ein Bußgeld in Höhe von 300.00 Euro gegenüber dem Unternehmen. Dies ist das nach Gesetz gegen den Unlauteren Wettbewerb (UWG) höchstmögliche Bußgeld.

Energy2day hatte sich in den Anrufen als örtlicher Energieversorger ausgegeben oder behauptet, es würde mit diesem zusammenarbeiten. Ziel war es, die Verbraucher zum Wechsel ihres Stromlieferanten zu bewegen. Das Unternehmen hatte dazu in der Vergangenheit eine komplexe Vertriebsstruktur aufgebaut und mit einer Vielzahl an Untervertriebspartnern u.a. auch im Ausland zusammengearbeitet, die als Subunternehmer derartige Anrufe getätigt haben.

Inwiefern Energy2day ihrer Aussage nachkommt, kein Telefonmarketing gegenüber Verbrauchern mehr betreiben zu wollen, wird die Bundesnetzagentur beobachten.

Datenschutz-Grundverordnung in Großbritannien trotz Brexit?

8. August 2017

Auch aus datenschutzrechtlicher Sicht ist bereits viel diskutiert worden, welche Folgen der Ausstieg des Vereinigten Königreichs aus der EU haben wird. Die britische Regierung hat nun aber verlauten lassen, trotz oder gerade wegen der Austrittsverhandlungen eine Anpassung des UK-Datenschutzrechts an die neuen EU-Maßstäbe der Datenschutz-Grundverordnung vornehmen zu wollen. Hierzu wurde die Pressemitteilung „Government to strengthen UK data protection law“ veröffentlicht.

Die EU-Datenschutz-Grundverordnung gilt ab dem 25.05.2018 unmittelbar und zwingend in jedem EU-Mitgliedsstaat, lässt durch sogenannte Öffnungsklauseln aber zum Teil Spielraum für national individuelle Gestaltung. Als erster Mitgliedsstaat hat Deutschland hiervon Gebrauch gemacht und ein neues Bundesdatenschutzgesetz konzipiert, das die bestehenden Spielräume für sich nutzt. Dieses Vorgehen plant nun auch die britische Regierung und will die Regelungen der Datenschutz-Grundverordnung in die Zeit nach der Durchführung des Brexit „retten“. Durch ein an die EU-Verordnung angepasstes Datenschutzrecht soll der ungehinderte Datenfluss zwischen Großbritannien und den kontinentaleuropäischen Staaten über den Brexit hinaus sichergestellt werden. Dass man durch ein neues Gesetz die Datenschutz-Grundverordnung in britisches Recht überführe, sei ein wichtiger Baustein für eine erfolgreiche Durchführung des Brexits, so die Pressemeldung.

Für die Zulässigkeit der Datenübermittlung an Stellen außerhalb der EU (sogenanntes „Drittland“) verlangt die Datenschutz-Grundverordnung in Art. 45 ein „angemessenes Schutzniveau“ in der betreffenden Region, welches von der Europäischen Kommission festgestellt werden kann. Hintergrund der geplanten Auferlegung der EU-Datenschutzregeln durch die britische Regierung dürfte daher sein, den Weg für einen entsprechenden Angemessenheitsbeschluss frühzeitig zu ebnen.

Bedenken des EU-Datenschutzbeauftragten zum „Once-Only“-Prinzip

4. August 2017

Im Rahmen der Realisierung des digitalen Binnenmarkts wurde im April 2016 von der EU-Kommission ein „E-Government Action Plan“ veröffentlicht. Eines der Grundprinzipien dieses Plans lautet „Once-Only“-Prinzip. Es soll den Bürgern bürokratischen Aufwand ersparen, indem sie in Zukunft nur einmal ihre persönlichen Daten bei Behörden angeben müssten. Nach der einmaligen Eintragung bei einem Amt würden die Daten auch von anderen Behörden verwendet werden können.
In einer am ersten August 2017 verfassten Stellungnahme des EU-Datenschutzbeauftragten hat der EU-Datenschutzbeauftragte Giovanni Buttarelli mehrere Bedenken bezüglich des „Once-Only“-Prinzips geäußert. Er hob insbesondere die noch zu unklare Rechtsgrundlage für die Verarbeitung der nur einmal eingetragenen Daten durch mehrere Ämter und die mögliche Gefährdung der Einhaltung der Grundsätze der Zweckbestimmung und der Datensparsamkeit hervor. Ferner wünschte sich der EU-Datenschutzbeauftragte, dass in dem Verordnungsentwurf verdeutlicht wird, wie die Anforderungen an eine wirksame Einwilligung nach der EU-Datenschutzgrundverordnung berücksichtigt werden.

Datenschutzrechtliche Aspekte bei der Nachrüstung von Dieselfahrzeugen

Mitte dieser Woche fand in Berlin der sogenannte Diesel-Gipfel statt. Auf diesem Gipfel haben die deutschen Hersteller von Diesel-Fahrzeugen zugesagt, rund 5,3 Millionen Autos mit einer neuen Abgas-Software auszustatten. Mit diesem kostenlosen Update soll der Ausstoß des Atemgifts Stickoxid verringert werden.

Neben der Frage, ob dieses Software-Update wirklich zu einer relevanten Absenkung des Stickoxidausstoßes führt, zeigt sich nun, dass die Autohersteller möglicherweise auch grundsätzliche datenschutzrechtliche Aspekte nicht mitbedacht haben. Die entsprechende Software-Nachrüstung betrifft vor allem ältere Dieselfahrzeuge. Gerade solche älteren Modelle sind oftmals aber schon an neue Besitzer weiterverkauft, sodass die Hersteller in den meisten Fällen die neuen Besitzer der Fahrzeuge nicht kennen werden. Demnach müsste für eine Nachrüstung das Kraftfahrtbundesamt der Industrie den Herstellern Namen und Adresse der Käufer übermitteln.

Eine Sprecherin der Bundesdatenschutzbeauftragten Andrea Voßhoff bestätigte, dass eine solche Datenweitergabe durch das Kraftfahrtbundesamt einer ausdrücklichen Einwilligung der Betroffenen oder einer einschlägigen gesetzlichen Grundlage bedürfe. Eine ausdrückliche Einwilligung dürfte jedoch in kaum einem Fall vorliegen. Demnach prüft das Verkehrsministerium aktuell, ob es eine gesetzliche Grundlage für die Übermittlung der Daten der Fahrzeugbesitzer gibt. Eine Datenübermittlung käme eventuell dann in Betracht, wenn ein Fahrzeugrückruf aufgrund erheblicher Mängel für die Verkehrssicherheit oder die Umwelt rechtlich geboten sei.

Automatische Gesichtserkennung durch Kameras – Modellversuch in Berlin

3. August 2017

In Berlin ist diese Woche ein Pilotprojekt zur Gesichtserkennung gestartet. Am Bahnhof Südkreuz wird mit mehreren Kameras ein optisches Überwachungssystem getestet. Die Testphase ist für ein halbes Jahr angelegt.

Mit knapp 300 Teilnehmern, die häufig die speziellen Videokameras passieren, soll getestet werden, ob ihre Gesichter automatisch von den Kameras identifiziert werden. Dafür wurde eine Datenbank mit biometrischen Fotos der Teilnehmer angelegt. Um den Test datenschutzrechtlich abzusichern ist der Testbereich durch Schriftzüge und Hinweisschilder markiert, so dass Passanten, die nicht erfasst werden wollen, den Bereich umgehen können. Ob dies tatsächlich den datenschutzrechtlich Anforderungen entspricht, ist stark umstritten. Das Bundesverfassungsgericht hatte am 23.02.2007 zu dieser Thematik folgendes festgestellt:

„Von einer einen Eingriff ausschließenden Einwilligung in die Informationserhebung kann selbst dann nicht generell ausgegangen werden, wenn die Betroffenen aufgrund einer entsprechenden Beschilderung wissen, dass sie im räumlichen Bereich der Begegnungsstätte gefilmt werden. Das Unterlassen eines ausdrücklichen Protests kann nicht stets mit einer Einverständniserklärung gleichgesetzt werden.“

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk kritisiert das Projekt genauso wie der Deutsche Anwaltverein (DAV) .“Es gibt keine grundgesetzliche Basis dafür, diese Methode flächendeckend einzuführen“, sagte der Präsident des DAV, Ulrich Schellenberg. Eine Software, die Gesichter in der Öffentlichkeit automatisch erkennt, verletze die Persönlichkeitsrechte der Bürger. Eine wasserdichte Norm, die diesen Angriff auf die informationelle Selbstbestimmung rechtfertige, gäbe es nicht.

Nach Ansicht von Innenminister Thomas de Maizière kann durch das optisches Überwachungssystem das Sicherheitsgefühl der Bevölkerung gestärkt werden. Der technische Fortschritt dürfe bei den Sicherheitsbehörden nicht haltmachen. Die Polizei brauche nicht nur Personal und Befugnisse, sondern auch gute Ausrüstung und intelligente Technik.

 

Unzulässiger Einsatz von Keylogger-Software

31. Juli 2017

Das Bundesarbeitsgericht hat mit Urteil vom 27.07.17 entschieden, dass die verdeckte Überwachung eines Arbeitnehmers mittels Keylogger-Software gemäß § 32 Abs. 1 Bundesdatenschutzgesetz (BDSG) unzulässig ist, solange kein hinreichend konkreter Verdacht einer Straftat oder einer anderen schweren Straftat besteht. (vgl. BAG, Urt. v. 27.03.2003 Az. 2 AZR 51/02)

In dem konkreten Fall hatte ein Arbeitnehmer gegen die außerordentliche, fristlose Kündigung seines Arbeitgebers geklagt. Dieser hatte auf den PCs seiner Mitarbeiter Keylogger installiert, die das Verhalten der Angestellten kontrollierte, indem alle Tastatureingaben protokolliert, sowie regelmäßig Screenshots angefertigt wurden. Hierdurch kam zum Vorschein, dass der betroffene Mitarbeiter den PC, während seiner Anwesenheit, mehrere Stunden außerdienstlich genutzt hatte, um unter anderem ein Computerspiel zu programmieren, darüber hinaus hatte er täglich Aufträge des Unternehmens seines Vaters bearbeitet.

Bereits das Landesarbeitsgericht Hamm hatte in der Vorinstanz entschieden, dass der Einsatz von Keylogger Software unverhältnismäßig sei, da es beispielsweise auch möglich gewesen wäre, den Computer in Anwesenheit des Angestellten zu durchsuchen bzw. zu kontrollieren. Das BAG bestätigte das Urteil und entschied, dass es durch den Einsatz der Software zu einem Eingriff in das informationelle Selbstbestimmungsrecht des Angestellten gekommen sei.
Der Verstoß des Arbeitgebers gegen § 32 BDSG führt zu einem Verwertungsverbot. Eine Überwachung des Mitarbeiters war nach § 32 Abs. 1 BDSG nicht zulässig gewesen, da kein auf konkreten Tatsachen beruhender Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung bestand.

1 19 20 21 22 23 165