15. Juli 2019
Das Unternehmen Facebook und die US-Verbraucherschutzbehörde FTC haben sich im Zusammenhang mit Verstößen gegen datenschutzrechtliche Regelungen Medienberichten zufolge verglichen. Ausgehend von diesen soll das Unternehmen eine Strafe in Höhe von fünf Milliarden US-Dollar zahlen.
Die FTC hatte diese Ermittlungen im vergangenen Jahr eingeleitet. Konkreter Gegenstand der Ermittlungen war der unrechtmäßige Zugriff des Unternehmens Camebridge Analytica auf diverse Nutzerdaten. Damit der Vergleich wirksam wird, muss zunächst das amerikanische Justizministerium dem Vergleich zustimmen.
Dieser Zugriff betraf ebenfalls Fälle im Anwendungsbereich der DSGVO. So hat unter anderem die italienische Datenschutzbehörde ebenfalls ein Bußgeld gegen das Unternehmen verhängt.
11. Juli 2019
Im Rahmen einer Podiumsdiskussion mit 300 Gästen zum Thema „Data Protection and Competitiveness in the Digital Age“ diskutierten u.a. der Europäische Datenschutzbeauftragte Giovanni Buttarelli und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Ulrich Kelber die Herausforderung neuer Technologien und warben für mehr Zusammenarbeit zwischen verschiedenen europäischen Behörden.
Die steigende Datenkonzentration und die Datenmacht global agierender Unternehmen
wirke sich auch auf die Rechte der Bürger und die Wettbewerbsfreiheit aus,
sodass Datenschutz nicht nur ein Thema der Datenschutzbehörden sei, sondern immer
mehr auch ein Thema in verbraucherrechtlichen und wettbewerbsrechtlichen Behörden
werde. Eine engere Vernetzung dieser Behörden würde helfen der wachsenden Dominanz
von Digitalkonzernen zu begegnen und für einen besseren Datenschutz sorgen. Der
Datenschutz sollte nicht als Wettbewerbsnachteil, sondern gerade im Bereich der
digitalen Innovation ein Wettbewerbsvorteil in der EU sein.
„Neue Technologien schaffen Chancen – gleichzeitig aber auch Risiken, insbesondere für die informationelle Selbstbestimmung. Daher müssen wir gemeinsam daran arbeiten, proaktiv im Sinne der Gewährleistungsziele des Datenschutzes von Anfang an bei einer „menschzentrierten“ Technikgestaltung mitzuwirken. Dabei sollten wir das Modell der rechtsgebietsübergreifenden Behördenkooperation nicht nur auf nationaler Ebene, sondern auch auf EU-Ebene stärker institutionalisieren.“, betonte Ulrich Kelber.
Teil des Rednerpanels waren außerdem der Präsident des
Bundeskartellamtes, Andreas Mundt, die Präsidentin der französischen
Datenschutzbehörde (CNIL),
Marie-Laure Denis, der Generalsekretär der Europäischen Kommission, Martin
Selmayr, und die britische Informationskommissarin, Elizabeth Denham.
Die Sicherheitsforscher des „International Computer Science Institute“ (ICSI) mit Sitz in Kalifornien untersuchten 88.000 Apps aus dem Google Play Store und verfolgten, wie Daten von den Applikationen übertragen wurden, wenn ihnen Berechtigungen verweigert wurden. Dabei fanden sie 1325 Android-Apps, die persönliche Informationen des Nutzers abgreifen, obwohl darauf kein Zugriff erlaubt war.
Die Untersuchung hat ergeben, dass die Apps das Berechtigungssystem des
Android-Betriebssystems umgehen und Daten, wie beispielweise Standortinformationen,
von Geräten sammeln und an die eigenen Server senden, auch wenn Nutzer den
Zugriff auf Standortdaten verweigerten. Die 1325 Apps, die die Berechtigungsbestimmungen
verletzten, haben in ihrem Code versteckte „Workarounds“ verwendet. Sie entnehmen
personenbezogene Daten aus Quellen wie Wi-Fi-Verbindungen und in Fotos
gespeicherten Metadaten. Nach Angaben der Forscher sind einige von diesen Apps auf
über 500 Millionen Geräten installiert.
Die Forscher des ICSI haben Google und die zuständige Aufsichtsbehörde, die
Federal Trade Commission (FTC), über das Resultat der Untersuchung informiert. Google
hat angekündigt, die Probleme in der neuen Version Q von Android zu beheben.
Die Forscher wollen im August eine detaillierte
Liste der 1.325 Apps auf der Usenix Security Konferenz veröffentlichen.
10. Juli 2019
Bundesgesundheitsminister Jens Spahn (CDU) plant zum Datenschutz im Gesundheitswesen ein eigenes Gesetz. Er hat bereits Passagen zum Datenschutz aus dem Digitale-Versorgungs-Gesetz (DVG) herausgenommen.
Der Vorstandsvorsitzende der Kassenärztlichen Vereinigung (KV) Nordrhein begrüßt Spahns Pläne: „Durch die bereits in Kraft getretenen und für die Zukunft noch geplanten Gesetze des Bundesgesundheitsministers entsteht eine enorme Dynamik, auch bei der – überfälligen – Digitalisierung des Gesundheitswesens.“
Geplant ist, das eigene Datenschutzgesetz in der zweiten Jahreshälfte auf den Weg zu bringen. Vorgesehen ist unter anderem, Versicherte bei der Nutzung der zum 1. Januar 2021 startenden elektronischen Patientenakte zu unterstützen.
Das Ziel ist, dem Thema Datenschutz im Rahmen der neuen Anwendungen und der Vernetzung im Gesundheitswesen gebührend Rechnung zu tragen.
4. Juli 2019
Die Irische Datenschutzbehörde untersucht ob die Apple Inc. den Pflichten aus der Datenschutzgrundverordnung nachkommt. Es handelt sich dabei nicht um die erste offizielle Prüfung des Unternehmens Für Apple ist innerhalb der Europäischen Union der Data Protection Commissioner (DPC) der Republik Irland zuständig. Bei der aktuellen Prüfung soll der Fokus besonders auf der Realisierung von Auskunftsersuchen durch Kunden gerichtet sein.
Bereits im letzten Jahr wurden durch den DPC zwei Prüfungen des Unternehmens veranlasst um festzustellen, ob die Datenschutzbestimmungen für die Nutzer transparent genug sind.
Falls Verstöße gegen die Datenschutzgrundverordnung festgestellt werden sollten, könnten diese mit hohen Strafzahlungen geahndet werden. Apple ist nicht das einzige Unternehmen gegen das Untersuchungen durch den DPC eingeleitet wurden. Auch Facebook sowie den damit verbundenen Unternehmen Twitter, WhatsApp und Instagram wurden zahlreiche Untersuchungen auferlegt.
3. Juli 2019
Am 24.05.2019 hat sich die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder auf einen Katalog von Fallgruppen verständigt, die im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f i.V.m. Abs. 4 DSGVO bei einem Unternehmensverkauf zu berücksichtigen sind.
Ein Asset Deal ist eine Unterart des Unternehmenskaufs, bei dem Wirtschaftsgüter (engl. Assets) eines Unternehmens, wie Grundstücke, Gebäude, Maschinen, Patente etc., im Rahmen der Singularsukzession übertragen werden.
Bisher war es umstritten, ob und in welchem Umfang in einem solchen Fall auch Daten von Kunden verkauft werden dürfen.
Folgende Fallgruppen wurden von der DSK nun beschlossen:
- Kundendaten bei laufenden Verträgen
- Bestandskunden ohne laufende Verträge und letzter Vertragsbeziehung älter als 3 Jahre
- Daten von Kundinnen und Kunden bei fortgeschrittener Vertragsanbahnung; Bestandskundinnen und -kunden ohne laufende Verträge und letzte Vertragsbeziehung jünger als 3 Jahre
- Kundendaten im Falle offener Forderungen
- Kundendaten besonderer Kategorie nach Art. 9 Abs. 1 DS-GVO
2. Juli 2019
Seit dem 1. Juli 2019 sind Vertragsärzte und -psychotherapeuten verpflichtet, das Versichertenstammdatenmanagement (VSDM) durchzuführen. Tun sie dies nicht, drohen ihnen Honorarkürzungen.
Derzeit sind 100.000 Praxen von Vertragsärzten und Vertragspsychotherapeuten an die Telematikinfrastruktur (TI) angeschlossen und 20.000 weitere haben die Bestellungen für den Anschluss ausgelöst. Das gab das Bundesministerium für Gesundheit (BMG) gestern bekannt. Durch das Versichertenstammdatenmanagement wird die Überprüfung der Aktualität der Patientendaten auf der elektronischen Gesundheitskarte (eGK) sichergestellt. Die Prüfung der Daten erfolgt automatisch, im Bedarfsfall werden die Patientendaten aktualisiert. Als erste Anwendung in der Telematikinfrastruktur dient der VSDM auch als Nachweis, dass eine Praxis an die TI angeschlossen ist und Anspruch auf die Erstattung der Kosten über die Kassenärztliche Vereinigung (KV) besteht.
Das Ministerium konktretisierte die Höhe der drohendenden Honorarkürzungen: bei Nicht-Umsetzung ist zunächst eine Kürzung um ein Prozent geplant. Im aktuellen Referentenentwurf des Digitale Versorgung Gesetzes ist sogar eine Kürzung um 2,5 Prozent ab März 2020 vorgesehen.
Die Vertreterversammlung der Kassenärztlichen Vereinigung Bayerns (KVB) ist besorgt: Durch die zwangsweise Anbindung an die Telematikinfrastruktur und die daran geknüpften Sanktionen und „immer neue Gesetzesvorhaben in diesem Bereich […] gefährde Bundesgesundheitsminister Jens Spahn die Datensicherheit und sorge für immensen Ärger und Verunsicherung in Bayerns Praxen.“
1. Juli 2019
Bei der baden-württembergischen Landesdatenschutzbehörde sind vermehrt Beschwerden gegen Meldebehörden im Zusammenhang mit der Wahlwerbung im Rahmen der Europa- und Kommunalwahlen im Mai eingegangen. In einigen Fällen sollen Kleinkinder und Säuglinge personalisierte Wahlwerbung erhalten haben.
Grundsätzlich können Parteien bei Meldebehörden unter bestimmten Voraussetzungen Daten von Wahlberechtigten zum Zwecke der Wahlwerbung erfragen (§ 50 Abs. 1 Bundesmeldegesetz). Dies ist aus datenschutzrechtlicher Sicht zulässig, soweit die Betroffenen dagegen keinen Widerspruch eingelegt haben. Teilweise haben Meldebehörden aber auch Daten von Nichtwahlberechtigten und Personen, für die eine Übermittlungssperre eingetragen war, weitergegeben. Laut Datenschutzbehörde war diese Datenverarbeitung nicht zulässig, sodass es sich um Datenpannen bei den Behörden handelt.
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Dr. Stefan Brink hob in einer Pressemittelung den dringenden Handlungsbedarf bei Meldebehörden hervor und drückte sein Verständnis für den Unmut der Bürger aus. Daneben betonte er aber auch die Bedeutung des Auskunftsrechts der Parteien in diesem Zusammenhang: „Parteien nehmen im demokratischen Willensbildungsprozess eine hervorgehobene Rolle ein und sind deshalb melderechtlich privilegiert“.
Das Unternehmen Facebook wurde ausgehend von einer Pressemitteilung der italienischen Aufsichtsbehörde zu einer Geldstrafe von 1 Millionen Euro verurteilt. Konkret ging es um die im Jahr 2018 bekannt gewordene unerlaubte Weitergabe personenbezogener Daten an das Unternehmen Camebridge Analytica. Dieses hatte besagte Informationen über eine App erhalten und ausgewertet.
Dies ist nicht das einzige Verfahren in dem sich Facebook verantworten muss. In den Vereinigten Staaten sieht sich das Unternehmen beispielsweise zivilrechtlichen Ansprüchen ausgesetzt.
Trotz dem, im Vergleich zu dem maximalen Strafmaß, noch milden Bußgeld ist eine eindeutige Tendenz hin zur konsequenteren Durchsetzung datenschutzrechtlicher Normen erkennbar. Vor diesem Hintergrund sind Unternehmen gut beraten, die datenschutzrechtliche Konformität ihrer Prozesse zu überprüfen.
28. Juni 2019
Vom 3. bis zum 12. Oktober 2018 wurden durch die NSA widerrechtlich Verbindungs- und Standortdaten von einem US-Telekommunikationsanbieter bezogen.
Grundsätzlich ist es der NSA möglich und auch durch den Foreign Intelligence Surveillance Act (FISA) erlaubt, Metadaten von Providern in den USA abzufragen, zu speichern und auszuwerten. Nach richterlicher Bestätigung darf außerdem gezielt nach Daten von US-Bürgern gesucht werden. Von dieser Befugnis machte der Geheimdienst im letzten Jahr häufig gebrauch.
Mitte 2018 gab die NSA zu, dass es zu dem damaligen Zeitpunkt schon zu „technischen Irregularitäten“ kam, durch welche der Geheimdienst Daten von US-Bürger besaß, welche dieser nicht hätte besitzen dürfen.
Laut Behörde wird in diesem Zusammenhang das Ausmaß auf die Bürgerrechte und den Datenschutz noch ermittelt.
