Kategorie: Aufsichtsbehördliche Maßnahmen
8. Dezember 2016
Die Ständige Konferenz der Innenminister und -senatoren der Länder (IMK) tagte vom 29. bis 30. November 2016 im Saarland, das in diesem Jahr den Vorsitz der Konferenz inne hat. Laut einer Pressemitteilung hierzu fordern die Innenminister der Bundesländer eine praxisgerechte Ausweitung der Voratsdatenspeicherung auf sogenannte Messenger-Dienste wie WhatsApp und Threema. Derzeitig sind von der Vorratsdatenspeicherung und der Telekommunikationsüberwachungs-Verordnung (TKÜV) nur Telekommunikationsdienste wie Telefon- und Internetanschlüsse betroffen, für die das Telekommunikationsgesetz (TKG) gilt. Internetangebote wie Suchmaschinen, Messenger-Dienste oder Webshops sind in der Regel aber Telemediendienste und fallen demnach unter das Telemediengesetz (TMG). IMK-Vorsitzender Bouillon: „Vor allem bei der Bekämpfung des Islamismus brauchen wir neue gesetzliche Regelungen, damit die Strafverfolgungsbehörden aktiv werden können und nicht wie bislang hilflos zuschauen müssen, wenn Kriminelle über diese Messenger-Dienste Straftaten planen.“
10. November 2016
Erstmalig haben die Datenschutzbeauftragten der Länder und des Bundes eine gemeinsame Kontrolle durchgeführt und bundesweit die Handhabung der Falldatei Rauschgift überprüft. Wie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, mitteilte, bestehe Nachbesserungsbedarf bei der Pflege der bundesweit geführten Datenbank. In der Falldatei Rauschgift speichern das Bundeskriminalamt, das Zollkriminalamt und die Polizeibehörden der Länder Daten von circa 680.000 Personen.
Das Bundeskriminalamtgesetz (BKAG) ermächtigt das Bundeskriminalamt personenbezogene Daten von Beschuldigten und Tatverdächtigen – konkret Informationen zu deren Person sowie Tatort und Tatzeit zu speichern. Dies geschieht vor dem Hintergrund der effektiven Strafverfolgung und Gefahrenabwehr von Drogendelikten. Bei der alltäglichen Ausführung ihres staatlichen Auftrages haben die Sicherheitsbehörden gleichwohl gesetzliche Vorgaben zu beachten. Dies gilt auch für die datenschutzrechtlichen Anforderungen an die Führung einer Verbunddatei wie der Falldatei Rauschgift.
Konkret bemängeln die Datenschutzbeauftragten, dass die nach dem BKAG erforderliche Negativkontrolle in vielen Fällen nicht stattfand. Die Negativkontrolle, die Behörden in jedem Einzelfall durchzuführen haben, soll verhindern, dass Bagatellfälle in die Datenbank eingetragen werden. So kam es laut BfDI vor, dass Daten von Konsumenten eines Joints sowie die Daten eines Apothekers, dessen Kunde rezeptpflichtige Medikamente gestohlen hatte, in der Falldatei Rauschgift gespeichert sind.
Weiterhin rügen die Datenschutzbeauftragten die fehlende Löschung der gespeicherten Daten. Rechtsstaatliche Grundsätze wie die Unschuldsvermutung müssen sich auch in der Führung und Pflege von sicherheitsbehördlichen Datenbanken wiederspiegeln. In Fällen in denen Ermittlungsverfahren eingestellt werden oder das Strafverfahren mit einem Freispruch endet, sind die erhobenen Daten nach dem Ablauf festgelegter Fristen zu löschen. Auf diese Weise entsprechen die Sicherheitsbehörden nicht nur den rechtsstaatlichen Anforderungen, sondern auch den datenschutzrechtlichen.
7. November 2016
Seit November 2016 kontrollieren die Datenschutz-Aufsichtsbehörden von 10 Bundesländern einige deutschlandweit ausgewählte Unternehmen, dahingehend, ob der internationale Datentransfer datenschutzkonform ausgestaltet ist.
Einer Pressemitteilung des Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zufolge werden die Unternehmen nach dem Zufallsprinzip ausgewählt. Die Behörden achten darauf, dass die Unternehmen verschiedener Größe und aus unterschiedlichen Branchen sind. Die ausgewählten Unternehmen müssen einen detaillierten Fragebogen ausfüllen. Sofern die datenschutzrechtlichen Anforderungen nicht erfüllt sind ist mit Folgemaßnahmen zu rechnen.
Zweck dieser Kontrolle ist zum einen die Überprüfung der Unternehmen hinsichtlich der Übermittlung personenbezogener Daten in das Nicht-EU-Ausland. Zum anderen soll auch eine Sensibilisierung der Unternehmen bezüglich des Problembewusstseins beim Umgang mit der Übermittlung personenbezogenen Daten erreicht werden.
5. Oktober 2016
Wie das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) mitteilt, bestehen erhebliche Mängel hinsichtlich des Datenschutzes beim Internet der Dinge (engl: Internet of Things, IoT).
Das BayLDA untersuchte im Rahmen einer internationalen Prüfaktion des Global Privacy Network (GPEN) gemeinsam mit weiteren 25 Aufsichtsbehörden aus verschiedenen Ländern sogenannte smarte Alltagsgeräte, vom Fitnesstracker über das Smart-TV bis hin zur vernetzten Zahnbürste. Im Fokus standen vor allem die Datenschutzbestimmungen für die Nutzung der Geräte.
Die internationale Prüfgemeinschaft kommt dabei zu dem Schluss, dass erhebliche Mängel bestehen. Überwiegend seien die Nutzer weder über die Art und den Umfang der Erhebung und Nutzung ihrer Daten noch über die Speicherung oder Löschung der Daten informiert. Etwa ein Drittel der untersuchten Unternehmen stelle keine Kontaktinformationen für Rückfragen bereit. Insgesamt sei die Datenverarbeitung intransparent und, gerade im Bereich von Gesundheitsdaten, nicht ausreichend geschützt.
Thomas Kranig, der Präsident des BayLDA, begrüßt die gemeinsame Prüfaktion und kündigte an, nun mit den jeweiligen Unternehmen in Kontakt zu treten um für die Erfüllung der datenschutzrechtlichen Anforderungen zu sorgen.
28. September 2016
Mit einer Verwaltungsanordnung hat am 27.09.2016 ordnet der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Johannes Caspar, Facebook an, es ab sofort zu unterlassen, Daten von deutschen WhatsApp-Nutzern zu erheben und zu speichern. Bereits durch WhatsApp übermittelte Daten hat Facebook zu löschen.
Wie bereits berichtet, hatte WhatsApp im August 2016 Änderungen seiner Nutzungsbedingungen bekannt gegeben, die vorsehen, dass WhatsApp die Telefonnummern seiner Nutzer und Informationen wann der Nutzer aktiv war an Facebook übermittelt.
Nach den Regelungen des Bundesdatenschutzgesetzes ist die Übermittlung von personenbezogenen Daten nur dann zulässig, wenn entweder eine gesetzliche Grundlage dies erlaubt oder die Betroffenen hierein eingewilligt haben. Beides liegt bei der Datenübermittlung an Facebook jedoch nicht vor.
Die Anordnung gegen Facebook erfolgt im Sinne des Rechts auf informationelle Selbstbestimmung. Es müsse die Entscheidung der WhatsApp-Nutzer sein, ob sie eine Verbindung ihres Kontos mit Facebook wünschen, so Caspar.
14. September 2016
Das Oberlandesgericht Frankfurt entschied in seinem Urteil vom 28.07.2016 Az. U 93/15, dass Einwilligungserklärungen in E-Mail- und Telefonwerbung dann unzulässig sind, wenn sich die Erklärung auf eine Vielzahl werbender Unternehmen bezieht und die Geschäftsbereiche der Unternehmen so unbestimmt formuliert sind, dass für den Erklärenden nicht klar erkennbar ist, welche Produkte und Dienstleistungen beworben werden.
Im vorliegenden Fall klagten Verbraucherschützer gegen den Veranstalter eines Online-Gewinnspiels. Auf der Webseite des Beklagten konnten Nutzer an einem Gewinnspiel teilnehmen und gleichzeitig einwilligen, dass ihre personenbezogene Daten von den „…in der Liste aufgeführten Sponsoren für die jeweils angegebenen Produkte und Dienstleistungen…“ zu E-Mail- und Telefonwerbung verwendet werden dürfen. Die Begriffe „Liste“, „Sponsoren“, „Produkte“ und „Dienstleistungen“ waren jeweils mit Links zu einer Liste hinterlegt, welche die einzelnen teilnehmenden Unternehmen sowie deren Geschäftsbereich enthielt. Die so erhobenen personenbezogenen Daten wurden von dem Beklagten an die teilnehmenden Unternehmen übermittelt.
Das Landgericht verpflichtete den Beklagten, die beschriebene Einwilligungserklärung nicht mehr zu verwenden. Die Berufung des Beklagten gegen das Urteil des Landgerichts blieb erfolglos. Als Begründung führt das OLG an, dass eine wirksame Einwilligungserklärung stets Freiwilligkeit und Kenntnis der konkreten Sachlage beim Betroffenen voraussetzt. Die Kenntnis über die konkrete Sachlage bezweckt, dass der Betroffene informiert entscheiden kann, wem er zu welchen Zwecken seine personenbezogenen Daten mitteilt.
Eine informierte Entscheidung kann der Betroffene jedenfalls dann nicht treffen, wenn die beworbenen Produkte und Dienstleistungen lediglich pauschaliert mit Oberbegriffen wie „Vermögenswirksame Leistungen“, „Telekommunikationsprodukte“ oder „Versandhandel“ beschrieben werden.
Wirksame Einwilligungen, die den Anforderungen der §§ 4a und 28 Abs. 3 Bundesdatenschutzgesetz entsprechen, lagen im vorliegenden Falle somit nicht vor.
16. August 2016
Joachim Herrmann (CSU), Innenminister des Freistaates Bayern, will das Social-Network Facebook in die Verantwortung nehmen, und durch eine Gesetzesänderung dazu verpflichten, bei Ermittlungen zu stattgefundenen oder bevorstehenden Straftaten die entsprechend notwendigen Nutzerdaten schneller und umfänglicher herauszugeben. Bis dato ist dies entweder nur durch ein aufwendiges Rechtshilfeersuchen in den USA möglich, wo die Daten gespeichert werden, oder durch ein allerdings lediglich auf einer freiwilligen Vereinbarung beruhenden Kooperation mit Facebook selber. Die bürokratischen Hürden und die damit verbundene Dauer im ersten, und die Unzuverlässigkeit des zweiten Weges führen jedoch häufig dazu, dass sich diese Praxis nicht als erfolgreich erweist.
Die deutschen Behörden teilten dazu mit, dass rund 2/3 der Anfragen unbeantwortet blieben. Facebook sieht sich hingegen als enger Verbündeter der deutschen Behörden und spricht von einer engen Zusammenarbeit. Die Zahlen werden jedoch auf einer eigenen Website bestätigt.
10. August 2016
Einem Bericht der Süddeutschen Zeitung zufolge, standen auf dem Online-Reiseportal www.cosmita.com jahrelang Informationen ungeschützt im Internet. Die Nutzer dieses Portals konnten darüber Ihre Reiseunterlagen einsehen, Sitzplatzreservierungen sowie Essensbestellungen für den Flug vornehmen und sonstige Reisepläne an Freunde und Verwandte versehden. Zur Einsicht und Bearbeitung dieser Informationen benötigte der Nutzer nur seinen Flug-Buchungscode und seinen Nachnamen oder den eines Mitreisenden.
Diese recht einfache Zugriffsmöglichkeit auf die Daten des Reiseportals haben sich zuletzt auch Kriminelle zu eigen machen und damit die oberen bereits genannten personenbezogene Daten von mehreren Millionen Reisenden abgreifen können. Weitergehende technische Kenntnisse waren dafür nicht erforderlich. Jeder wäre in der Lage gewesen, diese Informationen abzurufen. Recherchen der Süddeutschen Zeitung haben ergeben, dass der Auslöser hierfür ein seit 2011 bestehendes Datenleck bei dem Ticket-Großhändler Aerticket gewesen sei. Aerticket stelle für mehrere tausend Großkunden, wie unter anderem die Unister-Töchter www.fluege.de, Flug 24, Ab in den Urlaub, Tickets aus. Etwa ein Viertel davon seien von dem Datenleck betroffen und damit einsehbar gewesen. Nach Angaben der Süddeutschen Zeitung zufolge, sei die Sicherheitslücke umgehend nach Kenntnis geschlossen worden.
Aerticket verteidige sich derzeit mit der Behauptung, dass die über fünf Jahre bestehende Sicherheitslücke gar nicht von Kriminellen entdeckt worden sei. Die Sicherheitsexperten des Ticket-Großhändlers hätten geprüft, ob eine überdurchschnittlich hohe Anzahl an Zugriffen von einzelnen IP-Adressen aus einem bestimmten WLAN-Netz zu verzeichnen gewesen seien. Dies sei jedoch zumindest in den vergangenen eineinhalb Jahren nicht der Fall gewesen. Nun läge der Fall beim Berliner Datenschutzbeauftragten zur abschließenden Prüfung. Diese könne sich jedoch noch einige Monate hinziehen. Die Konsequenzen seien noch nicht bekannt.
4. August 2016
Die Art und Weise der Nutzung der dienstlichen Telekommunikationsinfrastruktur ist ein datenschutzrechtlich stets sensibel zu regelndes Datenschutzthema. Noch brisanter wird die Thematik dann, wenn derartige Gespäche aufgezeichnet werden. Die Thüringer Polizei, in Person eines ehemaligen Verantwortlichen des Innenministeriums, geriet nun in den Fokus der Staatsanwaltschaft Erfurt, da sie nach ersten Erkenntnissen diese Probelmatik final verschärfte, indem solche Aufzeichnungen seit 1999 auf bestimmten Apparaten ohne das Wissen der Gesprächsteilnehmer durchgeführt wurden. Zwar seien die Aufzeichnungen stets nach 180 Tagen gelöscht und auch nur durch administrative Mitarbeiter zur Kenntnis genommen worden, jedoch wurden hierzu Vermerke angefertigt, aus denen sich Rückschlüsse auf die Gesprächsinhalte ziehen ließen. Mittlerweile sei das Vorgehen, nach Kritik eines seit Anfang Juli 2016 eingestellt worden. Die Ermittlungen der Staatsanwaltschaft basieren auf dem Fehlen einer für ein derartiger Vorgehen gesetzlich vorgeschriebenen richterlichen Ermächtigungsgrundlage in Form einer Anordnung. Erste Ergebnisse stehen noch aus.
1. August 2016
Der Bundesrat hat die Bundesregierung in seiner Entschließung BR Drs 171/16 (B) vom 13. Mai 2016 dazu aufgefordert, einen Gesetzesentwurf vorzulegen, mit dem den Datenschutzaufsichtsbehörden von Bund und Ländern ein ausdrücklich normiertes Klagerecht gegen Angemessenheitsbeschlüsse der EU für Datentransfers in Drittstaaten eingeräumt wird.
Hierzu hat der Bundesrat den Entwurf eines § 38b BDSG vorgelegt, der eine Klagebefugnis der Datenschutzbehörden für eine objektive Feststellungsklage vorsieht.
Im Rahmen dieser Klage könnten die Aufsichtsbehörden die Rechtswidrigkeit von Angemessenheitsbeschlüssen, wie dem Privacy Shield, bereits vor einem möglicherweise rechtswidrigen Datentransfer festellen lassen.
In der Stellungnahme vom 15. Juli 2016 lehnt die Bundesregierung die Einräumung eines solchen Klagerechts mit der Begründung ab, dass derzeit bereits an der Anpassung des nationalen Datenschutzrechts an die Datenschutzgrundverordnung (DSGVO) gearbeitet werde.
Der Gesetzesentwurf werde in Konkretisierung der Vorschrift in Artikel 58 Absatz 5 DSGVO auch Rechtsbehelfe der Aufsichtsbehörden enthalten und dabei die einschlägige Rechtsprechung des EuGH berücksichtigen. Damit werde dem Wunsch des Bundesrates nach einem Gesetzesentwurf Rechnung getragen.
Dass dem Wunsch des Bundesrates durch eine Umsetzung der Vorgaben des Artikel 58 Absatz 5 DSGVO nicht Rechnung getragen werden kann, lässt sich dem Wortlaut der Vorschrift entnehmen.
Gemäß Artikel 58 Absatz 5 DSGVO sieht jeder Mitgliedstaat durch Rechtsvorschriften vor, dass seine Aufsichtsbehörde befugt ist, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben oder sich sonst daran zu beteiligen, um die Bestimmungen dieser Verordnung durchzusetzen.
Verfahren nach dieser Vorschrift setzen einen Verstoß gegen die Datenschutzgrundverordnung voraus. Die Rechtswidrikeit eines Angemessenheitsbeschlusses könnte daher erst in einem Verfahren festgestellt werden, in dem eine Verletzung der Rechte eines Betroffenen durch einen Datentransfer geltend gemacht wird.
Pages: 1 2 ... 21 22 23 24 25 ... 32 33 
