Kategorie: Allgemein
24. November 2022
Die Polizei Gelsenkirchen gab Anfang dieser Woche über eine Pressemittelung bekannt, dass eine 23-Jährige Frau über die Kamera ihres Katzenfutterautomaten ausgespäht worden sei. Die Frau habe daraufhin Strafanzeigen wegen Verletzung der Vertraulichkeit des Wortes nach §201 StGB gestellt.
Die Hintergründe
Samstag kurz nach Mitternacht habe die Frau die Polizei gerufen. Eine unbekannte Person habe auf „Instagram” Ton- und Videoaufnahmen aus ihrer Wohnung veröffentlicht. Diese Aufnahmen stammen von dem smarten Katzenfutterautomaten, der sich in der Wohnung der Frau befinde.
Der Automat sei mit dem heimischen WLAN verbunden gewesen. Tatsächlich kann auf diese Weise der Katzenbesitzer seine Katze über eine App mit Futter versorgen, wenn er nicht zu Hause ist. Die App ermöglicht es, der Katze über den Futterspender ihre Nahrung zur Verfügung zu stellen. Außerdem kann der Besitzer seine Katze beobachten.
In diesem Fall sei die Kamerafunktion allerdings missbräuchlich verwendet worden, sodass der Täter sogar einen Teil der aufgenommenen Bilder im Online-Netzwerk Instagram veröffentlicht habe. Um einen möglichen Missbrauch vorzubeugen, empfahl die Polizei Gelsenkirchen den WLAN-Zugang vor der Nutzung durch fremde Personen zu schützen. Zusätzlich sollten Wohnungs- und Hausbesitzer ihre Geräte, die Ton- und Bildaufnahmen anfertigten können, nicht innerhalb des Sicht- und Hörbereiches aufstellen.
18. November 2022
Die Nachrichtenagentur Reuters berichtete kürzlich über ein Bußgeldverfahren, dem sich der Tech-Gigant stellen müsse. Demnach soll Google 391,5 Million US Dollar zahlen, um Vorwürfen von 40 Bundesstaaten beizukommen.
Illegales Standort Tracking
Zu Schulden hätte sich Google das nicht autorisierte Verfolgen von Standortdaten kommen lassen. Dies erklärte die Generalstaatsanwaltschaft von Michigan am Montag. Bereits schon in den letzten Monaten seien die Generalstaatsanwälte der beteiligten Bundesstaaten aggressiv gegen die Praktiken des Unternehmens bei der Nutzungsverfolgung vorgegangen. Infolgedessen soll sich Google nicht nur monetären Sanktionen stellen, sondern auch betroffenen Nutzerinnen und Nutzern eine transparente Information über das „wann“ der Standortverfolgung gewährleisten.
Googles Reaktion
In einem Blog-Post erklärte Google am Montag, dass der Konzern in den kommenden Monaten Aktualisierungen vornehmen werden, um so Verbrauchern mehr Kontrolle und Transparenz über deren Standortdaten zu bieten. Im Kontext der angestrebten Änderungen soll das Löschen von Standortdaten vereinfacht werden. Mittels einer automatischen Löschfunktion können Nutzer*innen Google anweisen Informationen, welche ein bestimmtes Alter erreicht haben, zu löschen.
Erkenntnisse einer Untersuchung
Berichte über das Fehlverhalten Googles bezüglich der widerwilligen Speicherung von Standortdaten der Nutzer führte 2018 zur Einleitung einer Untersuchung. Diese ergab, dass Google mindestens seit 2014 bereits über die Praktiken zur Standortverfolgung getäuscht und damit gegen staatliche Verbraucherschutzgesetze verstoßen habe.
Fazit
Google hat in der ersten Jahreshälfte 2022 111 Milliarden US Dollar mit Werbung eingenommen. Der Standort eines Verbrauchers ist der Schlüssel, um Werbung zielgerichteter gestalten zu können. Es ist nunmehr kein Geheimnis, dass Google sich durch widerrechtliche Praktiken Vorteile auf dem Werbemarkt verschafft.
17. November 2022
Die Amtspflichtverletzung eines betrieblichen Datenschutzbeauftragten erlaube nach Systematik sowie Sinn und Zweck des § 6 Abs. 4 BDSG nicht die fristlose Kündigung. Dies entschied das Arbeitsgericht Heilbronn mit Urteil vom 29. September 2022 (Az. 8 Ca 135/22).
Hintergründe der Kündigung
Aus Sicht des Arbeitgebers sei die fristlose Kündigung erforderlich gewesen, da der angestellte Datenschutzbeauftragte verschiedenen Verpflichtungen nicht nachgekommen sei. Dieser habe die Aufgaben, die sich aus seiner Stellung als Datenschutzbeauftragten ergeben, nicht ausreichend erfüllt. Somit sei es zu mehreren Datenschutzmängeln im Unternehmen gekommen.
Unterscheidung zwischen Abberufung und Kündigung
Das ArbG stellte die Unwirksamkeit der fristlosen Kündigung fest. Insoweit könne die Missachtung seiner Pflichten, die sich aus der Funktion als Datenschutzbeauftragter ergeben, nicht der alleinige Kündigungsgrund sein.
Das Gericht betonte dabei, dass zu unterscheiden sei zwischen arbeitsrechtlichen Pflichtverletzungen und solchen, die das Amt des Datenschutzbeauftragten betreffen. Bei Verletzung der Amtspflichten seien die gesetzlichen Sanktionen anzuwenden. Eine Kündigung sei stattdessen nicht möglich.
Außerdem führte das Gericht an, dass § 6 Abs. 4 BDSG ausdrücklich zwischen der Abberufung und der Kündigung unterscheide. Die Abberufung des Datenschutzbeauftragten sei grundsätzlich möglich. Dafür müsse ein Grund vorliegen, der nach Maßgabe des §626 BGB zu bestimmen sei. Darüber hinaus müsse der Grund mit der Funktion als Datenschutzbeauftragten in Verbindung stehen. Hinsichtlich der Kündigung stelle das Gesetz den Datenschutzbeauftragten unter einen besonderen Schutz. Die Kündigung sei grundsätzlich nicht möglich. Ausnahme dieser Regel sei das Vorliegen eines Kündigungsgrunds, der zur fristlosen Kündigung berechtige.
Aus Sicht des Gerichtes sei die ausdrückliche Unterscheidung zwischen Abberufung und Kündigung für die Kündigung des Datenschutzbeauftragten zu beachten. Wegen dieser Unterscheidung sei die Kündigung wegen einer Amtspflichtverletzung nicht möglich.
Zusätzlich sei der Sinn und Zweck der Abberufung und Kündigung zu berücksichtigen. Um den Datenschutzbeauftragten die freie Funktionsausübung zu ermöglichen, sei die Abberufung nicht ohne Grund möglich. Der Kündigungsschutz des Datenschutzbeauftragten begründe sich hingegen aus möglichen Konflikten. Diese könnten aufgrund der arbeitsrechtlichen Verpflichtungen und der Ausführung der datenschutzrechtlichen Funktion entstehen.
Der Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI) rät Besucherinnen und Besuchern der Fußball-Weltmeisterschaft (WM) 2022 in Katar zur Verwendung eines separaten Mobiltelefons für die Reise. Hintergrund der Empfehlung ist, dass die Fußball-Fans die Apps „Hayya“ und „Ehteraz“ installieren müssen, welche der BfDI als datenschutztechnisch bedenklich einstuft.
Die WM-Apps Hayya und Ehteraz
„Hayya“ ist die offizielle WM-App, mit der die sogenannte „Hayya-Card“ verwaltet wird, die für Einreise und Zutritt zu den Fußballstadien sowie die Nutzung des öffentlichen Nahverkehrs erforderlich ist. „Ehteraz“ wird zur Corona-Kontaktverfolgung eingesetzt und muss von allen Reisenden ab 18 Jahren installiert werden. Allerdings wird „Ehteraz“ nur für den Besuch von Gesundheitseinrichtungen benötigt. Beide Apps können in den gängigen App-Stores heruntergeladen werden.
Ergebnisse der Analyse
Bei der ersten Analyse der Apps hat der BfDI festgestellt, dass „die Datenverarbeitungen beider Apps wahrscheinlich deutlich weiter gehen, als es die Beschreibungen der Datenschutzhinweise und Verarbeitungszwecke in den App-Stores angeben.“ Eine der Apps erhebe Daten zu Telefonaten, welche in Deutschland als sensible Telekommunikationsverbindungsdaten unter das Fernmeldegeheimnis fielen. Die andere App könne aktiv den Schlafmodus des Geräts verhindern. Zudem liege nahe, dass die Daten nicht nur lokal gespeichert, sondern auch an einen zentralen Server übermittelt würden. Aus diesen Gründen sollten Besucherinnen und Besucher der WM laut BfDI ein separates Gerät zur Installation der Apps verwenden, auf dem keine personenbezogenen Daten gespeichert seien, und nach Rückkehr das Betriebssystem und sämtliche Inhalte darauf vollständig löschen.
Bedenken anderer Datenschutzbehörden
Die Einschätzung des BfDI deckt sich mit der Warnung der französischen und der norwegischen Datenschutzbehörden CNIL und Datatilsynet. Auch diese empfehlen die Nutzung eines separaten Geräts für die Apps. Die norwegische Datenschutzbehörde Datatilsynet hält den umfangreichen Zugriff der Apps für alarmierend und gab Empfehlungen (auf Norwegisch) dahingehend ab, was Besucherinnen und Besucher tun können, die keinen Zugriff auf ein Zweitgerät haben oder ein solches nicht nutzen möchten. Demnach könnten die eigenen Daten vor Einreise gesichert und anschließend auf dem Mobiltelefon gelöscht werden, sodass es in Katar nur für die beiden Apps verwendet würde. Nach Rückkehr könnte das Gerät dann zurückgesetzt und die gesicherten Daten wiederhergestellt werden.
Nicht das einzige Datenschutzthema bei der WM in Katar
Die verpflichtende Installation dieser Apps ist nicht das einzige Problem, das sich bei der WM in Katar im Bereich des Datenschutzes stellt. Laut Auswärtigem Amt nutzen die Behörden in Katar „intensiv digitale Technologien.“ Es würden unter anderem flächendeckend Videokameras im öffentlichen Raum eingesetzt und bei jeder Ein- und Ausreise fände eine biometrische Erfassung mittels Gesichtsscanner und Bildabgleich statt.
11. November 2022
Mit Beschluss vom 10.11.2022 (Az. I ZR 186/17) hat der Bundesgerichtshof (BGH) entschieden, dem Europäischen Gerichtshof (EuGH) die Frage zur Vorabentscheidung vorzulegen, ob eine Rechtsverletzung „infolge einer Verarbeitung“ im Sinne von Art. 80 Abs. 2 DSGVO geltend gemacht wird, wenn ein Verband zur Wahrung von Verbraucherinteressen seine Klage darauf stützt, die Rechte einer betroffenen Person seien verletzt, weil die Informationspflichten gemäß Art. 12 Abs. 1 Satz 1 DSGVO in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO über den Zweck der Datenverarbeitung und den Empfänger der personenbezogenen Daten nicht erfüllt worden seien.
Sachverhalt
In dem Verfahren, das durch den BGH nun bis zur Entscheidung des EuGHs über die Vorlagefrage ausgesetzt wurde, geht es um eine Auseinandersetzung zwischen der Meta Platform Ireland Limited (Meta) und dem Dachverband der Verbraucherzentralen der Bundesländer (VZBV). Meta betreibt das soziale Netzwerk „Facebook“. Dieses hat in seinem Netzwerk im Jahr 2012 ein sog. „App-Zentrum“ installiert, über welches Nutzer Online-Spiele anderer Anbieter spielen können. In diesem Rahmen wurde auch auf die erfolgende Datenverarbeitung hingewiesen und eine Einwilligung der Nutzer eingeholt. Unter dem Button „Sofort spielen“ waren folgende Hinweise zu lesen: „Durch das Anklicken von Spiel spielen (oben) erhält diese Anwendung: Deine allgemeinen Informationen, Deine-Mail-Adresse, Über Dich, Deine Statusmeldungen. Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr.“ Bei einem Spiel endeten die Hinweise mit dem Satz: „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten.“ Die Einwilligung beurteilte der Verbraucherschutzverband als nicht datenschutzkonform und machte wegen des Vergehens wettbewerbsrechtliche Unterlassungsansprüche gemäß § 8 Abs. 3 Nr. 3 UWG und § 3 Abs. 1 Satz 1 Nr. 1 UKlaG geltend. Auch sei der abschließende Hinweis bei einem Spiel eine den Nutzer unangemessen benachteiligende Allgemeine Geschäftsbedingung (AGB).
Unterlassungsansprüche und Betroffenheit für den BGH problematisch
Das Verfahren beschäftige sich mit der grundsätzlichen Frage, ob ein Verstoß des Betreibers eines sozialen Netzwerks gegen die datenschutzrechtliche Informationspflicht, die Nutzer dieses Netzwerks über Umfang und Zweck der Erhebung und Verwendung ihrer Daten zu unterrichten, wettbewerbsrechtliche Unterlassungsansprüche begründen kann. Des Weiteren stelle sich die Frage, ob Verbraucherschützer auch ohne einen Auftrag konkret Betroffener vor Gericht ziehen dürften. Der BGH zieht in dieser Sache nun zum zweiten Mal den EuGH zurate.
Erste Vorlage an den EuGH (wir berichteten)
Mit Beschluss vom 28.05.2020 (Az. I ZR 186/17) hatte der BGH ursprünglich entschieden, dem EuGH die Frage zur Vorabentscheidung vorzulegen, ob unter Anderem Verbraucherschutzverbände berechtigt seien, Datenschutzverstöße gerichtlich geltend machen zu können. Der EuGH hatte dann entschieden, dass Verbraucherzentralen auch ohne Auftrag und unabhängig von der Verletzung konkreter Rechte betroffener Personen klagen können.
Neue Entscheidung für BGH „unerwartet“
Der BGH vertrete die Ansicht, dass Verbraucherschutzverbände nicht automatisch klagebefugt seien. Man wolle konkret wissen, ob in dem Fall aus Sicht des EuGHs die Voraussetzung erfüllt sei, dass die Rechte einer betroffenen Person gemäß der DSGVO „infolge einer Verarbeitung“ verletzt worden seien. Es sei fraglich, ob diese Voraussetzung erfüllt sei, wenn – wie im Streitfall – die sich aus Art. 12 Abs. 1 Satz 1, Art. 13 Abs. 1 Buchst. c und e DSGVO ergebenden Informationspflichten verletzt worden seien. Die Entscheidung sei wichtig für eine Fülle anhängiger Verfahren.
„Angesichts der massenhaften Datenschutzverstöße auf den großen Digitalplattformen sei es enttäuschend, dass sich dieses schon sehr lange laufende Grundsatzverfahren wieder verzögere“, so der Leiter des Teams Rechtsdurchsetzung beim VZBV, Heiko Dünkel.
Meta gab bisher noch kein offizielles Statement zu der erneuten Vorlage ab. Der Anwalt des Konzerns, Christian Rohnke, hatte bei der Verhandlung am BGH jedoch betont, dass Facebook das fragliche Vorgehen inzwischen geändert habe.
10. November 2022
Unter Federführung von „Algorithm Watch“ haben insgesamt 24 zivilrechtliche Organisationen, darunter „Amnesty International“ und „Reporter ohne Grenzen“ einen Brief an die Bundesregierung veröffentlich. Inhalt des offenen Briefes ist die Forderung, dass sich die Regierung bei den Verhandlungen im europäischen Rat zur „Artificial Intelligence“-Verordnung für ein striktes Verbot der biometrischen Überwachung einsetzen solle.
Der Verordnungsentwurf zu künstlicher Intelligenz
Hintergrund der Artificial Intelligence Verordnung ist die Frage, wie die Europäische Union (EU) einen sicheren Rechtsrahmen für den Umgang mit künstlicher Intelligenz schaffen kann. Hiermit befasst sich die europäische Kommission bereits seit 2018. Im April 2021 hatte diese einen Verordnungsentwurf vorgelegt.
In ihrem offenen Brief stellten die unterzeichnenden Organisationen fest, dass nach Art. 5 Abs. 1 lit. d des Verordnungsentwurfes der Einsatz von biometrischer Überwachung grundsätzlich verboten sei. Allerdings sehe der Artikel eine Vielzahl an Ausnahmen vor, nach denen die Mitgliedstaaten Technologien zur Identifikation von Personen anhand ihrer biometrischer Daten in öffentlichen Räumen einsetzten können.
Kritik an der Verordnung
Die Möglichkeit sog. „biometrischer Echtzeit-Fernidentifizierungssysteme“ einsetzen zu können, kritisierten nun Algorithm Watch und die weiteren unterzeichnenden Organisationen in ihrem offenen Brief.
Dabei erinnerten die unterzeichnenden Organisationen an den Koalitionsvertrag der Bundesregierung. Laut Algorithm Watch und den weiteren Organisationen habe die Bundesregierung im Koalitionsvertrag beabsichtigt, dass „(…) biometrische Identifikation im öffentlichen Raum durch eine EU-weite Gesetzgebung ausgeschlossen werden muss.“
Diesbezüglich stellten die Organisationen fest, dass die Verordnung in ihrer derzeitigen Fassung zu einem möglichen Verbot der biometrischen Identifikation beitragen könne. Vor allem Art. 5 Abs. 1 lit. d des Verordnungsentwurfes interpretieren die Organisationen als ein sinnvolles Instrument für ein solches künftiges Verbot.
Jedoch weise der Verordnungsentwurf im Hinblick auf ein Verbot biometrischer Identifikation noch Lücken auf. Die Organisationen kritisierten, dass sich Art. 5 Abs. 1 lit. d des Verordnungsentwurfs nur auf „Echtzeit“ Systeme zur biometrischen Identifikation beziehe. Außerdem sei das Verbot zum Einsatz biometrischer Überwachung lediglich auf Strafverfolgungsbehörden beschränkt. Demnach sei es möglich, dass andere öffentliche oder private Stellen die Überwachungssysteme einsetzten. Überdies, so die Organisationen, weichen die Ausnahmen des Art. 5 des Verordnungsentwurfes das Verbot auf.
Zudem können Mitgliedstaaten sich auf die „nationale Sicherheit“ berufen, um den Einsatz künstlicher Intelligenz zu rechtfertigen. Folglich sei es möglich, dass aufgrund dieser Rechtfertigung Überwachungssysteme eingesetzt werden.
Fazit
Die Organisationen forderten in ihrem Brief, dass sich die Bundesregierung für ein Verbot biometrischer Überwachung in weiteren Verhandlungen auf europäischer Ebene einsetze. Es gehe darum, Grundrechtsverletzungen die biometrische Überwachung erzeugen könnten zu verhindern.
Wieder einmal äußern sich kritische Stimmen im Kontext der Nutzung von Google Fonts. Bereits in unserem letzten Beitrag wurde die Problematik unfreiwilliger Übermittlungen personenbezogener Daten in ein Drittland, durch die Nutzung der von Google eingebetteten Fonts behandelt.
Kritik aus Hessen und Sachsen
Dieses Mal melden sich die hessische und sächsische Datenschutzaufsichtsbehörde zu Wort. Grund für das Aktivwerden der Behörden waren die aktuell stark zunehmenden Beratungsanfragen zu Abmahnungen aufgrund des Einsatzes der Google Schriftarten.
Forderungen von Schadensersatz
Dem Urteil des Landgerichts München vom 20. Januar 2022 nach könnte eine Nutzung der Google Web-Fonts auf eigenen Homepages wohl einen Verstoß gegen die DSGVO darstellen. So würden in den Fällen einer Nutzung dynamischer Fonts stets personenbezogene Daten von Webseitenbesucher*innen wie IP-Adressen an amerikanische Server weitergeleitet. Abgesehen eines unter strengen Regeln stehenden Transfer von Daten in einen Drittstaat, der kein ausreichendes Datenschutzniveau im Sinne der DSGVO bietet, werden zudem in seltensten Fällen Einwilligungen i. S. d. Art. 6 Abs. 1 lit. a DSGVO eingeholt. So ist das Urteil der Auslöser einer Abmahnwelle gegen Website-Betreiber, welche mit empfindlich hohen Geldforderungen konfrontiert werden.
Fazit
Betreiber von Webseiten sollten allgemein auf einen dynamischen Einsatz von Schriftarten verzichten und auf ein lokales Speichern umstellen, so die hessische und sächsische Behörde.
9. November 2022
Wer Fotos von sog. Falschparkern zum Zwecke der Übermittlung an die Polizei anfertigt, verstößt laut dem Verwaltungsgericht Ansbach (VG) in der Regel nicht gegen Datenschutzrecht.
Hintergrund
Die beiden Kläger fotografierten ordnungswidrig geparkte Fahrzeuge, um diese Fotos mitsamt Anzeige an die zuständige Polizei zu übersenden. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) verwarnte daraufhin die beiden Männer. Das Landesamt rügte, dass mit den Fotos oft auch nicht erforderliche, über den Parkvorgang hinausgehende Daten erhoben würden. So würden auch bspw. andere Fahrzeuge oder Menschen abgelichtet werden. Insgesamt hätten die beiden Kläger daher kein berechtigtes Interesse im Sinne des Art. 6 Abs. 1 Satz 1 Buchst. f Datenschutz-Grundverordnung (DS-GVO) an dieser Datenverarbeitung.
Dagegen erwiderten die Kläger, dass für die Verfolgung des Parkverstoßes eine möglichst genaue Dokumentation der Ordnungswidrigkeit erforderlich sei.
Der Tenor
Die 14. Kammer des VG Ansbach gab den zwei Klagen gegen die Verwarnungen des BayLDA statt. Das Gericht urteilte, dass es sich bei dem Vorgehen um eine rechtmäßige Datenverarbeitung handelte. Die genaue Begründung liegt allerdings noch nicht vor. Gegen die beiden Entscheidungen kann der Antrag zur Zulassung der Berufung zum Bayerischen Verwaltungsgerichtshof gestellt werden.
3. November 2022
Das Landgericht (LG) Zwickau erließ am 14. September 2022 ein Versäumnisurteil (Az. 7 O 334/22) gegen den U.S.-Konzern „Meta“ und sprach dem Kläger dabei einen Anspruch auf immateriellen Schadensersatz gegen den Konzern zu. Grund für den Schadensersatz nach Art. 82 DSGVO in Höhe von 1000 Euro waren mehrere Verstöße gegen die Datenschutz-Grundverordnung (DSGVO).
Unzureichende Informationen
Zunächst stellte das Gericht fest, dass Meta seinen nach Art. 13 und 14 DSGVO bestehenden Informationspflichten nicht ausreichend nachgekommen sei. Demnach liege keine nach Art. 5 Abs. 1 lit. a DSGVO erforderliche faire und transparente Verarbeitung vor.
Insbesondere, so das Gericht, fehlten Informationen darüber, auf welche Weise und zu welchen Zwecken „Facebook“ die Telefonnummern seiner Nutzer verarbeite. Diese könnten auf der von Meta bereitgestellten Social-Media-Plattform Facebook ihre Telefonnummern freiwillig angeben.
Konkret sei es problematisch, dass Facebook nicht darüber informiere, dass Dritte die angegebenen Telefonnummern einsehen könnten. Dies sei möglich, obwohl der Nutzer sein Profil auf die Funktion „privat“ einstelle. Zusätzlich könnten Dritte die Telefonnummern abgreifen und diese für unlautere Zwecke weiterverwenden. Darüber informiere Facebook den Nutzer allerdings nicht.
Ferner sei der Informationsumfang über die sog. „Zwei-Faktor-Authentifizierung“ als problematisch zu bewerten. Dabei informiere Facebook lediglich darüber, dass er die Telefonnummern der Nutzer neben der Zwei-Faktor-Authentifizierung auch für „weitere Zwecke“ verwende. Eine genaue Erläuterung, welche weiteren Zwecke gemeint seien, erfolge nicht.
Außerdem bewertete das Gericht die Such-Option mittels Telefonnummer als kritisch. Dieser ermögliche es Nutzern andere Nutzer mit Hilfe der hinterlegten Telefonnummer zu suchen. Darüber informiere Facebook die Nutzer grundsätzlich. Doch diese Information sei nur über eine Unterverlinkung einzusehen.
Unzureichende Sicherheitsmaßnahmen
Darüber hinaus stellte das Gericht fest, dass Facebook gegen den Grundsatz der Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO verstoßen habe. Demzufolge habe der Konzern keine angemessene Sicherheit für die verarbeiteten personenbezogenen Daten gewährleistet. Insbesondere habe Facebook es versäumt, hinreichende technische und organisatorische Maßnahmen zum Schutz der Nutzerdaten zu ergreifen.
Hintergrund dieser Sicherheitslücke war ein Vorfall aus dem Jahr 2019. Mit Hilfe eines automatisierten Verfahrens konnten unbekannte Dritte eine große Anzahl an Nutzerdaten abgreifen. Aus der Sicht des Gerichts hätte Facebook mehr Sicherheitsmaßnahmen ergreifen müssen, um den Datendiebstahl zu verhindern. Insbesondere habe das Unternehmen sog. „Sicherheitscapachas“ verwenden können. Diese Methode stelle sicher, dass ein Mensch und kein automatisiertes System die Daten abfrage.
Außerdem stellte das Gericht einen Verstoß gegen Art. 33 und 34 DSGVO fest. Demnach sei Facebook dazu verpflichtet gewesen, die zuständige Aufsichtsbehörde über den 2019 geschehenen Vorfall zu informieren. Dem sei das Unternehmen nicht nachgekommen.
Fazit
Abschließend stellte das Gericht fest, dass aufgrund der dargelegten Verstöße der Kläger einen erheblichen Kontrollverlust über seine personenbezogenen Daten erlitten habe. Mithin bestehe für die betroffene Person ein ersatzfähiger Schaden.
Wie nach Recherchen von Cybernews bekannt wurde, gab es bei Thomson Reuters kürzlich ein Datenleck, bei dem mindestestens drei seiner Datenbanken, darunter die drei Terrabyte große Datenbank ElasticSearch für jedermann zugänglich war.
Die betroffenen Daten
Thomson Reuters, der Nachfolger der Nachrichtenagentur Reuters, ist ein Medienkonzern mit Hauptsitzen in New York und Toronto. Der Konzern bietet seinen Kunden verschiedene Produkte wie das Medientool Reuters Connect, die Datenbank Westlaw oder auch andere Recherche-Suites an. Die von dem Datenleck betroffene Datenbank ElasticSearch enthält Informationen aus allen Plattformen des Konzerns und wird bevorzugt von Unternehmen eingesetzt, die mit umfangreichen, ständig aktualisierten Datenmengen arbeiten.
Laut Cybernews waren die Daten mehrere Tage lang verfügbar. Es waren sensible Daten betroffen, wie beispielsweise Informationen zu Lieferketten, Zugangsdaten zu Servern Dritter und Anmelde- und Kennwortrücksetzungsprotokolle, in denen die E-Mail-Adresse der Kontoinhaber und die genaue Zeit, zu der die Passwortänderung gesendet wurde, ersichtlich waren.
Die Reaktion des Konzerns
Thomson Reuters reagierte unverzüglich auf den Hinweis, schaltete die Server ab und leitete eine Untersuchung ein. Laut dem Unternehmen seien zwei der drei betroffenen Server so konzipiert gewesen, dass sie öffentlich zugänglich waren. Der dritte sei als sogenannter nicht-produktiver Server nur mit einer kleinen Untergruppe von Kunden verbunden gewesen und enthalte keine Anwendungsdaten. Zudem habe das Leck überwiegend Kunden in den USA betroffen, welche informiert worden seien.
Dagegen zweifeln die Forscher von Cybernews an, dass das Leck so harmlos war, wie es Thomson Reuters erscheinen lässt. Ihnen zufolge hat das Unternehmen Daten zugänglich gemacht, die in kriminellen Foren wegen des möglichen Zugriffs auf andere Systeme Millionen wert wären.
Fazit
Von außen lässt sich kaum beurteilen, wie schwer das Datenleck tatsächlich war. Es zeigt jedoch, wie wichtig es für Unternehmen ist, ihre digitale Infrastruktur kontinuierlich zu überprüfen, damit Sicherheitslücken nicht wie im vorliegenden Fall tagelang ungesehen bestehen bleiben und das Unternehmen angreifbar machen.
Pages: 1 2 ... 6 7 8 9 10 ... 198 199 
