28. Januar 2020
Während die EU-Kommission über
ein zeitweiliges Verbot der Verwendung von Gesichtserkennung zum Schutz der
Persönlichkeitsrechte nachdenkt, hat die britische Polizei als Teil eines
risikoorientierten Plans zur Regulierung der künstlichen Intelligenz den
Einsatz der datenschutzfeindlichen Technologie vorangetrieben und die operative
Nutzung der Live-Gesichtserkennungskameras in der britischen Hauptstadt erlaubt.
Die britische Polizei erklärte,
dass die Technologie dabei helfen würde, Verdächtige schnell zu identifizieren
und festzunehmen sowie schwere Verbrechen unter anderem Waffen- und
Messerverbrechen zu bekämpfen. Die
Kameras würden in Vierteln eingesetzt, in denen es wahrscheinlich sei, dass
sich bestimmte Verdächtigte aufhalten.
Die Technologie, die die Polizei einsetzen
wird, geht über die verwendeten Gesichtserkennungssysteme hinaus, die ein Foto
mit einer Datenbank abgleichen, um eine Person zu identifizieren. Die neuen
Tools verwenden eine Software, die Personen auf einer polizeilichen
Beobachtungsliste sofort identifizieren kann, sobald sie von einer Videokamera
gefilmt werden.
27. Januar 2020
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Ulrich Kelber hat in seiner Stellungnahme zur Datenstrategie der Bundesregierung dazu aufgefordert, den „Datenschutz als Innovationsmotor einer Digitalisierung made in Germany bzw. made in Europe zu sehen.
Der BfDI fordert, dass klare
Grenzen gesetzt werden sollen, „wo Daten von Bürgerinnen und Bürger[n] nicht
mit ihrem Einverständnis und zu ihrem Wohl, sondern zu deren Nachteil genutzt
werden oder genutzt werden können“. Um diesen Grundschutz in der
digitalisierten Welt zu erreichen seien klare Regelungen und wirksame Sanktionen
notwendig.
Dabei würde Datenschutz die technische Entwicklung nicht blockieren. Der Datenschutz in Form einer „digitalen Souveränität“ soll Innovationen eine Richtung vorgeben. Die Datenstrategie der Bundesregierung soll den Bürgerinnen und Bürgern ermöglichen die Hoheit über ihre digitalen Datenspuren zurückzugewinnen. So kann Datenschutz zum „Alleinstellungsmerkmal für Produkte und Dienstleistungen“ werden.
„Erste Grundlagen wurden bereits gelegt: Die Datenethikkommission hat der Bundesregierung
wichtige Empfehlungen gegeben, wie datenschutzfreundliche
Innovationen gezielt gefördert werden können. Gerade im Bereich Dataspaces, persönliche Datenmanagementsysteme
und Datentreuhänder sowie dezentrales Lernen könnte Deutschland leicht
in Führung gehen. Auch im Bereich der Interoperabilität
können Regierung und Gesetzgeber Voraussetzungen schaffen, damit die bestehenden Oligopole abgebaut werden
und Raum für europäische Anbieter entsteht.“
Am Donnerstag, den 23. Januar fand im Bundeskanzleramt eine Expertenanhörung zur Datenstrategie der Bundesregierung statt. Experten aus Wirtschaft, Wissenschaft und Politik haben über die Frage „Wie können wir in Deutschland Daten verantwortungsvoll und innovativ nutzen?“ beraten.
Der Modehändler H&M steht wegen massiven Datenschutzverstößen in der Kritik. Die FAZ berichtete am Samstag, dass H&M im großen Stil private Daten seiner Mitarbeiter gesammelt und gespeichert hat. Die FAZ zitiert den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit mit den Worten, dass die Daten „detaillierte und systematische Aufzeichnungen von Vorgesetzten über ihre Arbeitnehmerinnen und Arbeitnehmer“ enthalten. Dabei geht es auch um Krankheiten und Familienstreitigkeiten.
Die Datenschutzbehörde in Hamburg (dort hat die Deutschlandzentrale von H&M ihren Sitz) ein Bußgeldverfahren eingeleitet, so die FAZ, nachdem sich der Verdacht der Spionage erhärtete. Der Datenschutzbeauftragte Johannes Caspar teilte mit, dass „das qualitative und quantitative Ausmaß der für die gesamte Leitungsebene des Unternehmens zugänglichen Mitarbeiterdaten eine umfassende Ausforschung der Mitarbeiterinnen und Mitarbeiter zeigt, die in den letzten Jahren ohne vergleichbares Beispiel ist“.
Der Umfang der Datenspeicherung war zufällig aufgeflogen, als Mitarbeiter des Kundencenters beim Durchstöbern interner Dateien im IT-System auf offen zugängliche Ordner mit brisantem Material stießen.
H&M äußerte sich zum Vorfall und teilte mit, dass der Vorfall ernst genommen werde und er aufrichtig bedauert wird. Der Vorfall befände sich in juristischer Prüfung.
Was für ein Bußgeld die Hamburger Datenschützer ins Auge fassen, bleibt abzuwarten.
23. Januar 2020
Laut Pressemitteilung vom 22.01.2020 könnte die Landeshauptstadt Potsdam Opfer eines Cyberangriffs geworden sein. Infolgedessen wurde der Server der Verwaltung vor etwa 48 Stunden offline gestellt.
Der Oberbürgermeister Mike Schubert erklärte: „Wir haben unsere Systeme aus Sicherheitsgründen offline gestellt, weil wir von einer illegalen Cyberattacke ausgehen müssen“. Weiterhin versicherte er: „Wir arbeiten mit Hochdruck daran, dass die betroffenen Systeme der Verwaltung baldmöglichst wieder eingeschaltet werden und wir wieder sicher arbeiten können. Bis dahin bitten wir um Geduld bei allen Anliegen, die die Bürgerserviceeinrichtungen betreffen“.
Hintergrund für die Vermutung eines Cyberangriffs waren laut Schubert „zahlreiche Ungereimtheiten“, die in den letzten 2 Tagen in den zentralen Netzzugängen festgestellt worden sind. Angeblich wurde, aufgrund einer „Schwachstelle im System eines externen Anbieters“, von außen versucht unberechtigt Daten vom Server der Stadt Potsdam abzurufen. Zusätzlich wurde probiert eine Schadstoffsoftware zu installieren.
Über das Ausmaß der Schäden kann zurzeit noch keine Aussage getroffen werden. Die It-Experten untersuchen momentan die Systeme, versuchen sie wiederherzustellen und die Datensicherheit zu gewährleisten. Die Stadt Potsdam hat Anzeige gegen Unbekannt gestellt und die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht (LDA) Brandenburg informiert. Die Verwaltungsvorgänge sind zurzeit stark eingeschränkt. Die Verwaltung ist nicht mehr per E-Mail, sondern nur noch telefonisch erreichbar.
22. Januar 2020
Aufgrund der neuesten Berichte über das US-Unternehmen Clearview, das eine Datenbank mit rund 3 Milliarden frei im Internet verfügbaren Fotos erstellt haben soll und mit dieser nun bei Behörden für einen Gesichtserkennungsdienst wirbt, hat sich Ulrich Kelber, der Bundesdatenschutzbeauftragte, nun klar gegen ein solches Vorgehen in Europa gestellt.
Im Statement gegenüber den Zeitungen des „Redaktionsnetzwerks Deutschland“ stellte Kelber klar, dass die biometrische Gesichtserkennung im öffentlichen Raum einen potenziell sehr weitgehenden Grundrechtseingriff darstelle, der auf jeden Fall durch konkrete Vorschriften legitimiert sein müsste, an der es allerdings bislang fehle. Fraglich sei allerdings auch bereits, ob eine solche Rechtsgrundlage überhaupt verfassungskonform ausgestaltet werden könne.
Kelber befürchtet zudem, dass der Einsatz von Gesichtserkennung im öffentlichen Raum das Verhalten der betroffenen Bürger zu sehr beeinträchtigen könnte, die so beispielsweise auf die Teilnahme an Demonstrationen – und damit auf die Ausübung ihrer Freiheitsrechte – verzichten könnten, um so eine Identifizierung durch Gesichtserkennung zu verhindern.
Letztlich liegt es daher nach Aussage Kelbers daran, den Einsatz von Technologie so zu regulieren, dass eine missbräuchliche und sozialschädliche Nutzung ausgeschlossen wird.
21. Januar 2020
Der Europäische Gerichtshof befasst sich derzeit im Rahmen mehrerer Vorabentscheidungsverfahren wieder einmal mit der Zulässigkeit verschiedener nationaler Regelungen zur Vorratsdatenspeicherung. In diesen Verfahren haben zwei Generalanwälte nun ihre Schlussanträge vorgelegt. Diese sind für den EuGH zwar nicht bindend, regelmäßig zeichnet sich in ihnen jedoch die spätere Entscheidung ab, sodass sich hier schon eine nähere Betrachtung lohnt.
Bereits 2014 hatte der EuGH die Richtlinie 2006/24/EG zur Vorratsdatenspeicherung von Telekommunikationsverkehrsdaten für unverhältnismäßig und damit nichtig erklärt (verbundene Rechtssachen C‑293/12 und C‑594/12), ebenso wie im Jahr 2016 verschiedene, auf dieser Richtlinie beruhende nationale Regelungen (verbundene Rechtssachen C‑203/15 und C‑698/15). Das Gericht begründete seine Entscheidungen insbesondere damit, dass eine anlasslose und undifferenzierte Vorratsdatenspeicherung einen unverhältnismäßigen Eingriff in die Grundrechte der Betroffenen darstelle. Trotz dieser eindeutigen Entscheidungen weigerten sich jedoch zahlreiche Mitgliedsstaaten, auf die bereits erlassenen Gesetze zur Vorratsdatenspeicherung zu verzichten. Unter anderem die entsprechenden Gesetze aus Frankreich, Belgien, Großbritannien und Estland sind der Anlass dafür, dass sich der EuGH nun erneut mit dieser Frage beschäftigt.
Bereits vergangene Woche hat der in vier Verfahren (Verbundene Rechtssachen C‑511/18 und C‑512/18, Rechtssache C‑520/18 und Rechtssache C‑623/17) zuständige Generalanwalt Campos Sánchez-Bordona seine jeweiligen Schlussanträge vorgelegt. Neben der Anwendbarkeit der Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG) behandelt der Generalanwalt vor allem die Frage, unter welchen Umständen eine Vorratsdatenspeicherung zulässig sein könnte. Eine allgemeine und unterschiedslose Speicherung könne jedenfalls – so sah es auch schon der EuGH in den oben genannten Urteilen – nicht zulässig sein.
Der Generalanwalt liefert jedoch zugleich mehrere Situationen bzw. Ausgestaltungsmöglichkeiten nationaler Regelungen, die eine zulässige Vorratsdatenspeicherung ermöglichen könnten. Dies sei beispielsweise bei einer zeitlich beschränkten Speicherung nur solcher Kategorien von Daten denkbar, die für eine wirksame Kriminalitäts- und Terrorismusbekämpfung absolut unerlässlich sind. Wichtig sei auch ein begrenzter Zugang zu diesen Daten, etwa durch eine vorherige gerichtliche Kontrolle. Ausnahmsweise könne eine weitreichende Vorratsdatenspeicherung aber auch denkbar sein, wenn die Mitgliedsstaaten durch zeitlich beschränkte und Rechtsschutzgarantien beinhaltende Notstandsregelungen auf unmittelbare Bedrohungen reagieren müssen.
In einem weiteren Verfahren (Rechtssache C‑746/18) wurden am heutigen Dienstag (21.01.2020) die Schlussanträge von Generalanwalt Giovanni Pitruzella veröffentlicht. Dabei ging es zwar nicht um die Speicherung der Daten an sich, sondern um die Zulässigkeit des Zugangs durch staatliche Behörden zu diesen Daten. Der Generalanwalt weist aber darauf hin, dass der Zugang nur dann gerechtfertigt sein könne, wenn schon die Speicherung dieser Daten nach den unionsrechtlichen Vorgaben zulässig ist. Hinsichtlich der Rechtmäßigkeit der Speicherung verweist dieser nun ebenfalls auf die bisherige Rechtsprechung des EuGH zur allgemeinen und unterschiedslosen Speicherung. Weitere Ausgestaltungsmöglichkeiten hinsichtlich der Zulässigkeit der Speicherung, wie sie in den Schlussanträgen von Generalanwalt Campos Sánchez-Bordona enthalten sind, finden sich hier jedoch nicht.
Nun bleibt abzuwarten, ob der EuGH diesen Ansichten folgen wird, wobei erst in einigen Monaten mit entsprechenden Entscheidungen zu rechnen ist. Von Interesse sind diese Entscheidungen auch deshalb, weil das Bundesverwaltungsgericht erst im September 2019 die deutsche Regelung zur Vorratsdatenspeicherung – welche vergleichsweise kurze Speicherfristen vorsieht – dem EuGH vorgelegt hat. Ob der komplexen rechtlichen Problematik jedoch mit einer neuen Richtlinie zur Vorratsdatenspeicherung begegnet werden kann, wie teilweise von politischer Seite gefordert wird, ist fraglich.
Nach Recherchen der New York Times hat das US-Unternehmen Clearview mehrere Milliarden Fotos von Nutzern aus sozialen Netzwerken wie Facebook, YouTube und Instagram gesammelt. Damit hat das Unternehmen die bisher größte bekannte Gesichtsdatenbank aufgebaut.
Clearview verkauft die Datenbank in Form einer App an seine Kunde. Mit Hilfe der App sollen Millionen Menschen innerhalb von Sekunden erkannt werden können.
Die App wurde im letzten Jahr bereits von 600 Behörden genutzt. Dabei machen insbesondere Strafverfolgungsbehörden von der privaten Datenbank Gebrauch. Die Behörden seien, auch wenn sie nicht genau wüssten wie Clearview arbeite, von den Ergebnissen überzeugt. Unter den Kunden sollen sich auch private Sicherheitsunternehmen befinden.
Der Bericht zeigt zudem die Gefahren der massenhaften Datensammlung des Unternehmens im Hinblick auf den Schutz der Privatsphäre des Einzelnen auf.
So offenbart die App nicht nur den Namen einer Person, sondern liefert auch weitere persönliche Daten über den Wohnort, die Aktivitäten sowie Freunde und Bekannte.
Darüber hinaus ist die Fehleranfälligkeit der Gesichtserkennungssoftwares allgemein bekannt. Es besteht daher durchaus die Möglichkeit, dass eine falsche Person durch die Clearview Datenbank identifiziert wird und im Zweifel ins Visier der Strafverfolgungsbehörden gerät.
Weiterhin ist auch nicht bekannt, wie Clearview die Fotos, die US-Behörden zwecks Gesichtserkennung auf die Server des Unternehmens laden, im datenschutzrechtlichen Sinne schützt. Die Firma Clearview war vor den Recherchen der New York Times praktisch unbekannt und gibt sich Mühe im Hintergrund zu bleiben.
17. Januar 2020
Seit dem 1. Januar gilt die Bonpflicht in Deutschland, das heißt auch für Apotheken, dass sie für ihre Kunden nach dem Erwerb von Medikamenten zwingend ein Kassenbon erstellen und mitgeben müssen.
Problematisch bei Apotheken im Gegensatz zu Bäckereien und Supermärkten ist, dass ihre Kassenbons personenbezogene Daten, wie den Namen, das Geburtsdatum, die Anschrift sowie das erworbene Produkt, enthalten. Es handelt sich hier um sensible Gesundheitsdaten, die einen besonderen Schutz genießen. Damit könnte es zu einem Problem werden, wenn die Kunden ihre Kassenbons vergessen oder verlieren. Die Frage ist, wie weit die datenschutzrechtliche Verantwortung von Apotheken in dieser Hinsicht geht.
Die Bundesvereinigung Deutscher Apothekerverbände e. V. wies darauf hin, dass in der Apotheke bewusst verbliebene personalisierte Bons von der Apotheke datenschutzkonform zu vernichten, also möglichst zu schreddern, sind.
Die Apothekenkammer Berlin erklärt zudem: „Verliert der Kunde einen personalisierten Kassenbon in der Apotheke oder lässt er den Bon bewusst oder versehentlich in der Apotheke liegen, verbleiben diese sensiblen Daten im Hoheitsbereich der Apotheke als datenschutzrechtlich verantwortliche Stelle. Liegt in der Offizin ein solcher personalisierter Bon und wird dies moniert – beispielsweise durch eine Beschwerde bei der zuständigen Berliner Landesdatenschutzbeauftragten –, trifft den Apothekeninhaber oder die Apothekeninhaberin die Beweislast, dass ihn oder sie daran kein Verschulden trifft.“
Die datenschutzrechtliche Verantwortung der Apotheke endet laut Kammer-Info, wenn der Kunde die Apotheke mit dem Bon verlassen hat. Dann sei es Angelegenheit des Kunden, wie er mit dem Bon umgeht: ob er ihn verwahrt, vernichtet oder ob er ihn einfach wegwirft.
Empfehlenswert ist es, überhaupt keine personenbezogene Daten auf die Kassenbons mehr zu drucken.
16. Januar 2020
Bereits im Juni 2018 berichteten wir über die Verpflichtung von Arztpraxen zur Bestellung von Datenschutzbeauftragten (DSB) nach der DSGVO. Grundsätzlich durfte man zu diesem Zeitpunkt davon ausgehen, dass bei einer Beschäftigtenanzahl von 10 Personen häufig eine Bestellpflicht vorlag, wenn wenn diese 10 Mitarbeiter ständig personenbezogene Daten verarbeiteten.
Der Bundestag hat mit Beschluss des sogenannten Zweiten
Datenschutzanpassungs- und Umsetzungsgesetzes im Juni 2019 diese Anforderungen
für Kleinunternehmen gelockert und die Zahl der Beschäftigen auf 20 angehoben. Das
Gesetz wurde am 25.11.2019 im Bundesgesetzblatt verkündet. Insgesamt wurden
dadurch Anpassungen in rund 150 Gesetzen erforderlich.
Aufgrund des geänderten § 38 BDSG besteht seitdem für Ärzte, die eine eigene Praxis betreiben, erst ab einer Mitarbeiterzahl von 20 Personen eine erhöhte Bestellpflicht. Mit der Veränderung wolle man „vor allem eine Entlastung kleiner und mittlerer Unternehmen sowie ehrenamtlich tätiger Vereine“ erreichen, heißt es in der Gesetzesbegründung. Kritisiert wurde an der Gesetzesänderung vor allem der Umstand, dass lediglich die Pflicht zur Bestellung eines DSB erleichert worden wäre, alle anderen datenschutzrechtlichen Verpflichtungen für kleinere Unternehmen aber nicht angetastet wurden, sodass die Änderung den Unternehmen deswegen nicht viel nütze.
Zu beachten ist allerdings, dass die Mitarbeiterzahl in Arztpraxen ist im Hinblick auf die Bestellpflicht dann irrelevant ist, wenn dort Datenschutzfolgenabschätzungen vorgenommen werden. Dann besteht die Pflicht zur Bestellung eines DSB unabhängig von der Anzahl der Beschäftigten. Datenschutzfolgenabschätzungen sind beispielsweise dann durchzuführen, wenn eine systematische Videoüberwachung der Praxisräume erfolgt oder wenn Daten besonderer Kategorien umfangreich verarbeitet werden (z.B. Gesundheitsdaten). Wann letzteres in Arztpraxen genau der Fall ist, wird bislang noch diskutiert. Vieles spricht dafür, dass eine Verarbeitung von Daten durch einen einzelnen Arzt keine „umfangreiche Verarbeitung“ darstellt, somit noch keine Pflicht zur Datenschutzfolgenabschätzung auslösen soll und dann auch die Pflicht zur Bestellung eines Datenschutzbeauftragten in Einzelpraxen entfallen lässt, sofern die Mitarbeiterzahl ohnehin unter 20 liegt.
YouTube möchte Kinderdaten in Zukunft besser schützen und kündigt entsprechende Änderungen an. Hintergrund ist eine Strafe i.H.v. 170 Millionen Dollar mit der Google letztes Jahr sanktioniert wurde. Das Unternehmen hatte Kinderdaten gesammelt und diesen personalisierte Werbung angezeigt, ohne hierfür eine datenschutzrechtliche Rechtfertigung zu besitzen.
Kindervideos sollen ab jetzt immer als solche gekennzeichnet sein. Personalisierte Werbung soll es für diese nicht mehr geben. Zudem hat YouTube Benachrichtigungstöne, Likes und Dislikes entfernt. Live Chats und Kommentare werden ebenso ausgeschaltet. Ob es sich bei dem User tatsächlich um ein Kind handelt spielt dabei keine Rolle. Entscheidend ist, dass ein Video mit entsprechendem Content aufgerufen wird.
Die Markierung als Kindervideo soll zunächst durch die Video-Produzenten selbst erfolgen. YouTube’s KI soll die Plattform jedoch ebenfalls auf betroffene Inhalte überprüfen, bei Bedarf um Korrektur bitten und diese notfalls selbst vornehmen.
Trotz der Anpassungen weißt YouTube auf die kinderfreundlichere Alternative YouTube Kids hin.
