Kategorie: Allgemein
22. Januar 2019
Das kleine Versandunternehmen Kolibri Image wurde von der Hamburger Datenschutzbehörde aufgefordert, ein Bußgeld in Höhe von 5000 Euro zuzüglich 250 Euro Gebühren zu zahlen. Grund hierfür war nach Art. 83 Abs. 4 lit. a DSGVO das Fehlen eines Auftragsverarbeitungsvertrags mit einem spanischen Dienstleister des Versandunternehmens.
Ausgangspunkt für das Bußgeld war, dass Kolibri Image sich im Mai 2018 an den Hessischen Datenschutzbeauftragten gewandt hatte, weil der spanische Dienstleister trotz mehrfacher Anforderungen keinen Vertrag zur Auftragsverarbeitung übersandt hatte. Die Behörde erwiderte, dass die Pflicht zum Abschluss eines Auftragsverarbeitungsvertrages sowohl den Verarbeiter als auch den Verantwortlichen treffe. Das Unternehmen solle und müsse deshalb selbst eine entsprechende Vereinbarung verfassen und an den Auftragsverarbeiter zwecks Unterschrift übermitteln.
Als Kolibri Image daraufhin antwortete, dass man sich diese Arbeit, insbesondere wegen der teuren Übersetzung, nicht machen wolle, gab die hessische Behörde die Sache an die zuständigen Kollegen aus Hamburg ab. Der Hamburger Datenschutzbeauftragte sieht in dem Verhalten des Unternehmens einen Verstoß gegen Art. 28 Abs. 3 DSGVO und hatte deswegen die Geldbuße verhangen. Nach Ansicht der Behörde wurden schützenswerte Daten ohne Rechtsgrundlage an den Dienstleister übermittelt. Erschwerend wirke sich aus, dass man diese Praxis aufrechterhalten habe, obwohl dem Unternehmen die Datenverarbeitungsprozesse des Verarbeiters explizit nicht bekannt waren. Schließlich fehle es auch an einer Zusammenarbeit mit der Behörde, die sich strafmildernd auswirken könne.
Aufgrund von Verstößen gegen die DSGVO muss der Internetriese Google in Frankreich eine Strafe in Höhe von 50 Millionen Euro zahlen. Das Bußgeld verhängte die französische Datenschutzbehörde CNIL. Ausgelöst wurde das Verfahren gegen Google durch Beschwerden der Organisation NOYB von Max Schrems und der französischen Netzaktivisten La Quadrature du Net.
Zu dem Bußgeld sei es gekommen, da Google die Anforderungen der DSGVO hinsichtlich der Informationspflichten nur unzureichend erfülle. So seien die Informationen über die Datenverarbeitung im Rahmen verschiedener Google-Applikationen für die Nutzer nur schwerlich über mehrere Links und Buttons zugänglich und insgesamt intransparent. Aufgrund der, dem Nutzer, nur unzureichend zur Verfügungen gestellten Informationen über die Art und Weise der Verarbeitung personenbezogener Daten, seien auch die Einwilligungen zur Anzeige personalisierter Werbung nach Ansicht der französischen Datenschutzbehörde nicht rechtmäßig.
21. Januar 2019
Es werden zurzeit E-Mails im Namen der Deutschen Bank mit dem Betreff „Informationen zu Ihrem Bankkonto“ versendet. In dieser E-Mail wird darauf verwiesen, dass aufgrund der Datenschutz-Grundverordnung (EU-DSGVO) das TAN-Verfahren annulliert werden müsste. Dabei soll der Betroffene das angehängte Formular benutzen um die Änderung des TAN-Systems kostenfrei durchzuführen. Tut er dies nicht, würde die Deutsche Bank dies manuell durchführen und eine Gebühr dafür verlangen. Hierbei handelt es sich um keine E-Mail von der Deutschen Bank. Als Absender der E-Mail wird „info@db.com“ angezeigt. In der Email befindet sich in der Anlage eine Datei mit dem Namen „Formular.html“. Das ist die eigentliche Phishing-Seite, über die die Daten der Betroffenen gestohlen werden. Die Deutsche Bank hat auch einen Sicherheitshinweis auf ihrer Seite veröffentlicht, in der sie vor den Phishing-Mails warnt. Die Empfänger der E-Mails sollen nicht auf enthaltene Buttons oder Links in der E-Mail klicken. Wurde bereits auf den Button oder Link geklickt, dürfen in keinem Fall persönlichen Daten eingegeben werden, da diese sonst unverschlüsselt bei den Cyberkriminellen landen.
Laut dem Bundesdatenschutzbeauftragten Ulrich Kelber arbeitet seine Behörde an einem Konzept zu größerer Transparenz im Datenschutzrecht. Danach entwickelt die Bundesdatenschutzbehörde zurzeit ein Konzept im Hinblick auf die Veröffentlichung von amtlichen Informationen, die die Ahndung von Verstößen gegen die DSGVO betreffen.
Dieses Konzept soll laut Kelber zum Ziel haben, dass grundsätzlich alle nach dem Informationsfreiheitsgesetz abfragbaren Informationen auch veröffentlicht werden können. In der Konsequenz würde die Bundesdatenschutzbehörde folglich aktiv Informationen zu Ahndungen von Datenschutzverstößen veröffentlichen, wenn ein Anspruch des Bürgers auf amtliche Informationen nach dem Informationsfreiheitsgesetz (IFG) bestehen würde.
Damit will der Bundesdatenschutzbeauftragte dem aktuellen Zustand entgegenwirken, dass nur sehr vereinzelt Datenschutzverstöße und ihre Sanktionierung transparent veröffentlicht werden. Diesen Zustand kritisierte bereits der ehemalige Bundesdatenschutzbeauftragte Peter Schaar. Ebenso wurde von Niko Härting angemerkt, dass die meisten Ahndungen der breiten Öffentlichkeit unverständlicherweise nicht bekannt seien.
Zur Erläuterung: Nach § 1 IFG hat jeder Bürger einen Anspruch auf Zugang zu amtlichen Informationen, soweit kein besonderer öffentlicher Belang entgegensteht nach § 3 IFG und der Geheimnisschutz sowie der Schutz personenbezogener Daten gewahrt bleiben, §§ 4, 5, 6 IFG. Ein gesondertes berechtigtes Interesse muss der Bürger dafür gerade nicht nachweisen.
Bürger, Unternehmen und Staat sollen mit einer länderübergreifenden Strategie für mehr Internet-Sicherheit besser gegen die zunehmende Bedrohung durch Cyberangriffe geschützt werden. Die Union forderte in einem der deutschen Presse-Agentur in Berlin vorliegenden Papier einen „Notfallplan, um innerhalb kurzer Zeit auf den Abfluss sensibler Daten, digitale Wirtschaftsspionagen oder Sabotage reagieren zu können“.
Darüber hinaus verlangen die Fraktionschefs von CDU und CSU in Brüssel in dem Entwurf für die am Montag endende zweitägige Konferenz, dass bundeseinheitliche gesetzliche Mindeststandards für die Sicherheit informationstechnischer Geräte benötigt werden. Gelten soll dies beispielsweise für Endverbraucher-Geräte wie Laptops und Mobiltelefone. Angebote sollen von Anbietern von Online-Diensten und Hersteller von Geräten so gestaltet werden, „dass ausreichend starke Passwörter von den Benutzern gewählt und diese regelmäßig geändert werden müssen“.
Weiter verlangt die Union härtere Strafen für Cyberkriminelle, indem das Strafrecht im Bereich der Cyberkriminalität ergänzt wird. Im Entwurf heißt es: “ Mit Abschreckung und hohem Verfolgungsdruck können Erfolge zum Schutz aller erzielt werden.“ Wenn es nach der Meinung der Fraktionschefs von CDU und CSU geht, soll es in allen Ländern zentrale Anlaufstellen für die Wirtschaft geben. Der direkte Informationsaustausch sowie schnelle Hilfe vor Ort sollen hier in den Fokus gerückt werden. Die Idee dahinter ist, dass Bundes- und Landesbehörden „finanziell, technisch, personell und infrastrukturell so ausgestaltet werden, dass Cyberangriffe schnellstmöglich erkannt, betroffene Kreise gewarnt und identifizierte Schwachstellen schnellstmöglich umgehend beseitigt werden können“. Dafür sollen von Bund und Ländern länderübergreifend regelmäßige Krisenmanagementübungen gemacht werden.
17. Januar 2019
Eine Studie im Auftrag des Justizministeriums hat gravierende datenschutzrechtliche Mängel bei Apps für Android-Smartphones festgestellt.
Im Auftrag des Bundesministeriums für Justiz und Verbraucherschutz wurde eine Studie („Verbraucherinformationen bei Apps – Empirie“) zu der DSGVO-Konformität von Smartphone-Apps durchgeführt. Getestet wurden zunächst 200 Apps im Jahr 2017 und 50 von den Apps nach Inkrafttreten der DSGVO im Jahr 2018 hinsichtlich der Vollständigkeit und Verständlichkeit der für VerbraucheriInnen bereitgestellten Informationen.
Das Ergebnis war ernüchternd: 2018 wurden zwei Drittel der Apps mit ausreichend oder mangelhaft bewertet. Die Bundesjustizministerin Katarina Barley kritisierte, dass „nur unzureichend über den Umgang mit den erhobenen Daten informiert“ wird. „Die die Datenschutzerklärungen bleiben unkonkret und zählen häufig nur die Verbraucherrechte auf, ohne verständliche Erläuterungen.“
Viele Apps informieren die Verbraucher nicht hinreichend, welche Daten für welche Zwecke verarbeitet würden. Datenschutzerklärungen sind nicht auf die konkrete App zugeschnitten, sondern beziehen sich auf alle Produkte des App-Anbieters. In den Apps werde nicht über die Zugriffsberechtigungen (z. B. auf das Adressbuch oder das Mikrofon) informiert. Teilweise werden Zugriffsberechtigungen eingeholt (z. B. auf die Standortdaten), obwohl sie nicht für die Ausführung der App notwendig sind.
Nachdem der von Premierministerin Theresa May vorgelegte Entwurf eines Vertrags zur Regelung des Brexit am 15. Januar durch eine deutliche Mehrheit der Parlamentarier abgelehnt wurde, rückt das Szenario eines ungeordneten Austritts des Vereinigten Königreichs aus der Europäischen Union wieder in greifbare Nähe. Neben vielfältigen wirtschaftlichen und europarechtlichen Fragestellungen besitzt der Brexit auch eine konkret datenschutzrechtliche Komponente.
Mit dem für den 29.03.2019 angekündigten Austritt des Vereinigten Königreichs aus der Europäischen Union ist das Vereinigte Königreich ohne entsprechende Übergangsregeln ab diesem Zeitpunkt als Drittland im Sinne der DSGVO anzusehen. Dies bestätigte auch Prof. Dr. Dieter Kugelmann, Landesdatenschutzbeauftragter für Rheinland-Pfalz: „Fakt ist, dass das Vereinigte Königreich nach Austritt aus der EU zu einem „Drittland“ im Sinne der Datenschutzgrundverordnung wird“.
Da viele Unternehmen aktuell Kunden- oder Beschäftigtendaten in das Vereinigte Königreich übermitteln und dort ansässige Rechenzentren zu den eigenen Dienstleistern zählen, ergibt sich nach der Datenschutzgrundverordnung durch den Brexit Anpassungsbedarf. Unternehmen mit Vertragspartnern im Vereinigten Königreich müssen im Falle eines Datentransfers sicherstellen, dass es auch nach dem Brexit noch eine hinreichende Rechtsgrundlage für die entsprechenden Datenübermittlungen gibt. Weiterhin sind die Informationspflichten nach Artt. 13, 14 Datenschutzgrundverordnung bezüglich eines Datentransfers in ein Drittland zu ergänzen. Gleiches gilt für Datenschutzerklärungen im Internet. Im Falle eines Auskunftsersuchens einer betroffenen Person ist diese nach Art. 15 Datenschutzgrundverordnung auch über den Datentransfer in ein Drittland zu unterrichten. Darüber hinaus dürften bei Datenübermittlungen in das Vereinigte Königreich als Drittland vielfach die Verzeichnisse von Verarbeitungstätigkeiten nach Art. 30 Datenschutzgrundverordnung anzupassen sein. Gegebenenfalls ist nach dem Brexit auch das Durchführen von Datenschutzfolgenabschätzungen notwendig.
Es empfiehlt sich, dass sich Unternehmen, die personenbezogene Daten in das Vereinigte Königreich übermitteln, bereits jetzt auf entsprechende Anpassungen und Änderungen vorbereiten, um weiterhin eine rechtlich konforme Datenverarbeitung gewährleisten zu können. Da die Datenschutzgrundverordnung kein Konzernprivileg kennt, gelten die zuvor dargestellten Anmerkungen prinzipiell auch für Datenströme innerhalb einer Konzerngruppe.
14. Januar 2019
Der Ökonom Dennis Snower vergleicht das Verhältnis zwischen dem Online-Business und den Nutzern mit moderner Sklaverei. „Wir generieren eine Unmenge an Daten, die nicht uns gehören, sondern den Netzwerken“, sagte der Präsident des Kieler Instituts für Weltwirtschaft (IfW) der Deutschen Presse-Agentur. „Die großen digitalen Netzwerke werden immens reich, so wie es die Sklavenbesitzer einst geworden sind.“
Snower forderte: „Nutzer müssen mehr und mehr Rechte über die Nutzung ihrer Daten bekommen.“ Das Ziel solle sein, „dass sie ein Eigentumsrecht an allen Daten haben, die sie generieren.“ Diese Daten könnten sie dann freiwillig weitergeben an jene, die sie haben wollten – unentgeltlich oder zu einem Preis. Damit würde sich das gesamte Businessmodell bei Google und Facebook komplett ändern. Technologische Lösungen für ein solches Modell existierten bereits.
Für die digitale Zukunft der Welt sieht der Präsident des IfW Europa mit Deutschland an der Spitze in einer Schlüsselverantwortung. „Es geht um sehr, sehr viel, um das Regime des neuen digitalen Zeitalters und damit letztlich auch um die Demokratie“, sagte der Ökonom.
Die von China auf der einen und den US-Weltkonzernen auf der anderen Seite verkörperten Systeme gingen in eine falsche Richtung und seien gefährlich für die liberale Demokratie, mahnte Snower. Dagegen habe Europa mit der DSGVO den richtigen Weg eingeschlagen, welcher weltweit implementiert werden sollte. Dabei könne Deutschland eine zentrale Rolle spielen.
10. Januar 2019
In seinem Schlussantrag hat der Generalanwalt Maciej Szpunar eine Löschpflicht von Suchmaschinenbetreibern von Links, die zu Internetseiten mit den sensiblen Daten der Betroffenen führen, bestätigt. Es müsse jedoch das Recht auf Zugang zu Informationen und das Recht auf Freiheit der Meinungsäußerung gewahrt werden.
Mehrere Privatpersonen sind gegen Beschlüsse der französischen Datenschutzbehörde (Commission nationale de l’informatique et des libertés, CNIL) vor den EuGH (Rechtssache C-136/17) gezogen. Die Behörde hat ihre Anträge einen Suchmaschinenbetreiber aufzufordern Suchergebnisse zu ihrem Namen zu löschen, abgelehnt. Die Suchergebnisse führten zu Internetseiten Dritter, die Informationen über die religiöse Zugehörigkeit, die politische Einstellung und eine strafrechtliche Verurteilung der Betroffenen veröffentlichten.
Im Zusammenhang mit Ergebnislisten einer Suchmaschine muss berücksichtigt werden, dass diese nur auf Webseiten Dritter zugreift und selbst keine personenbezogenen Daten veröffentlicht. Der Suchmaschinenbetreiber verarbeitet aber diese sensiblen Daten von den Internetseiten und kann deshalb zur Löschung verpflichtet werden. In dem Schlussantrag kam der Generalanwalt zu dem Ergebnis, dass ein Suchmaschinenbetreiber systematisch Anträgen auf Löschung von Suchergebnissen mit sensiblen Daten stattgeben muss. Hierbei muss aber das Recht auf Zugang zu Informationen anderer Nutzer und das Recht auf Freiheit der Meinungsäußerung berücksichtigt werden.
Der Schlussantrag beurteilt den Fall auf Grundlage der alten Datenschutz-Richtlinie (Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr) und nicht nach der DSGVO. Der EuGH ist grundsätzlich nicht an das Ergebnis in den Schlussanträgen gebunden, folgt ihnen allerdings häufig.
Die moderne Technik schreitet immer weiter voran, sodass in Zukunft viel alltägliches über Sprachassistenten geregelt werden soll. Über Sprachbefehl soll zum Beispiel Badewasser eingelassen sowie der Fernseher bedient werden. Konzerne, die solche Technik herstellen und vertreiben, können dadurch Daten ermitteln um die Gewohnheiten ihrer Kunden zu analysieren und somit Milliarden zu verdienen.
Die Anzahl solcher Technologien in den Haushalten wächst stetig. So behauptet der Technologiemarkt-Analysten Canalys, dass die Geräte mit Sprachassistenten weltweit von derzeit rund 100 Millionen bis 2022 auf mehr als 300 Millionen zunehmen werden.
Konzerne wie Amazon und Google sind ganz vorne dabei den Vertrieb sowie die Weiterentwicklung solcher Technologien voranzutreiben.
Datenschützer sind jedoch in Sorge, dass Aufnahmen, die durch die Aktivierung von solchen Geräten entstehen, in die jeweilige Cloud übertragen werden können. Von dem was weiter mit den dadurch erhobenen Daten geschieht bekommt der Kunde nichts mit.
Die Technologiekonzerne rechtfertigen die Datenerhebung damit, dass
maschinelle Lern-Algorithmen zu Verbesserung der Technologie genutzt werden sollen und schließen eine Weitergabe an Dritte aus. Jedoch kam es wohl schon dazu, dass Daten auf Sprachbefehl vorgespielt wurden, die nicht dem Kunden zugeordnet waren.
