30. Januar 2019
Windows 10 gilt als besonders neugierig und wurde zum Start von Verbraucherschützern stark kritisiert. Der Vorwurf bestand darin, dass das neue Betriebssystem zu viele Daten sammle. Nach mehreren Updates werden Nutzer nunmehr auf die Einstellmöglichkeiten besser hingewiesen, allerdings muss der Nutzer selbst aktiv werden.
Wer weitreichende Einblicke in sein Nutzerverhalten vermeiden möchte, sollte die Standard-Einstellungen von Windows 10 ändern. Entweder wird man direkt nach der Installation der Software auf Datenschutzfragen hingewiesen oder man findet über “Start” unter “Einstellungen” den Unterpunkt “Datenschutz”. Im Folgenden wird auf die wichtigsten Datenschutzeinstellungen hingewiesen.
Grundsätzlich kann man erst einmal alles ausschalten. Es kann passieren, dass Funktionen blockiert werden, allerdings weisen die Apps einen darauf hin, sodass man die Funktionen für bestimmte Dienste (bspw. Standorterkennung für Google-Maps) wieder aktivieren kann.
Geht man auf die Datenschutzeinstellungen, stößt man zuerst auf den Reiter “Allgemein”, unter dem man die Werbe-ID deaktivieren kann. Die Werbe-ID speichert die Interessen des Nutzers über Produkte und Internetseiten. Diese Informationen helfen dabei, passende Werbung zu schalten. Wenn dies nicht wünscht ist, sollte neben der Werbe-ID auch die Punkte “Websites den Zugriff auf die eigene Sprachliste gestatten” und “Windows erlauben, das Starten von Apps nachzuverfolgen” ausgeschaltet werden.
Wenn die Kamera nicht benötigt wird, sollte sie ausgeschaltet werden. Unter dem Punkt “Kamera” kann festgelegt werden, ob diese aktiv sein soll und welche Programme die Kamera nutzen darf.
Microsoft enthält weniger Informationen über Ihr Nutzerverhalten, wenn Sie unter dem Punkt “Diagnose” die Einstellung “Einfach” wählen. Soll der Rechner nicht über Sprache oder Stift gesteuert werden, kann die Funktion “Freihand- und Eingabeerkennung verbessern” ausgeschaltet werden. Damit ein automatisches und unbemerktes Abrufen von Nutzerdaten durch Microsoft verhindert werden kann, muss bei “Feedbackhäufigkeit” die Einstellung “Nie” gewählt werden. Wird nur auf einem Gerät Windows 10 genutzt, können unter “Aktivitätsverlauf” alle Funktionen deaktiviert werden.
Unter “Kontoinformationen” kann eingestellt werden, welche Apps auf das eingerichtete Konto zugreifen dürfen. Wichtig ist dies beispielsweise für die Mail-Anwendung. Im Rahmen der “Hintergrund-Apps” wird festgelegt, welche Programme im Hintergrund Daten austauschen dürfen. So können beispielsweise automatisch E-Mails abgerufen werden. Wird diese App ausgeschaltet, muss das Abrufen manuell erfolgen. Gleiches gilt für Diagnosedaten, Dokumente, Bilder, Videos sowie das Dateisystem.
Mit Beschluss vom 20.12.2018 hat die 3. Kammer des Zweiten Senats des Bundesverfassungsgericht entschieden, die Verfassungsbeschwerde eines E-Mail-Anbieters gegen eine von der Staatsanwaltschaft Stuttgart angeordnete Erhebung und Übermittlung von IP-Adressen nicht zuzulassen. Im Rahmen einer ordnungsgemäß veranlassten Telekommunikationsüberwachung sollte der E-Mail-Anbieter wegen mutmaßlicher Verstöße gegen das Betäubungsmittel- und das Kriegswaffenkontrollgesetz eines Nutzers die IP-Adressen des betreffenden Nutzers der Staatsanwaltschaft zur Verfügung stellen.
Im Rahmen der Verfassungsbeschwerde führte der E-Mail-Anbieter aus, dass ihm dies nicht möglich sei, da die IP-Adressen aus Gründen der Datenvermeidung und der Datensparsamkeit lediglich anonymisiert gespeichert würden. Nach Auffassung des E-Mail-Anbieters sei es technisch nicht erforderlich, die IP-Adressen mit Personenbezug zu speichern und er sei hierzu auch nicht per Gesetz verpflichtet. Die § 100 Abs. 3 S. 2 StPO a.F. iVm § 7 Abs. 1 S. 2 Nr. 4 Telekommunikationsüberwachungsverordnung würden lediglich dazu verpflichten, bereits vorhandene Daten an die Strafverfolgungsbehörden zu übermitteln. Da die IP-Adressen aber schon nicht in der notwendigen Form protokolliert werden würde, seien schon keine Daten zur Übermittlung vorhanden.
Dieser Ansicht folgte das Bundesverfassungsgericht jedoch nicht. Um eine E-Mail einem Empfänger zuordnen zu können, müsse die IP-Adresse zumindest vorübergehend für die Dauer der Kommunikation zwischengespeichert werden. Damit seien die Daten jedoch bei dem Anbieter vorhanden. Der E-Mail-Anbieter müsse seine Dienste so einrichten, dass er im Falle ordnungsgemäß angeordneter Überwachungsmaßnahmen die angefragten IP-Adressen in verwertbarer Form an die Strafverfolgungsbehörden weitergeben könne. Hierzu verpflichte schon § 110 Abs. 1 Nr. 1 TKG, nach dem Anbieter öffentlicher Telekommunikationsdienste auf eigene Kosten technische Einrichtungen zur Umsetzung gesetzlich vorgesehener Maßnahmen zur Überwachung der Telekommunikation vorhalten und organisatorische Vorkehrungen für deren unverzügliche Umsetzung treffen müssen.
29. Januar 2019
Der iPhone-Telefoniedienst Facetime weist einen Softwarefehler auf, welcher das Ausspionieren von Kontakten ermöglicht. Die Panne tritt bei der Gruppenfunktion von Facetime auf, die relativ neu eingeführt und nun deaktiviert wurde. Durch den Softwarefehler konnte der Anrufer den Angerufenen noch bevor er den Anruf abnahm, hören. Der Fehler werde in den kommenden Tagen per Sofwareupdate behoben. Auch Mac-Computer sind davon betroffen.
Erst Ende Oktober wurde die Gruppenfunktion mit der Version 12.1 des iPhone-Systems iOS hinzugefügt. Es bleibt unklar, wie lange der Softwarefehler bestand.
Für Apple ist diese Datenpanne sehr unangenehm, da ihr Konzernchef Tim Cook momentan für einen starken Datenschutz wirbt. Außerdem ist Apple für die Komplett-Verschlüsselung und Sicherheit seiner Dienste bekannt.
28. Januar 2019
Das Unternehmen Google scheint gegen die kürzlich ergangene Entscheidung der Commission Nationale de l’Informatique et des Libertés (CNIL) vorzugehen. So sei Google weiterhin der Meinung, den Informatonspflichten genügt zu haben und beruft sich überdies darauf, diese in Absprache mit den Behörden vorgenommen zu haben.
Die CNIL hatte gegenüber Google eine Strafe in Höhe von 50 Millionen Euro ausgesprochen. Ob diese Bestand hat, wird sich nun zeigen. Es bleibt die Entscheidung des obersten Verwaltungsgerichtes – dem Staatsrat – abzuwarten.
25. Januar 2019
Grundsätzlich ist jedes Unternehmen und jede Behörde durch die neuen Gesetze dazu angehalten sensibel Daten zu verschlüsseln. Viele Unternehmen schätzen den Nachdruck, der hinter der Umsetzung steht, falsch ein. Erst wenn Daten verloren gehen oder durch Hacker gestohlen und veröffentlicht werden, wird die Bedeutung der Gesetze greifbar.
Auch wenn in der DSGVO nicht explizit das Wort “Verschlüsselung” verwendet wird, ist es trotzdem zwingend, dass Daten spätestens bei Speicherung in einer Cloud oder bei Übermittlung via Internet verschlüsselt werden müssen.
Geheimnisträger wie beispielsweise Anwälte, Notare sowie Wirtschaftsprüfer sind zu dem noch an den im Jahr 2017 neugefassten § 203 StGB gebunden, der den Schutz von Informationen zusätzlich regelt. Im Falle eines Verstoßes drohen Bußgelder sowie Gefängnisstrafen.
Der Schutz von Daten wird in vielen Branchen durch zusätzliche Normen geschützt. Ärzte und Apotheker sind beispielsweise an das E-Health-Gesetz gebunden. Betreiber kritischer Infrastrukturen unterliegen dem IT-Sicherheitsgesetz, welches ausdrücklich eine Verschlüsselung vorschriebt.
Liebe Leserinnen, liebe Leser,
danke, dass Sie unseren Datenschutzticker abonniert haben! Wenn Ihnen das Angebot gefällt, schauen Sie doch gerne einmal auf unserem englischsprachigen Blog, dem privacy-ticker , vorbei.
Auch dort halten wir Sie rund um das Thema Datenschutz auf dem Laufenden und fokussieren uns vor allem auf internationale Entwicklungen und Meldungen. Wenn Sie also stets über internationale Datenschutzgesetze und Datentransfer, Meldungen über Facebook, Google und Co. sowie viele weitere Themen informiert werden möchten, abonnieren Sie doch gerne auch unseren privacy-ticker.
See you soon!
In der ersten Sitzung des Europäischen Datenschutzausschusses (EDSA) im neuen Jahr wurden unter anderem folgende Punkte aufgegriffen: der EU-US Privacy Shield, Leitlinien zur Zertifizierung und die Verbesserung der Kommunikation mit Social-Media-Anbietern bei Datenschutzvorfällen. Vor allem die Überprüfung des EU-US Privacy Shield und der dazugehörige Berichtsbeschluss waren wichtige Tagesordnungspunkte der Sitzung. Trotz Überprüfung durch US-Behörden bestehen weiterhin gewichtige Kritikpunkte. Einer dieser Kritikpunkte ist das Fehlen einer dauerhaften Besetzung der Ombudsperson und die Offenlegung ihrer Befugnisse gegenüber den Sicherheitsbehörden.
Ein weiteres wichtiges Thema war die Verabschiedung der Guidelines on Certification. Diese Leitlinien sollen eine Unterstützung für die Ausgestaltung von Zertifizierungsprozessen nach der DSGVO sein. Zusammen mit den bereits vergangenen Jahres verabschiedeten Guidelines on Accreditation dienen beide Papiere als wichtige Orientierungshilfen.
Um bei Datenschutzvorfällen im Social-Media-Bereich schneller reagieren zu können hat man sich in der Sitzung das Ziel gesetzt gemeinsam technische und organisatorische Maßnahmen zu erörtern, um in Eilfällen eine unmittelbare Kontaktaufnahme mit den verantwortlichen Stellen zu ermöglichen. Dazu werden deutsche Aufsichtsbehörden ein Vorschlag erarbeiten.
Der Bundesdatenschutzbeauftragte Ulrich Kelber betonte nach seiner ersten Teilnahme am EDSA noch einmal die Wichtigkeit dieses Gremiums: “Daten kennen schon lange keine Grenzen mehr. Daher muss auch ihr Schutz grenzübergreifend sein.”
23. Januar 2019
Nach der Entscheidung des Landgerichts Frankfurt am Main (LG Frankfurt a.M. – Az.: 2-03 O 283/18) ist der Besitzer eines Friseursalons verpflichtet, Videoaufnahmen, in der eine Kundin bei der Behandlung erkennbar ist und die er zu Werbezwecken auf seiner Facebook-Fanpage veröffentlicht hat, von der Internetseite zu entfernen. Grund hierfür ist, dass der Besitzer des Friseursalons nicht glaubhaft gemacht hat, dass eine Einwilligung der Kundin zu der Fertigung und Veröffentlichung der Videoaufnahmen vorlag.
Der Besitzer des Friseursalons behauptet, dass die Kundin ausdrücklich auf die Videoaufzeichnung und die Veröffentlichung hingewiesen wurde und diese ausdrücklich darin eingewilligt hat. Hilfsweise behauptete er, dass die Einwilligung zumindest stillschweigend erfolgte. Die Kundin behauptet, dass ein solcher Hinweis zu keinem Zeitpunkt erfolgt ist und sie auch keine Einwilligung erteilt habe. Da der Besitzer des Friseursalons die Beweislast dafür trägt, nachzuweisen, dass eine Einwilligung erteilt wurde und er dies nicht glaubhaft machen konnte, wurde er verurteilt, die Videoaufnahmen von der Internetseite zu entfernen.
Auch das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f Datenschutzgrundverordnung (DSGVO) kann in diesem Fall nicht als Rechtsgrundlage herangezogen werden. Zwar sei die Verarbeitung von personenbezogenen Daten zu Zwecken der Direktwerbung anerkannt. Es sei aber fraglich, ob die Verwendung von Bildaufnahmen hierzu erforderlich sei. In diesem Fall überwiegt jedenfalls das Interesse der Kundin, dass diese Form der Verarbeitung unterbleibt.
Das LG Frankfurt a.M. lässt bei der Entscheidung bedauerlicherweise offen, ob es seine Begründung auf §§ 22, 23 Kunsturhebergesetz (KUG) stützt oder aber auf die DSGVO. Somit ist die Unsicherheit, ob die Regelungen des KUG Normen im Sinne von Art. 85 Abs. 1 DSGVO sind, nicht beseitigt.
Die Organisation Non-OF-Your-Business (NOYB) kritisiert die aus ihrer Perspektive bestehenden strukturellen Verstöße gegen die DSGVO. So moniert NOYB die fehlerhafte – oder gänzlich unterbleibende – Auskunftserteilung im Kontext etwaiger Betroffenenanfragen.
Konkret kritisiert die Organiation die großen bekannten Streaming-Dienste aus den Bereichen Film, Musik und Video. Diese würden ihren Nutzern selbst im Falle eines beantworteten Auskunftsbegehrens nach Art. 15 der Datenschutzgrundverordnung (DSGVO) lediglich Daten in unzureichendem Maße zur Verfügung stellen. Insbesondere würde nicht mitgeteilt, wer die Daten von den Verantwortlichen erhalte.
Problematisch ist dies aufgrund der Tatsache, dass die Verantwortlichen – bei einem dahingehenden Auskunftsbegehren – zur Mitteilung gewisser Informationen an die betroffenen Personen verpflichtet sind. Hiervon sind nach Maßgabe des Art. 15 Abs. 1 lit c) DSGVO ebenfalls die Empfänger der personenbezogenen Daten umfasst. Ein derartiger Verstoß birgt mithin das Risiko eines Bußgeldes durch die Aufsichtsbehörde.
22. Januar 2019
Das kleine Versandunternehmen Kolibri Image wurde von der Hamburger Datenschutzbehörde aufgefordert, ein Bußgeld in Höhe von 5000 Euro zuzüglich 250 Euro Gebühren zu zahlen. Grund hierfür war nach Art. 83 Abs. 4 lit. a Datenschutzgrundverordnung (DSGVO) das Fehlen eines Auftragsverarbeitungsvertrags mit einem spanischen Dienstleister des Versandunternehmens.
Ausgangspunkt für das Bußgeld war, dass Kolibri Image sich im Mai 2018 an den Hessischen Datenschutzbeauftragten gewandt hatte, weil der spanische Dienstleister trotz mehrfacher Aufforderung keinen Vertrag zur Auftragsverarbeitung übersandt hatte. Die Behörde erwiderte, dass die Pflicht zum Abschluss eines Auftragsverarbeitungsvertrages sowohl den Verarbeiter als auch den Verantwortlichen treffe. Das Unternehmen solle und müsse deshalb selbst eine entsprechende Vereinbarung verfassen und an den Auftragsverarbeiter zwecks Unterschrift übermitteln.
Als Kolibri Image daraufhin antwortete, dass man sich diese Arbeit, insbesondere wegen der teuren Übersetzung, nicht machen wolle, gab die hessische Behörde die Sache an die zuständigen Kollegen aus Hamburg ab. Der Hamburger Datenschutzbeauftragte sieht in dem Verhalten des Unternehmens einen Verstoß gegen Art. 28 Abs. 3 DSGVO und hatte deswegen die Geldbuße verhangen. Nach Ansicht der Behörde wurden schützenswerte Daten ohne Rechtsgrundlage an den Dienstleister übermittelt. Erschwerend wirke sich aus, dass man diese Praxis aufrechterhalten habe, obwohl dem Unternehmen die Datenverarbeitungsprozesse des Verarbeiters explizit nicht bekannt waren. Schließlich fehle es auch an einer Zusammenarbeit mit der Behörde, die sich strafmildernd auswirken könne.
Kolibri Image kündigte bereits an, gegen den Bescheid einen Widerspruch einzulegen. Zu Recht?
Zwar liegt der Bußgeldbescheid, und somit der genaue Sachverhalt, hier nicht vor, es drängen sich jedoch, insbesondere wegen der Diskussionen im Internet über diesen Fall, zwei Fragen auf.
Zum einen scheint die Frage, ob hier überhaupt ein Auftragsverarbeitungsverhältnis vorliegt, noch klärungsbedürftig, da dies von der Behörde bevor der Bescheid erlassen wurde gar nicht geprüft worden sei.
Darüber hinaus stellt sich die Frage, wann die Grenze zur Selbstbelastungsfreiheit überschritten ist. Das Unternehmen hat im vorliegenden Fall mit seiner initativen Anfrage bei der Datenschutzbehörde den Stein selbst ins Rollen gebracht. Sofern der Verantwortliche sich bezüglich seiner gesetzlichen Meldepflichten nicht ganz sicher ist, sollte er sich also stets datenschutzrechtlichen Rat einholen, bevor er sich an die Behörde wendet.
Pages: 1 2 ... 95 96 97 98 99 ... 275 276 
