Kategorie: Allgemein
10. August 2016
Einem Bericht der Süddeutschen Zeitung zufolge, standen auf dem Online-Reiseportal www.cosmita.com jahrelang Informationen ungeschützt im Internet. Die Nutzer dieses Portals konnten darüber Ihre Reiseunterlagen einsehen, Sitzplatzreservierungen sowie Essensbestellungen für den Flug vornehmen und sonstige Reisepläne an Freunde und Verwandte versehden. Zur Einsicht und Bearbeitung dieser Informationen benötigte der Nutzer nur seinen Flug-Buchungscode und seinen Nachnamen oder den eines Mitreisenden.
Diese recht einfache Zugriffsmöglichkeit auf die Daten des Reiseportals haben sich zuletzt auch Kriminelle zu eigen machen und damit die oberen bereits genannten personenbezogene Daten von mehreren Millionen Reisenden abgreifen können. Weitergehende technische Kenntnisse waren dafür nicht erforderlich. Jeder wäre in der Lage gewesen, diese Informationen abzurufen. Recherchen der Süddeutschen Zeitung haben ergeben, dass der Auslöser hierfür ein seit 2011 bestehendes Datenleck bei dem Ticket-Großhändler Aerticket gewesen sei. Aerticket stelle für mehrere tausend Großkunden, wie unter anderem die Unister-Töchter www.fluege.de, Flug 24, Ab in den Urlaub, Tickets aus. Etwa ein Viertel davon seien von dem Datenleck betroffen und damit einsehbar gewesen. Nach Angaben der Süddeutschen Zeitung zufolge, sei die Sicherheitslücke umgehend nach Kenntnis geschlossen worden.
Aerticket verteidige sich derzeit mit der Behauptung, dass die über fünf Jahre bestehende Sicherheitslücke gar nicht von Kriminellen entdeckt worden sei. Die Sicherheitsexperten des Ticket-Großhändlers hätten geprüft, ob eine überdurchschnittlich hohe Anzahl an Zugriffen von einzelnen IP-Adressen aus einem bestimmten WLAN-Netz zu verzeichnen gewesen seien. Dies sei jedoch zumindest in den vergangenen eineinhalb Jahren nicht der Fall gewesen. Nun läge der Fall beim Berliner Datenschutzbeauftragten zur abschließenden Prüfung. Diese könne sich jedoch noch einige Monate hinziehen. Die Konsequenzen seien noch nicht bekannt.
1. August 2016
Ab heute, den 01.August 2016 um 9 Uhr E.S.T., können sich Unternehmen mit Sitz in den USA ein Datenschutz-Zertifikat ausstellen. Die Ausstellung des Zertifikats begründet die Teilnahme des Unternehmens an dem Privacy Shield Programm mit der Folge, dass der Datenaustausch zwischen US-Unternehmen und ihrer europäischen Vertragspartner rechtlich legitimiert ist. Die Selbstzertifizierung ist für US-Unternehmen freiwillig. Sobald ein Unternehmen sich ein Selbstzertifikat ausstellt und an dem Privacy-Shield Programm teilnimmt, besteht die Verpflichtung den im Privacy Shield genannten Prinzipien zu folgen. Die den teilnehmenden Unternehmen obliegenden Verpflichtungen sind von den zuständigen US-Behörden gerichtlich durchsetzbar. Die Selbstzertifizierung ist ein Jahr gültig und kann erneut ausgestellt werden.
Durch die Teilnahme von US-Unternehmen an dem Privacy Shield entsteht ein höheres Datenschutzniveau, da EU-Bürger unter anderem ihre Rechte auch in den USA durchsetzen können. Auch die Zugriffsmöglichkeiten von US-Behörden auf personenbezogene Daten von Europäern sind eingeschränkt. Dies ist war nach dem bis Oktober 2015 geltenden Safe-Habor-Abkommen nicht möglich gewesen.
28. Juli 2016
Das Spiel Pokémo Go ist nun schon seit einiger Zeit in aller Munde bzw. Hände. Während die Spieler, bei denen von Teenagern bis Frührentnern alle Altersgruppen vertreten sind, die kleinen Monster jagen, beschäftigen sich Daten- und Verbraucherschützer mit den rechtlichen Nebenwirkungen der App.
So hat der Bundesverband der Verbraucherzentrale (vzbv) bereits das kalifornische Unternehmen Niantic, das die App entwickelt hat, abgemahnt. Ingesamt 15 Klauseln der umfangreichen Nutzungs- und Datenschutzbestimmungen verstoßen nach Ansicht ds vzbv gegen deutsches Recht.
Kritisch sieht der vzbv insbesondere, dass durch die verpflichtende Angabe personenbezogener Daten im Rahmen der Anmeldung ein anonymes Spielen so gut wie unmöglich sei. Darüber hinaus gebe Niantic keinen konkreten Zweck der Datennutzung an und behalte sich vor, die Nutzerdaten an beliebige unbeteiligte Dritte zu übermitteln.
Der vzbv hat Niantic nun aufgefordert, bis zum 09. Augsut eine strafbewehrte Unterlassungserklärung hinsichtlich der Verwendung der 15 abgemahnten Klauseln abzugeben.
Dass die Nutzung von Pokémon Go nicht nur datenschutzrechtliche sondern auch tatsächliche Risiken birgt, hat kürzlich ein Vorfall in Niedersachsen gezeigt. Wie heise online berichtet, waren dort drei Spieler auf der Jagd nach den Monstern auf einem Truppenübungsplatz gelaufen, auf dem gerade mit scharfer Munition geschossen wurde.
26. Juli 2016
Am heutigen Dienstag wurde das “Zweite Gesetz zur Änderung des Telemediengesetzes” im Bundesgesetzblatt veröffentlicht. Mit dem Inkrafttreten am morgigen Tag sollen Betreiber von öffentlichen Funknetzen von der Haftung von Rechtsverstößen durch die Nutzer der Netze freigestellt werden. Der mit dieser Gesetzesänderung neu in § 8 eingefügte Absatz gesteht nun auch das unter bestimmten Voraussetzungen geltende Haftungsprivileg für Festnetzbetreiber und Hoster solchen Diensteanbietern zu, die “Nutzern einen Internetzugang über ein drahtloses lokales Netzwerk zur Verfügung stellen”. Dies bedeutet, dass das bisher aufgrund der sog. “Störerhaftung” bestehende enorme Haftungs- bzw. Abmahnungsrisiko für Betreiber offener WLAN-Netze deutlich reduziert wird.
Ganz ausgeschlossen ist das Risiko einer Abmahnung trotz der Gesetzesänderung jedoch nicht, denn Urheberrechtsverletzungen können weiterhin über die offenen WLAN-Netze begangen werden. So findet der Aspekt, dass Anbieter von öffentlichen WLAN-Netzen “im Zusammenhang mit der von einem Dritten durch die Übermittlung begangenen Rechtsverletzungen” keine Abmahnungs- und Gerichtskosten tragen soll, lediglich in der Gesetzesbegründung Berücksichtigung, nicht jedoch im Gesetz selbst. Im Falle eines Gerichtsprozesses sind die Gerichte allerdings nur an den tatsächlichen Gesetzestext und nicht an die Begründung gebunden, so dass das Gericht nicht zwingend für den Netzbetreiber entscheiden muss. Ein Restrisiko für Betreiber offener WLAN-Netze bleibt daher bestehen.
21. Juli 2016
Wie das Oberverwaltungsgericht Berlin-Brandenburg entschieden hat (Urt. v. 14.07.2016 Az. OVG 12 B 24.15), besteht keine Pflicht für Gerichte dienstliche Telefonnummern und E-Mailadressen der bei ihnen tätigen Richter öffentlich zu machen.
Das OVG stellt damit klar, dass der Auskunftsanspruch des Berliner Informationsfreiheitsgesetzes sich nicht auf Gerichte erstreckt, sofern diese nicht Verwaltungsaufgeben wahrnehmen. Zweck des Informationsfreiheitsgesetzes ist das in Akten festgehaltene Wissen und Handeln öffentlicher Stellen unter Wahrung des Schutzes personenbezogener Daten unmittelbar der Allgemeinheit zugänglich zu machen. Dies fördert die demokratischen Meinungs- und Willensbildung und ermöglicht eine Kontrolle des staatlichen Handelns.
Angaben zu Richtern als Organe der rechtsprechenden Gewalt gehören jedoch nicht zu veröffentlichten Informationen. Etwas anderes gilt jedoch, wenn der betroffene Richter seine Einwilligung in Veröffentlichung seiner Kontaktdaten erklärt hat.
14. Juli 2016
Einem aktuellen Beschluss des Bundesverfassungsgerichts zufolge, haben die Karlsruher Richter die Verfassungsbeschwerde des Datenschutzexperten der Piratenpartei, Patrick Breyer, gegen den mit der PKW-Maut geplanten massenhaften Abgleich von KFZ-Nummernschildern nicht zur Entscheidung angenommen. Im Mai 2016 hatte Breyer Verfassungsbeschwerde mit der Begründung eingelegt, dass die für die Mauterhebung erforderliche Überwachungsstruktur die verdachtslose Erfassung von personenbezogenen Daten und damit die Erstellung von Bewegungsprofilen der Autofahrer begünstige. Die neu in das Infrastrukturabgabengesetz eingefügten §§11 Abs. 2, 3 bzw. 13 Abs. 1, 3 und 4, die den massenhaften Abgleich rechtfertigen sollen, würden – so Breyer – daher gegen das Grundgesetz, insbesondere gegen das Allgemeine Personlichkeitsrecht eines jeden Autofahrers, verstoßen. Die Karsruher Richter begründeten ihre Entscheidung nicht.
Bereits im Sommer 2015 hatte die EU-Kommission Bedenken gegen die Einführung des geplanten Maut-Systems in Deutschland geäußert und ein EU-Vertragsverletzungsverfahren gegen Deutschland eingeleitet. Die EU-Kommission ist der Auffassung, dass das Infrastrukturangabengesetz Ausländer gegenüber Inländern benachteilige, da Inländer die Maut-Gebühr über eine niedrige KFZ-Steuer ausgleichen können sollen. Dies verstoße gegen das Diskriminierungsverbot. Die Bundesregierung hatte daraufhin die Einführung der KFZ-Maut bis zu einer Entscheidung der EU-Kommission ausgesetzt.
Das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) erstellt derzeit, teilweise gemeinsam mit dem Bayrischen Landesbeauftragten für den Datenschutz, eine Reihe von kurzen Papieren zu konkreten Fragen der EU-Datenschutzgrundverordnung (DS-GVO). Ziel dieser Serie ist es, möglichst praktische Hilfestellungen zur Umsetzung der DS-GVO zu geben, die ab Mai 2018 in Kraft treten wird.
Nach Papieren zur Rolle der IT-Sicherheit sowie zu Fragen der Zertifizierung ist nun ein Papier zur Videoüberwachung nach der DS-GVO erschienen. Die Papiere sollen ein- bis zwei mal im Monat erscheinen und jeweils einzelne Schwerpunkt der DS-GVO beleuchten.
Wie die EU-Kommission mitteilte, ist nun das neue Privacy Shield (EU-US-Datenschutzschild) in Kraft. Nach dem monatelangen Hin-und-Her gaben die US-Staatssekretärin Penny Pritzker und die EU-Kommissarin Vera Jourova nun den Angemessenheitsbeschluss der EU-Kommission sowie den Rahmen des Datenschutzschildes bekannt.
Diejenigen US-Unternehmen, die an dem Datenschutzschild teilnehmen möchten, müssen bestimmte Regeln zum Schutzniveau der Datenverarbeitung einhalten und können sich in eine entsprechende Liste beim US-Handelsministerium eintragen lassen. Die Liste soll regelmäßig überprüft und aktualisiert weden.
Die USA haben der EU zugesichert, dass der Datenzugriff von Behörden auf Gründe der Strafverfolgung oder der nationalen Sicherheit beschränkt und nur unter Einhaltung klarer Beschränkungen, Schutzvorkehrungen und Aufsichtsmechanismen gestattet sei.
Von dem Datenschutzschild sollen nicht nur die Unternehmen auf beiden Seiten des Atlantiks profitieren, sondern auch die EU-Bürger. Für sie soll es mehr Beschwerde- und Auskunftsrechte direkt in den USA geben. Hierfür wird die Kommission voraussichtlich im August einen kurzen Leitfaden für Bürger zur Erläuterung der Rechtsbehelfe veröffentlichen.
Nach der Einigung haben US-Unternehmen aktuell nun Gelegenheit, den Rahmen zu überprüfen und Anpassungen zur Einhaltung der Regeln in ihrem Unternehmen vorzunehmen. Ab dem 1. August können sie sich dann eine entsprechende Bescheinigung vom US-Handelsministerium ausstellen lassen.
Dass die Vorstellungen in Sachen Datenschutz von USA und EU mitunter weit auseinander gehen, war allen Beteiligten klar. Der nun vorliegende Angemessenheitsbeschluss ist jedoch ein wichtiger Schritt zu mehr Rechtssicherheit für alle EU-Unternehmen, die Daten mit US-Unternehmen austauschen und für die seit dem Wegfall von Safe-Harbour Ende 2015 große Unsicherheit herrschte.
5. Juli 2016
Data protection should not know any borders, this is why we started to publish international news on privacy and data protection in an own blog. Please subscribe it using www.privacy-ticker.com/newsletter or just visit www.privacy-ticker.com.
Some of last months’ topics were:
– Agreement by EU and U.S. negotiators on final changes on the Privacy Shield
– The future of privacy rules after UK´s referendum to leave the EU
– French DPA launches public consultation on GDPR
– Belgian DPA against Facebook for tracking of non-users
– Customer passwords from Deutsche Telekom are for sale on the dark web
– German courts ruled: WhatsApp has violated the Telemedia Act
– Verizon publishes Data Breach Investigations Report 2016: Phishing attacks trend upwards
– Microsoft acquires LinkedIn: privacy issues arise
– Accountability initiative by the EDPS: achieving compliance with the GDPR
– The role of the DPO´s under the new GDPR: the German reference
Thank you.
29. Juni 2016
Nachdem am vergangenen Freitag das Ergebnis der Brexit-Abstimmung bekannt gegeben wurde, beginnt nun die Phase der Umsetzung des Austritts.
Von allen grundlegenden rechtlichen und politischen Schwierigkeiten einmal abgesehen bedeutet der Brexit aus datenschutzrechtlicher Sicht, dass Großbritannien nach Vollzug des Austritts künftig als sog. Drittland gelten wird. Das bedeutet, dass Großbritannien auf andere Art und Weise ausreichende Sicherheit für die Verarbeitung von Daten gewährleisten muss.
Unternehmen, die Daten nach Großbritannien übermitteln, sollten sich hierauf einstellen und schon jetzt überlegen, wie sie die Datenübermittlung künftig gestalten wollen.
Pages: 1 2 ... 119 120 121 122 123 ... 205 206 
