Kategorie: Internationaler Datenschutz
17. Mai 2022
Vor dem Hintergrund der COVID-19-Pandemie hat die Europäische Kommission Anfang des Monats den europäischen Raum für Gesundheitsdaten (European Health Data Space – EHDS) auf den Weg gebracht. Dies geht aus einer Pressemitteilung der Kommission hervor.
Der EHDS soll dem Fortschritt der Gesundheitsversorgung der Menschen in Europa dienen und dabei einer der zentralen Bausteine einer starken europäischen Gesundheitsunion sein. Einer der Schwerpunkte des europäischen Raumes für Gesundheitsdaten soll, neben der Förderung eines Binnenmarktes für digitale Gesundheitsdienste und -produkte, die Nutzung und Kontrolle der Gesundheitsdaten durch die Betroffenen darstellen. Dabei soll diesen insbesondere der einfache Zugang zu den Daten in digitaler Form gewährt werden. Damit ist angedacht den Austausch zwischen Bürgerinnen und Bürgern und Angehörigen der Gesundheitsberufe und damit die europäische Gesundheitsversorgung zu fördern. Um dieses Ziel zu unterstützen, soll ebenfalls ein gemeinsames europäisches Datenformat erstellt werden sowie digitale Gesundheitsbehörden benannt werden, um die Wahrung der Rechte der Bürgerinnen und Bürger sicherzustellen.
Laut dem Vizepräsident der Europäischen Kommission, Margaritis Schinas, sei der EHDS ein „Neuanfang“ für die EU-Politik im Bereich der digitalen Gesundheit und werde die Gesundheitsdaten für die Bürgerinnen und Bürger sowie die Wissenschaft nutzbar machen. Die EU-Gesundheitskommissarin Stella Kyriakides betonte zudem, dass auf diese Daten unter Gewährleistung strikter Garantien für den Schutz der Privatsphäre und der Sicherheit zugegriffen werde.
Der von der Europäischen Kommission vorgelegte Vorschlag wird nun im Rat und im Europäischen Parlament erörtert.
16. Mai 2022
Am 1. Juni 2022 soll Thailands erstes Gesetz zum Schutz personenbezogener Daten in Kraft treten. Das sogenannte Personal Data Protection Act (PDPA) wurde ursprünglich im Jahr 2019 unterzeichnet, sein Inkrafttreten wurde jedoch aufgrund der Pandemie verschoben und auf den 1. Juni 2022 datiert. Das Gesetz beschreibt die Verpflichtungen von Unternehmen in Bezug auf die Erhebung und Verarbeitung personenbezogener Daten. Das PDPA definiert personenbezogene Daten als Informationen, die eine lebende Person identifizieren.
Somit schließt sich Thailand in Bezug auf ein Datenschutzgesetz den anderen südostasiatischen Staaten Singapur, Malaysia und den Philippinen an. Diejenigen, die gegen das Gesetz verstoßen, können mit zivil- und strafrechtlichen Geldbußen belangt werden. Ferner unterstützt das PDPA die Anforderungen mehrerer Freihandelsabkommen (FTAs) in Bezug auf die jeweiligen Datenschutzanforderungen, um auf diese Weise den digitalen Handel und das Online-Banking in Thailand zu sichern. Verletzungen des Schutzes personenbezogener Daten treten in den ASEAN-Mitgliedsstaaten immer häufiger auf, da die Digitalisierung der Wirtschaft dazu geführt hat, dass mehr Unternehmen und Menschen ihre Daten online speichern und dies die Anfälligkeit für Datenschutzverletzungen zur Folge hat.
Das thailändische PDPA gilt für Organisationen, die direkt in Thailand oder im Ausland ansässig sind, und zeitgleich an der Kontrolle und Verarbeitung von Waren, Dienstleistungen und Daten zum Verbraucherverhalten in Thailand beteiligt sind. Inhaber der Daten müssen ihre ausdrückliche Zustimmung bezüglich jeder Erhebung, Verwendung oder Weitergabe ihrer personenbezogenen Daten im Vorfeld geben.
Die PDPA wurde stark von der DSGVO beeinflusst. Mit dem PDPA können thailändische Unternehmen die strengen Anforderungen der EU an Datenexportmaßnahmen im Rahmen des Freihandelsabkommens Thailand-EU erfüllen. Im Juni 2021 nahmen die EU und Thailand die Handelsgespräche wieder auf, nachdem sie aufgrund des Militärputsch in Thailand 2014 aufgehoben wurden. Mit der Einrichtung einer zivilen Regierung im Jahr 2019 wurde Thailand als viertgrößter Handelspartner der EU – nach China, Japan und den USA – wiederhergestellt.
8. April 2022
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt Verbraucherinnen und Verbraucher, Unternehmen und Behörden vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky. Demnach könne die Softwarefirma Cyber-Angriffe ausführen.
Nach Angaben des BSI könnte Kaspersky selbst offensive Operationen durchführen, oder aber auch gezwungen werden, Zielsysteme anzugreifen. Es sei auch nicht auszuschließen, dass ein russisches Unternehmen selbst ausspioniert oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werde.
„Das Vorgehen militärischer und/oder nachrichtendienstlicher Kräfte in Russland sowie die im Zuge des aktuellen kriegerischen Konflikts von russischer Seite ausgesprochenen Drohungen gegen die EU, die NATO und die Bundesrepublik Deutschland sind mit einem erheblichen Risiko eines erfolgreichen IT-Angriffs verbunden“, erklärte das BSI.
Des Weiteren seien Unternehmen und Behörden mit besonderen Sicherheitsinteressen und Betreiber kritischer Infrastrukturen in besonderem Maße gefährdet. Betroffene Unternehmen und andere Organisationen sollten nach den Empfehlungen des BSI den Austausch wesentlicher Bestandteile ihrer IT-Sicherheitsinfrastruktur sorgfältig planen und umsetzen. Es wird empfohlen, eine individuelle Bewertung und Abwägung der aktuellen Situation vorzunehmen und dazu gegebenenfalls vom BSI zertifizierte IT-Sicherheitsdienstleister hinzuzuziehen.
Weitere Informationen für Verbraucherinnen und Verbraucher, Unternehmen und Behörden veröffentlichte das BSI in einer eigens dafür angelegten Rubrik (FAQ).
Kaspersky wies die Darstellung zunächst zurück und ging rechtlich gegen die Entscheidung vor. Nachdem das Verwaltungsgericht Köln Anfang April den Antrag zurückgewiesen hatte, reichte die Kaspersky Labs GmbH Beschwerde beim nordrhein-westfälischen Oberverwaltungsgericht (OVG) ein.
31. März 2022
Am 25. März 2022 haben sich die Vereinigten Staaten und die Europäische Kommission mit einer gemeinsamen Erklärung im Grundsatz auf einen neuen transatlantischen Datenschutzrahmen geeinigt. Dieser soll möglicherweise bald den vom Europäischen Gerichtshof verworfenen Privacy-Shield-Rahmen ablösen.
Die Entscheidung ist das Ergebnis von mehr als einem Jahr intensiver Verhandlungen zwischen den USA und der EU. Die Hoffnungen sind groß, dass dieser neue Rahmen eine dauerhafte und rechtssichere Grundlage für den Datenverkehr zwischen der EU und den USA bildet.
Das Weiße Haus erklärte, dass der transatlantische Datenschutzrahmen „den transatlantischen Datenverkehr fördern und die Bedenken ausräumen wird, die der Gerichtshof der Europäischen Union geäußert hat, als er im Jahr 2020 die Angemessenheitsentscheidung der Kommission, die dem EU-US-Datenschutzschild zugrunde lag, für ungültig erklärte“.
Wie das Privacy Shield ist die Grundlage dieses neuen Rahmens die Selbstzertifizierung gegenüber dem US-Handelsministerium. Für Datenexporteure in der EU ist es dann von entscheidender Bedeutung sicherzustellen, dass ihre Datenimporteure in den USA nach dem neuen Rahmenwerk zertifiziert sind.
Durch den Rahmen soll außerdem neben einer effektiveren Aufsicht über die Geheimdienste ein mehrstufiges Rechtsbehelfssystem eingerichtet werden. Dieses schließt einen „Independent Data Protection Review Court“ ein, der die Befugnis haben soll, von EU-Bürgern erhobene Ansprüche gegen Überwachungsmaßnahmen der Geheimdienste zu beurteilen und erforderlichenfalls Abhilfemaßnahmen in rechtlich bindender Weise anzuordnen.
Aus mehreren Gründen steht diese Entscheidung jedoch auf wackeligen Beinen. Erstens handelt es sich bei der Entscheidung zunächst nur um eine politische Entscheidung im Grundsatz. Weder sind Details geklärt noch hat die Europäische Kommission den Prozess zu einer Angemessenheitsentscheidung anlaufen lassen. Entsprechend der Ankündigungen des Datenschutzaktivisten Max Schrems und noyb dürfte sich zudem auf Klagen vor den EU-Gerichten einzustellen sein. Es bleibt daher abzuwarten, ob dieser neue Rahmen den erhofften Abschluss zum Thema transatlantische Datenströme bringen wird. Bis dahin müssen Unternehmen weiterhin auf die Standardvertragsklauseln und zusätzliche Maßnahmen für ein angemessenes Datenschutzniveau setzen.
22. März 2022
Aus einer Pressemitteilung der niederländischen Aufsichtsbehörde Autoriteit Persoonsgegevens („AP“) geht hervor, dass gegen die DPG Media Magazines B.V. eine Geldstrafe in Höhe von 525.000 Euro verhängt wurde.
Vorausgegangen waren mehrere Beschwerden gegenüber der AP über die Art und Weise, wie Sanoma Media Netherlands B.V. (jetzt DPG Media Magazines B.V.) mit dieser Art von Anfragen umging. Die Personen, die sich beschwerten, hatten z. B. ein Abonnement für eine Zeitschrift. Das Medienunternehmen wurde infolgedessen zu der Geldstrafe verurteilt, weil Personen, die ihre Daten einsehen oder löschen lassen wollten, zunächst einen Identitätsnachweis hochladen mussten. Darüber hinaus wurden die Betroffenen nicht darüber informiert, dass sie Daten aus dem Dokument sperren dürfen. Laut der AP sei dies in dieser Situation jedoch nicht notwendig. Das Medienunternehmen fordere somit zu viele personenbezogene Daten an.
Hinsichtlich der behördichen Entscheidung äußerte sich Monique Verdier, Vizepräsidentin der AP: „Man darf nie einfach einen Identitätsnachweis verlangen. Er enthält eine Menge personenbezogener Daten. Selbst wenn Teile eines Ausweises geschützt sind, ist es oft zu schwierig, anhand einer Kopie festzustellen, ob jemand derjenige ist, der er vorgibt zu sein. Auch Kopien von Ausweispapieren müssen mit großer Sorgfalt aufbewahrt werden.“
Die DPG Media Magazines B.V. legte gegen den Bußgeldbescheid der Autoriteit Persoonsgegevens Widerspruch ein.
18. März 2022
Die belgische Datenschutzbehörde hat einen für die Onlinewerbung zentralen Standard für datenschutzrechtlich unzulässig erklärt. Das System Transparence and Consent (TCF) mit dem Werbetreibende im Internet Einwilligungen für Targeted Advertising einsammeln, entspricht nach Auffassung der Datenschutzbehörde nicht den Grundsätzen von Rechtmäßigkeit und Fairness.
Die Datenschutzbehörde hat die Entscheidung gegen den Werbeverband IAB Europe getroffen, der den TCF-Mechanismus entwickelt und betreibt. IAB muss nun nicht nur alle auf diese Weise gesammelten Daten löschen, sondern auch ein Bußgeld von 250.000 Euro bezahlen.
Das Transparency & Consent Framework (TCF) ist der zentrale Standard hinter Cookie-Bannern und personalisierter Werbung. Wenn ein Nutzer bei einem Cookie-Banner auf „Akzeptieren“ klickt, erzeugt das System einen sogenannten TC-String und schickt diesen an alle Partner weiter, die am System teilnehmen. Kernaufgabe des TCF ist damit die Weitergabe der Einwilligung in die Datenverarbeitung zu Werbezwecken an alle Partner des Systems. Der TC-String bildet die Grundlage für die Erstellung von individuellen Profilen jeden Nutzers und für Auktionen, in denen Werbeplätze für die gewünschte Zielgruppe in Echtzeit versteigert werden.
Die Entscheidung könnte nicht nur für belgische Unternehmen möglicherweise schwerwiegende Auswirkungen haben: Nach Art. 56 Abs. 6 DSGVO gilt das „One-Stop-Shop“-Prinzip. Demnach ist bei grenzüberschreitender Datenverarbeitung die sog. federführende Aufsichtsbehörde alleiniger Ansprechpartner des Verantwortlichen bzw. des Auftragsverarbeiters. Dies bedeutet, dass Unternehmen bei grenzüberschreitenden Datenverarbeitungen nur einen Ansprechpartner für die Beurteilung der datenschutzrechtlichen Belange haben. Die Entscheidung dieses Ansprechpartners gilt dann europaweit. Viele Betreiber:innen von Websiten, der Großteil der Online-Medien und auch Google oder Amazon nutzen das System , um die im Cookiebanner erteilte Einwilligung von Nutzer:innen in die Verarbeitung von persönlichen Daten zu verteilen.
Zwar hat IAB angekündigt, gegen die Entscheidung vorzugehen. Die möglichen Auswirkungen für die Werbebranche sind dennoch enorm und könnten das Prinzip personalisierter Werbung grundsätzlich in Frage stellen.
16. März 2022
Anfang März veröffentlichte der Europäische Datenschutzbeauftrage (EDSB) Wojciech Wiewiórowski eine Stellungnahme zu dem Vorschlag der EU-Kommission für eine Verordnung über den automatisierten Datenaustausch für die polizeiliche Zusammenarbeit („Prüm II“). Eine zweite Stellungnahme wurde bezüglich des Vorschlags für eine Richtlinie über den Informationsaustausch zwischen den Strafverfolgungsbehörden der Mitgliedstaaten veröffentlicht.
Ziel der Vorschläge für die polizeiliche Zusammenarbeit ist es, die Zusammenarbeit der Strafverfolgungsbehörden und insbesondere den Informationsaustausch zwischen den für die Verhütung, Aufdeckung und Untersuchung von Straftaten zuständigen Behörden zu verbessern. Zu diesem Zweck legt der Vorschlag für die „Prüm II“-Verordnung die Bedingungen und Verfahren für den automatisierten Abruf von DNA-Profilen, Fingerabdrücken, Gesichtsbildern, polizeilichen Aufzeichnungen und Fahrzeugregisterdaten fest. Der Vorschlag für die Richtlinie über den Informationsaustausch zielt darauf ab, den Zugang der Strafverfolgungsbehörden zu Informationen anderer Mitgliedstaaten zu erleichtern.
In Bezug auf den Vorschlag für die „Prüm-II-Verordnung“ betont Wiewiórowski, dass wesentliche Elemente in Bezug auf seinen sachlichen und persönlichen Anwendungsbereich fehlen, wie z. B. die Arten von Straftaten, die eine Abfrage rechtfertigen können, und die Kategorien von betroffenen Personen. Insbesondere solle der automatisierte Abruf von DNA-Profilen und Gesichtsbildern nur im Zusammenhang mit einzelnen Ermittlungen bei schweren Straftaten möglich sein und nicht bei jeder Straftat, wie im Vorschlag vorgesehen. Darüber hinaus ist der EDSB nicht von der Notwendigkeit des vorgeschlagenen automatisierten Abrufs und Austauschs von Daten aus polizeilichen Aufzeichnungen überzeugt und unterstreicht, dass strenge Sicherheitsvorkehrungen erforderlich sind, um die Risiken für die Datenqualität anzugehen.
In Bezug auf den Vorschlag für die Richtlinie über den Informationsaustausch unterstreicht Wiewiórowski die Notwendigkeit, den persönlichen Anwendungsbereich der Maßnahme klar zu definieren und auf jeden Fall die Kategorien personenbezogener Daten über Zeugen und Opfer zu begrenzen. Er äußert ferner Bedenken hinsichtlich der Dauer der Datenspeicherung in den Fallverwaltungssystemen der Behörden.
Die polizeiliche Zusammenarbeit in den Mitgliedstaaten sei laut Wiewiórowski „ein wichtiges Element eines gut funktionierenden Raums der Freiheit, der Sicherheit und des Rechts“. Sie dürfe allerdings nicht „als Nebeneffekt zur Schaffung neuer großer zentralisierter Datenbanken führen“.
4. März 2022
Der US-amerikanische Hardware-Hersteller Nvidia scheint Opfer einer Cyber-Attacke geworden zu sein. Ein Sprecher von Nvidia bestätigte den Angriff. Man gehe momentan nicht davon aus, dass ein Zusammenhang zum Ukraine-Konflikt bestünde.
Hinter dem Angriff steckt wohl die südamerikanische Ransomware-Gruppe „Lapsus$“. Diese war in den letzten Monaten für mehrere Cyber-Angriffe verantwortlich, u.a. auch für den auf den größten portugiesischen Medienkonzern Impresa. Die Gruppe gibt an, von Nvidia rund 1 TB an Daten erlangt zu haben. Erste Daten, darunter Anmeldedaten von Mitarbeitern, wurden im Netz veröffentlicht. „Lapsus$“ verlangt von Nvidia, eine bestimmte Limitierung an von ihnen hergestellten Grafikkarten (betreffend das Schürfen von Kryptowährung) zu entfernen. Sollte Nvidia dem nicht nachkommen, sollen weitere interne Daten veröffentlicht werden.
Weiterhin veröffentlichte die Gruppe eine Stellungnahme, in der sie berichteten, Nvidia habe ihren Angriff direkt zurück verfolgen können und die dort gefundenen Daten verschlüsselt. Jedoch habe man die Daten vor der Verschlüsselung bereits kopieren können.
Nvidia arbeitet momentan daran, die Details des Angriffs zu untersuchen. Ransomware (ein Schadprogramm, das als Erpressungssoftware benutzt wird) wurde laut eigenen Angaben bei Nvidia bisher nicht entdeckt.
14. Februar 2022
Die französische Datenschutzbehörde CNIL hat am 10.02.22 eine Stellungnahme veröffentlicht, dass Webseiten mit europäischen Besuchern auf den Einsatz von Google Analytics verzichten sollen. Dies sei nämlich nicht mit der DSGVO vereinbar. Zwar habe Google Schutzmaßnahmen getroffen, diese reichen aber nicht aus, um den Zugriff von US-Geheimdiensten auf Daten ganz auszuschließen. Die Daten von europäischen Webseiten-Besuchern seien dementsprechend nicht ausreichend geschützt. Im konkreten Fall hat der französische Webseiten-Betreiber einen Monat Zeit bekommen, um seine Webseite in Einklang mit der DSGVO zu bringen.
Der Einsatz von Google Analytics, ein weitvebreitetes Analysetool auf Webseiten, ist nach dem Schrems-II-Urteil schon länger umstritten. Die Entscheidung der CNIL kommt nur zwei Wochen nachdem die österreichische Datenschutzbehörde entschieden hatte, dass der Einsatz von Google Analytics auf österreichischen Webseiten gegen die DSGVO verstößt.
Auch die CNIL hatte zuvor Beschwerden von NOYB, der von Max Schrems gegeründeteten Organisation, zu dem Einsatz von Google Analytics erhalten. NOYB äußerte sich zu der Entscheidung der CNIL damit, dass sie weitere, ähnliche Entscheidungen von anderen Datenschutzbehörden erwarten. NOYB hatte bei Datenschutzbehörden in fast allen EU-Staaten Beschwerde eingelegt.
Google betont währenddessen ausdrücklich die Notwendigkeit eines Privacy-Shield-Nachfolgers. Nur so könnten die genutzten Google-Services weiterhin rechtskonform genutzt werden.
10. Februar 2022
Die Europäische Strafverfolgungsbehörde Europol muss personenbezogene Daten von Verdächtigen, welchen eine Verbindung zu Straftaten nicht nachgewiesen werden kann, nach sechs Monaten löschen. Laut einer Pressemitteilung des Europäischen Datenschutzbeauftragten (EDPS) kam Europol dieser Verpflichtung nicht nach.
Der europäische Datenschutzbeauftragte Wiewiórowski hat Europol aufgefordert Daten von Verdächtigen in großem Umfang zu löschen. Konkret betroffen seien Datensätze, welche Europol von den Ermittlungsbehörden der EU-Staaten übermittelt wurden. Aufgrund der Masse an übermittelten Daten dauere der Prozess der Analyse bei Europol jedoch meist Jahre. Hinsichtlich der Speicherfristen entspräche die Behörde jedoch nicht ihren eigenen Regelungen. Diese bestimmen die Löschung personenbezogener Daten von Verdächtigen nach spätestens sechs Monaten, sofern den Betroffenen keine Verbindung zu einer kriminellen Aktivität nachgewiesen werden kann.
Auf die Strafverfolgungsbehörde warten arbeitsintensive zwölf Monate. Zunächst soll die Behörde innerhalb von sechs Monaten eine Voranalyse und Filterung der gespeicherten Datensätze vornehmen. Mit diesem Vorgehen werden zugleich „die Risiken für die Rechte und Freiheiten von Personen auf ein Minimum reduziert“. In den nachfolgenden sechs Monaten soll dann die Umsetzung der Löschpflicht zu einer Vereinbarkeit mit den datenschutzrechtlichen Regularien folgen.
Europol kritisierte die Anordnung des EDPS in einer Pressemitteilung, da die Behörde durch den Beschluss des EDPS in der Fähigkeit beeinträchtigt werde, große und komplexe Datensätze auszuwerten. Gerade in Fällen mit komplexen und umfangreichen Datensätzen nehme dies oftmals mehr als sechs Monate in Anspruch.
Die Entscheidung des EDPS war für Europol jedoch bereits absehbar. Bereits im September 2020 verwarnte der Datenschutzbeauftragte die Behörde aufgrund ihres Umgangs mit der Speicherung personenbezogener Daten.
