Kategorie: Allgemein
30. März 2015
Der UN-Menschenrechtsrat hat sich in seiner 28. Sitzung am vergangenen Freitag zu der Etablierung eines Sonderberichterstatters für das Recht auf Privatsphäre entschlossen. Er wird das Recht auf Vertraulichkeit und Datenschutz repräsentieren und in der Welt sichern. Die Entschließung wurde von Deutschland und Brasilien initiiert, die damit vor allem das nach der Aufdeckung der NSA-Affäre ausgesprochene Ziel weiter verfolgen, vertrauliche Kommunikation im Besonderen und Datenschutz im Allgemeinen zu einem der Kernthemen des UN-Menschenrechtsrates zu machen.
Voraussichtlich ab Juni und zunächst für drei Jahre soll der Berichterstatter seine Arbeit aufnehmen, die u. a. darin bestehen wird, einen Bericht über die Lage des Rechts auf Privatsphäre in den Mitgliedstaaten anzufertigen und sodann auch Empfehlungen dahingehend auszusprechen, wie dieses Recht in der digitalen, vernetzten Welt effektiv durchgesetzt werden kann. Dabei soll er auch die staatlichen Überwachungspraktiken beobachten.
Einige Staaten, darunter auch die USA, äußerten sich teilweise kritisch gegenüber der Entschließung. Es bleibt zu hoffen, dass sie die Arbeit des Sonderberichterstatters nicht zu behindern versuchen werden.
25. März 2015
Nachdem zuletzt mehrere Medien wie NDR Info oder Spiegel Online darüber berichtet hatten, dass die Auskunftei Infoscore Consumer Data GmbH (ICD) datenschutzrechtliche Mängel bei der Erteilung von Selbstauskünften erkennen ließ, hat diese reagiert und die Online-Mieterselbstauskunft vorerst vom Netz genommen.
NDR Info, die der Sicherheitslücke zuerst auf die Spur gekommen waren, monierten konkret, dass es zur Auskunft über personenenbezogene Daten keiner Vorlage einer Kopie eines Personalausweises bedurfte. Die Risiken dieses Vorgehens sind offensichtlich: Weitestgehend problemlos bestand somit die Möglichkeit für unbeteiligte Dritte sich Auskünfte über Negativdaten von betroffenen Personen zu organisieren. Hierzu mussten lediglich Name, Geburtsdatum und Anschrift einer Person angegeben werden. Eine zusätzlich abgefragte Handynummer konnte problemlos auch auf eine andere Person gemeldet sein und bot so keine Kontrollfunktion.
Wie der NDR berichtete, kam es jüngst zu einer Datenpanne bei der Infoscore Consumer Data GmbH (Infoscore).
Die Bertelsmann-Tocher Infoscore unterhält eine Datenbank mit circa 40 Millionen Informationen zu negativen Zahlungsverhalten von über 7,8 Millionen Verbrauchern.
In datenschutzrechtlich unzulässiger Weise hat Infoscore das Auskunftsverfahren für Mieter gestaltet. Mit einer Auskunft von Infoscore können Mietinteressenten ihren potentiellen Vermietern ihre Liquidität nachweisen. Wie der NDR recherchierte, genügte es zum Erhalt einer Auskunft über eine Person, dass lediglich deren Name, Adresse und Geburtsdatum zur Identifizierung angegeben wurden.
Informationen über das negative Zahlungsverhalten von Verbrauchern stellen personenbezogene Daten dar, die besonders geschützt werden müssen. Können unbefugte Dritte Kenntnis von diesen Informationen erlangen, sind die Betroffenen nicht nur in ihrem Recht auf informationelle Selbstbestimmung sondern auch an ihrer Reputation geschädigt. Deswegen obliegt es der datenverarbeitenden Stelle geeignete technische und organisatorische Maßnahmen zu treffen, durch welche die Daten vor dem Zugriff Unbefugter geschützt sind. Allein die Angaben von Name, Adresse und Geburtsdatum stellen jedoch keine ausreichenden Schutzmaßnahmen dar. Ohne großen Aufwand können diese Informationen über eine Person von Dritten in Telefonbüchern oder sozialen Netzwerken ermittelt werden. Vielmehr muss von der Auskunftei sichergestellt werden, dass der Auskunftsantragsteller identisch mit der Person ist, deren Daten betroffen sind. Die Authentifizierung kann beispielsweise mittels der online Identifizierungsfunktion des Personalausweises oder durch Übermittllung einer Kopie des Personalausweises der betroffenen Person vorgenommen werden.
Aufgrund der Aufdeckungen des NDR hat nach dessen Bericht zufolge Infoscore die betroffene Datenbank vorerst offline geschaltet.
23. März 2015
Die Bundesrepublik Deutschland setzt sich im Menschenrechtsrat der Vereinten Nationen in Genf für die Schaffung einer neuen Stelle eines Sonderberichterstatters für Datenschutz ein. Zum Abschluss der 28. Tagung des Gremiums brachte eine breite Koalition aus europäischen und südamerikanischen Ländern einen entsprechenden Entwurf ein. Wie heise.de berichtet, wird dieser begründet mit der “tiefen Besorgnis über die negativen Effekte der Überwachung und Ausspähung der Kommunikation“. Die im Zuge der NSA-Affäre wieder aufgeflammte Diskussion über Massenüberwachung und Vorratsdatenspeicherung führte zu einer breiten Unterstützung von 65 NGOs, die die Schaffung einer solchen Stelle fordern. Aufgabe des Sonderbeauftragten soll in erster Linie die Beobachtung und Dokumentation von Datenschutzproblemen in allen UN-Mitgliedsländern sowie die Erstellung von Berichten hierzu sein. Ob eine solche Stelle tatsächlich geschaffen wird, dürfte entscheidend von der Haltung der so genannten “Five Eyes”, also der Geheimdienstallianz von USA, Großbritannien, Kanada, Neuseeland und Australien, abhängen. Im Rahmen der Diskussion wurde auch die Frage aufgeworfen, inwieweit die massenhafte Speicherung von Metadaten datenschutzrechtlich zu bewerten ist. Diese Frage dürfte auch in der momentanen Planung zur Vorratsdatensspeicherung in Deutschland bald wieder heiß diskutiert werden.
16. März 2015
Der Internet-Konzern Yahoo bietet künftig seinen US-amerikanischen Nutzern ein neues Anmeldekonzept an, das ohne die Eingabe eines konventionellen Passworts auskommt und lediglich die Eingabe eines automatisch generierten Einmal-Passworts (On-Demand-Passwort) erfordert, welches vor dem Log-In per SMS auf das Mobiltelefon des jeweiligen Nutzers gesendet wird. Ein zusätzlich- es Hauptpasswort ist nicht erforderlich. Dem Nutzer wird so das Ausdenken und das Merken eines (weiteren) Passworts erspart – zugleich wird sichergestellt, dass das Passwort hinreichend sicher ist. Dies soll der erste Schritt auf dem Weg, Passwörter endgültig abzuschaffen, sein.
Die Cloud ist Realität – rechtlich aber im Detail umstritten. Was also ist für die Zukunft in Hinblick auf Haftungsfragen zu beachten, wenn in absehbarer Zeit kaum praktische Alternativen zur Datenhaltung in der Cloud existieren und schon heute die Cloud wirtschaftlich betrachtet für viele konkurrenzlos günstig erscheint?
Immer wieder, so etwa auch auf den MS Cloud Events in diversen deutschen Städten im Herbst 2014, wird auf die datenschutzrechtliche Problematik der Internationalität der Cloud verwiesen. Jedenfalls in Bezug auf “sensitive Daten”, also z.B. Gesundheitsdaten, sei die Internationalität ein rechtliches Problem bei der Datenhaltung in der Cloud. Diese Problematik wird jedoch nicht einmal von allen Aufsichtsbehörden für Datenschutz so gesehen.
Mitunter unterschätzt hingegen wird der in der Natur der Cloud begründete rechtliche Kritikpunkt an der fehlenden Datenherrschaft des Cloudnutzers und an den fehlenden Kontrollmöglichkeiten gegenüber dem Cloud-Provider. Wo sind die Daten genau jetzt? Werden technisch erforderliche Vervielfältigungen, wie es das Gesetz erfordert, gelöscht? Kann sich der Cloudnutzer von der Datensicherheit bei seinem Provider höchstpersönlich ein Bild machen? Dieses Problemfeld ist klar zu benennen und wenig hilfreich erscheint es, wenn festgehalten wird, dass “klassische Datenschutz-Sichtweisen im Datenschutz in der Cloud nicht funktionieren”. Umgekehrt kommt man der Wahrheit näher: die der Cloud eigenen Funktionsweisen werden vom Gesetz, was die erwähnten Kontrollmöglichkeiten betrifft, jedenfalls in Europa bisher nicht anerkannt. Denn der Gesetzgeber verlangt nun einmal Kontrolle über den Dienstleister, dem man eigene oder fremde Daten anvertraut. Diese Kontrolle funktioniert nur mithilfe von Transparenz in Bezug auf wichtige Fragen: Wer kann auf die Daten aktuell zugreifen? Kann ich diese Punkte vom Cloudanbieter in Erfahrung bringen, wenn mein eigener Kunde dies von mir wissen möchte? Kurz: Bin ich noch Herr der Daten? Kann ich die für die Daten übernommene Verantwortung überhaupt noch übernehmen oder scheitere ich an der faktischen Macht des Cloudanbieters und der technischen Funktionsweise der Cloud?
Bei der Frage der Kontrollmöglichkeiten sollte man Farbe bekennen und den Europäischen Gesetzgeber dazu auffordern, eigene Regelungen für die Cloud zu fordern, die die fehlende Kontrollmöglichkeiten als Kollateralschäden der Cloud anerkennen. Es erscheint denkbar, Cloudanbieter im Gegenzug besonderen Pflichten zu unterwerfen, damit die mit den Kontrollrechten verfolgten Grundkonzepte des Datenschutzes auf alternativem Wege erreicht werden. Sollte eine etablierte Rechtsauffassung – die Notwendigkeit des Kontrollprinzips – aufgegeben werden, um einer modernen Art der Datenhaltung aus der juristischen Problemzone zu verhelfen? Oder wird der Datenschutz seinem Auftrag, den Bürger zu schützen, nur dann gerecht, wenn eine lückenlose Transparenz und Kontrolle weiterhin festgeschrieben ist?
Gelegentlich wird juristisch vertreten, dass man das aktuelle Datenschutzrecht einfach uminterpretieren müsse: Eine technische Auslegung des Datenschutzrechts würde das Problem lösen. Sinngemäß dürfe einer sinnvollen technischen Lösung kein unmodernes, nicht IT-ausgerichtetes Gesetz entgegen stehen. Das klingt verlockend. Eine Revision des Datenschutzgesetzes wäre damit gar nicht nötig. Doch hier ist Vorsicht geboten: Anders als etwas das Urheberrecht ist Datenschutzrecht kein Wirtschaftsrecht. Datenschutzrecht ist Persönlichkeitsrecht. Damit stehen die Interessen des Bürgers am Datenschutz grundsätzlich hinter einer technischen und damit wirtschaftsfreundlichen Interpretation des Gesetzes zurück. Im Ergebnis bleibt das Thema Kontrolle und Datenherrschaft in der Cloud daher aktuell ungelöst.
Das ist der Grund, warum gelegentlich behauptet wird, die Cloud sei “rechtswidrig”. Das trifft so sicherlich nicht zu. Doch haftungsrechtlich sind die Pflichten in Bezug auf eine Datenherrschaft des Cloud-Kunden nicht zu unterschätzen. Als solcher haftet man unter Umständen für eventuelle Mängel des Cloud-Anbieters, obwohl man die Dienstleistung Cloud nur einkauft. Dies betrifft immer die Kette: Cloud Anbieter – Cloud Kunde – Kunde des Cloud Kunden. Als Cloud Kunde steht man in der Mitte und muss ein ordnungsgemäßes Datenschutz-Level gegenüber seinem eigenen Kunden sicher stellen, was aktuell wie dargestellt einfach nicht angeboten wird und was die Kontrolle angeht auch nicht realisierbar erscheint, eben weil die Daten in der Cloud ubiqitär sind und z.B. keine sichere Auskunft über den Datenaufenthaltsort gegeben werden kann.
Selbst, wenn man diese Haftungsproblematik akzeptiert und das Risiko einer Datenschutz-Incompliance eingeht: Weitere Aspekte der Cloud sind datenschutzrechtlich problematisch. Dies betrifft zum Beispiel die Datenqualität. Gerade die bereits erwähnten sensiblen Daten dürfen, wenn überhaupt, nur in die Cloud gebracht werden, wenn eine detaillierte Prüfung des Einzelfalles dies als zulässig erscheinen lässt. Dies hängt von technischen Rahmenbedingungen ab, aber auch von den AGBs der Anbieter.
Weitere Diskussionen betreffend die Rechtmäßigkeit der Cloud sind vor allem:
• Datenzugriff durch Dritte, insbesondere Behörden (Nicht nur Datenschutz, sondern auch Know How Schutz)
• Technisch – organisatorische Maßnahmen (nicht nur vorhanden, sondern auch dokumentiert und kontrollierbar)
• Subdienstleister (Fehlende Transparenz bezüglich deren Einbindung, Technisch Organisatorische Maßnahmen umgesetzt?
• AGB
Dabei gilt immer (wie schon oben): Wenn ich selbst die Cloud “einkaufe” und für Services Dritten gegenüber benutze, kann ich mich i.d.R. schlecht exkulpieren, muss ggf. für die o.g. “eingekauften” Mängel gegenüber meinem Auftragnehmer, meinem Arbeitnehmer etc. haften.
Natürlich lockt die Cloud mit vielen Vorteilen. Haben Sie Ihre Haftung analysiert und gehen Sie Risiken bewusst ein?
13. März 2015
Einem Bericht von Zeit Online zufolge hat die Initiative LobbyPlag nun insgesamt 11.000 Dokumentenseiten aus den Verhandlungen des EU-Ministerrats zur geplanten EU-Datenschutzgrundverordnung veröffentlicht. Aus diesen Seiten gehe insbesondere hervor, wer die Großreform in den geheimen Runden verwässere. Nach Auswertung der Dokumente sei LobbyPlag zu dem Ergebnis gekommen, dass vor allem die Bundesregierung sich dafür einsetze, das einst so ambitionierte Vorhaben entgegen ihrer öffentlichen Beteuerungen immer weiter abzuschwächen. Das zuständige Bundesinnenministerium lasse sich massiv von Wirtschaftslobbyisten manipulieren und versuche dem entsprechend, die Datenschutzgrundverordnung in deren Sinne zu beeinflussen.
Verdeutlicht werden könne diese “Verwässerung” an folgendem Beispiel für eine Klausel zur Zweckbindung von Daten, wie sie in Artikel 6.4 des Entwurfs vorgesehen ist, die laut Zeit Online Bundesinnenminister Thomas de Maizière besonders gerne geändert sähe. In dem ursprünglichen Entwurf der Datenschutzgrundverordnung sei es vorgesehen gewesen, dass Unternehmen ihre Nutzerdaten nur für den Zweck verwenden dürfen, für den sie erhoben wurden. Die Bundesregierung setze sich hingegen für eine Ergänzung des entsprechenden Passus ein: Daten sollen auch ohne ausdrückliche Genehmigung für andere Zwecke genutzt werden dürfen, wenn das “Berechtigte Interesse” der Unternehmen das der Betroffenen überwiegt. Grundsätzlich sei dies im deutschen Datenschutzrecht nichts Neues. Dort werde das “berechtigte Interesse” der Unternehmen allerdings gegen die Grundrechte der Betroffenen abgewogen und ausbalanciert. In der Verordnung sei das nach derzeitigem Stand hingegen nicht vorgesehen. Aus der Zweckbindung drohe eine Zweckentbindung zu werden.
Im Ergebnis sei LobbyPlag zu dem Schluss gekommen, dass 132 der 151 Änderungsanträge im Rat das Datenschutzniveau senken würden, zum Teil auf ein Niveau von vor 1995, als die bis heute gültige EU-Richtlinie zum Datenschutz verabschiedet worden sei. Auch sei festzustellen gewesen, dass nur vier Länder – Ungarn, Österreich, Griechenland und die Schweiz – den Verordnungsentwurf ver- und nicht entschärfen wollen.
Das nach Meinung vieler längst überfällige “WLAN-Gesetz” scheint nun tatsächlich Realität zu werden. Das Bundesministerium für Wirtschaft und Energie veröffentlichte am 11.03.2015 einen ersten Gesetzesentwurf. Dieser wird von vielen Stimmen in der Netzgemeinde sehr kritisch beurteilt. Aber auch der Verband der deutschen Internetwirtschaft eco zeigt sich enttäuscht über die Vorschläge aus dem Hause von Minister Gabriel. Bemängelt wird in erster Linie, dass Hosting Anbieter im Kampf gegen Urheberrechtsverletzungen in die Pflicht genommen werden sollen. So soll der neue § 10 Abs. 2 lit. a) TMG diese verpflichten, gegen “gefahrgeneigte Dienste” vorzugehen. Dieser überaus schwammige Begriff zielt wohl in erster Linie auf illegale Streamingdinste ab. Faktisch dürfte er Anbietern von öffentlichen WLANs weiter Steine in den Weg legen, da Rechtsunsicherheiten bestehen bleiben. Wann genau ein solcher “gefahrgeneigter Dienst” vorliegt, ist nämlich nach wie vor ungeklärt, die enthaltenen Regelbeispiele scheinen jedenfalls nicht zur Rechtssicherheit beitragen zu können. Bemängelt werden darüber hinaus der hohe Anmelde- und Registrierungsaufwand, den die Anbieter leisten sollen.
Es gibt aber auch positive Stimmen. Insbesondere die Klarstellung, dass WLAN-Anbieter Diensteanbieter im Sinne des Telemediengesetzes sind, sei längst überfällig gewesen, so eco.
Ob durch die neue Gesetzesinititaive der Ausbau von öffentlich zugänglichen WLAN-Netzen begünstigt wird, bleibt also abzuwarten. Weitere Änderungen des Entwurfes insbesondere im Hinblick auf eine eindeutige Haftungsprivilegierung von Hosting Anbietern scheinen nicht ausgeschlossen.
12. März 2015
Mit Urteil vom 03.02.2015 (Az. I S 19/14) hat das Landgericht Heilbronn entschieden, dass Aufzeichnungen einer Dashcam nicht als Beweismittel zur Klärung eines Unfallhergangs in den Zivilprozess eingeführt werden können. Damit wird die bisherige Linie von Rechtsprechung und öffentlichen Datenschutzbeauftragten, wie bereits berichtet, fortgesetzt.
Bei Dashcams handelt es sich um kleine Videokameras, die z.B. vor dem Rückspiegel eines Kfz angebracht werden. Während der Fahrt zeichnen die Geräte die Umgebung – inklusive der Passanten und anderen Verkehrsteilnehmer – auf, die mit dem Kfz abgefahren wird. Im vorliegenden Fall war im Pkw des Klägers eine Dashcam befestigt. Mit diesem Pkw war der Kläger in einen Unfall verwickelt. Das Unfallgeschehen zeichnete die Dashcam auf. Um den gegen ihn sprechenden Anscheinsbeweis zu erschüttern, wollte der Kläger die Aufzeichnungen im Wege der Inaugenscheinnahme als Beweismittel in den Prozess einführen.
Eine Beweisverwertung der Aufzeichnungen lehnten die Richter jedoch ab. Im Zivilprozess gilt der Grundsatz der freien Beweiswürdigung, vgl. § 286 ZPO. Nach diesem Grundsatz obliegt des dem Gericht nach Würdigung des gesamten Prozessstoffes zu seiner freien Überzeugung über die Tatsachen zu gelangen. Dieser Grundsatz erfährt jedoch seine Grenzen, wo widerstreitende Verfassungsrechte aufeinander treffen. Gerichte haben in solchen Fällen eine interessengerechte Güterabwägung vorzunehmen und dementsprechend über die Verwertbarkeit zu entscheiden.
Das LG Heilbronn hat im vorliegenden Fall nach einer Güterabwägung entschieden, dass die Aufzeichnungen der Dashcam als Beweismittel unzulässig sind. Zwar kann der Kläger sich auf den Anspruch auf rechtliches Gehör nach Art. 103 Abs. 1 GG berufen. Daneben gilt auch das dem Rechtstaatsprinzip des Art. 20 Abs. 3 GG folgende Gebot des effektiven Rechtsschutzes, Art. 19 Abs. 4 GG. Diesen Grundsätzen überwiegt jedoch das allgemeine Persönlichkeitsrecht in Form des Rechts auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG. Durch die anlasslose und permanente Videoaufzeichnung werden die Betroffenen – im vorliegenden Fall vor allem der beklagte Unfallbeteiligte – in diesem Recht verletzt. Neben der erheblichen Grundrechtsverletzung verstößt die anlasslose und permanente Videoüberwachung auch gegen die einfachgesetzlichen Normen § 6b Abs. 1 Nr. 3 BDSG sowie § 22 S. 1 KUG, so die Richter. Videoüberwachung von öffentlich zugänglichen Räumen ist nach § 6b Abs. 1 Nr. 3 BDSG nur dann zulässig, wenn dies zur Wahrnehmung berechtigter Interessen erforderlich ist und schutzwürdige Interessen des Betroffenen nicht überwiegen. Zwar stelle die Beweissicherung ein legitimes Interesse dar. Dieses rechtfertigt jedoch nicht, öffentlich zugängliche Räume mittels Videoaufnahmen zu überwachen. Schließlich verstößt die Überwachung mit Dashcams auch gegen das Kunsturhebergesetz. Weder liegt eine Einwilligung der Betroffenen vor, noch greift ein Ausnahmetatbestand des § 23 KUG. Denn die Verbreitung und Zurschaustellung von Bildnissen ist unzulässig, wenn dadurch das berechtigte Interesse des Abgebildeten verletzt wird. Genau das war hier der Fall.
5. März 2015
Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 19.02.2015 (Aktenzeichen 8 AZR 1011/13) festgestellt, dass Bildnisse von Arbeitnehmern ausschließlich mit deren schriftlicher Einwilligung veröffentlicht werden dürfen. Eine ohne Einschränkung erteilte Einwilligungserklärung ende allerdings nicht automatisch mit dem Auflösen des Arbeitsverhältnisses. Die Einwilligung könne jedoch zu einem späteren Zeitpunkt widerrufen werden, wenn dafür ein plausibler Grund vorgetragen wird.
In dem diesem Urteil zugrunde liegenden Sachverhalt hatte ein Arbeitgeber Filmaufnahmen ihrer Arbeitnehmer für Werbemaßnahmen verwendet. In diesem Zusammenhang hatte der Kläger schriftlich seine Einwilligung zu einer Mitwirkung in einem Werbefilm, in dem er zweimal erkennbar als Person abgebildet war, erklärt. Nach der Beendigung des Arbeitsverhältnisses hatte er den Widerruf seiner etwaigen Einwilligung erklärt und die Beklagte aufgefordert, die Filmaufnahmen binnen 10 Tagen aus dem Netz zu nehmen. Der Arbeitnehmer verlangte weiter Unterlassung und ein Schmerzensgeld.
Zu Unrecht, wie das BAG nun klarstellte. Denn der Kläger hatte für diese gegenläufige Ausübung seines Rechts auf informationelle Selbstbestimmung keinen plausiblen Grund angegeben. Er könne daher eine weitere Veröffentlichung nicht untersagen lassen und würde durch diese in seinem Persönlichkeitsrecht nicht verletzt werden.
Pages: 1 2 ... 132 133 134 135 136 ... 205 206 
