Kategorie: Internationaler Datenschutz

Regulierungsfreier Verbraucherdatenschutz in den USA diskutiert

25. August 2011

US-amerikanischen Regierungskreisen zufolge streben die Vereinigten Staaten bezüglich des Verbraucherdatenschutzes im Internet einen regulierungsfreien Ansatz an. Danny Weitzner, der für die National Telecommunications and Information Administration (NTIA) tätig ist, führte aus, dass Unternehmen, die sich durch einen verantwortungsvollen Umgang mit dem Datenschutz auszeichneten, nicht noch zusätzliche Steine in den Weg gelegt werden sollten. Weiterhin vertritt Weitzner die Auffassung, dass man bessere Datenschutzgesetze, klarere Regeln, sowie rechtlich verankerte Prinzipien auch ohne die Kosten und Nachteile traditioneller Regulierungsstrukturen erreichen könnte.

Erwartungsgemäß begrüßten Branchenvertreter, wie Victor Nichols von Experian North America, den Vorschlag, auf eine strikte Regulierung zu verzichten. Nichols betonte, dass nur eine Selbstregulierung flexibel genug sei, um ausreichend schnell auf den Markt zu reagieren und den Verbrauchern gleichzeitig Transparenz und Wahlmöglichkeiten zu bieten.

Im März 2011 hatte Weitzners Vorgesetzter Lawrence Strickling dem Kongress vorgeschlagen, dass durch Verbraucherdatenschutzgrundrechte ( „consumer privacy bill of rights“) eine breitere Basis für Datenschutz geschaffen werden könnte. Die Ausführungen Stricklings blieben jedoch recht unspezifisch. Unter anderem forderte er, dass der Zweck der Datenerhebung durch die Unternehmen offengelegt wird. Ob dies auch eine Zweckbindung im Sinne des § 12 Abs. 2 TMG impliziert, lässt sich den Aussagen Stricklings nicht entnehmen. Auch seine weitreichende Formulierung, dass die Unternehmen die einmal gesammelten Daten sicher verwahren müssten, lässt noch keine Rückschlüsse auf einen möglichen Regelungsgehalt der zukünftigen Vorschriften zu.

Bereits im Dezember 2010 hatte das US-Handelsministerium, welchem auch die NTIA unterfällt, einige Anregungen gemacht, wie man die Bundesgesetze bezüglich der Datenerhebung durch Unternehmen, aktualisieren könnte. Konkrete Umsetzungsvorschläge folgten bisher jedoch nicht. Ein sogenanntes white paper, welches klarstellt, wie die Regierung die Frage handhaben möchte, wird für den Herbst 2011 erwartet.

Die USA haben bisher kein dem europäischen Datenschutzrecht vergleichbares Regelwerk. Jedoch haben US-Bundesbehörden wie die Federal Communications Commission und die Federal Trade Commission bereits jetzt einige Möglichkeiten bei Datenschutzverstöße einzuschreiten. Auch auf Grundlage einzelstaatlicher Regelungen ist die Ahndung von Datenschutzverstößen bereits möglich. (se)

China: Entwurf eines Gesetzes zum Schutz personenbezogener Daten im Internet

19. August 2011

Das Ministerium für Industrie und Informationstechnologie der Volksrepublik China hat einen Gesetzesentwurf vorgestellt, der einen grundlegenden Schutz personenbezogener Daten im Internet sicherstellen soll.

Nach diesem Entwurf sollen für Dienstanbieter im Internet folgende Regeln gelten:

  1. Personenbezogene Daten dürfen nicht ohne Zustimmung der Nutzer erhoben werden, sofern nicht Gesetze oder Verwaltungsvorschriften etwas Anderes bestimmen.
  2. Mit den personenbezogenen Daten ist sorgsam umzugehen. Diese dürfen Dritten nicht ohne Zustimmung der Nutzer zugänglich gemacht werden, es sei denn Gesetze und Verwaltungsvorschriften erlauben dies.
  3. Es dürfen nur solche Daten erhoben werden, die zur Bereitstellung des Dienstes notwendig sind.
  4. Der Nutzer muss ausdrücklich über Art, Umfang und Zweck der erhobenen und verarbeiteten Daten aufgeklärt werden. Die Verwendung der Daten ist auf die angegebenen Zwecke zu beschränken.
  5. Wenn es zu einem unbefugten Zugriff auf die Daten kam, oder die Gefahr eines solchen Zugriffs besteht, müssen Internetdienstanbieter unverzüglich Gegenmaßnahmen ergreifen. Die entstandenen oder zu erwartenden Auswirkungen des Vorfalls sind den zuständigen staatlichen Stellen zu melden. Mit dem Staat ist bezüglich der Aufklärung der Vorfälle zu kooperieren.

Bei den angestrebten Regelungen lassen sich Parallelen zum deutschen Datenschutzrecht erkennen: Die Punkte 1. & 2. statuieren ein Verbot mit Erlaubnisvorbehalt ähnlich dem des § 12 Abs. 1 TMG. Ob der dritte Punkt die Erhebung von Bestands- und/oder Nutzungsdaten betrifft, welche in hierzulande in § 14 TMG (Bestandsdaten) und § 15 TMG (Nutzsungsdaten) geregelt ist, lässt der knapp formulierte Entwurf nicht erkennen. Punkt 4. legt nahe, dass auch chinesische Dienstanbieter die erhoben Daten nur zweckgebunden verwenden dürfen, ähnlich wie dies in § 12 Abs. 2 TMG angeordnet ist. Der letzte Punkt weist schließlich inhaltlich eine gewisse Nähe zum § 15a TMG auf, der für die Informationspflichten der Anbieter bei unrechtmäßiger Kenntniserlangung von Daten auf § 42a BDSG verweist.

Dieses Gesetz würde den Schutz personenbezogener Daten im Internet erstmalig auf eine breite Basis stellen, da in China bisher nur sektorbezogene Regelungen erlassen wurden. Es ist jedoch denkbar, dass bis zum Erlass des endgültigen Gesetzes noch weitreichende Änderungen des Entwurfs vorgenommen werden. (se)

Wirtschaftsvertreter reagieren auf mögliche Weitergabe von Cloud-Daten an US-Behörden

4. August 2011

Nach der Reaktion der Datenaufsichtsbehörden zu dem Eingeständnis Microsofts, dass US Firmen unter Umständen auch innerhalb Europas gespeicherte Cloud Daten an die US Behörden weitergeben müssen, äußerten sich nach einem Bericht der Financial Times nun auch Unternehmensvertreter zu den Auswirkungen dieser Praxis. IT-Verantwortliche aus Europa gaben demnach bei einer Serie von privaten Financial Times Meetings in Deutschland und der Schweiz bekannt, dass man US Cloud Service Anbieter meiden werde, da nicht einmal sicher gestellt sei, dass man im Falle eines Zugriffs auf die Daten darüber informiert würde. Ein Teil der Befragten wollten daraus die Konsequenz ziehen, auf Cloud-Dienste komplett zu verzichten, während andere Teilnehmer der Meetings lokalen Anbietern den Vorzug geben möchten.

Alan Murphy, der bei F5 Networks für Virtualisierung und Cloud Services zuständig ist, sieht in der zweiten Alternative mehr eine Chance, denn eine Notlösung. Nach Angaben der Financial Times führte er aus, dass gerade auf Grund der Weigerung der europäischen Wirtschaft in Zukunft US basierte Dienste zu nutzen, kleinere lokale Anbieter die Chance erhielten, auf Kosten der bekannten Marktgrößen Kunden zu gewinnen. Dazu müssten die kleinen Anbieter nach seiner Ansicht nur garantieren, dass ihre Cloud Angebote den örtlichen Datenschutzanforderungen entsprechen.(se)

Skandinavien befragt Facebook zum Datenschutz

21. Juli 2011

Das soziale Internet-Netzwerk Facebook soll nach der gemeinsamen Aktion von Datenschützern aus Norwegen, Schweden, Dänemark und Finnland Auskunft über den Umgang mit persönlichen Benutzerdaten geben.

Die norwegische Datenschutzbehörde hat dem kalifornischen Konzern im Namen aller vier oben genannten Staaten einen Fragenkatalog mit 45 Fragen eingereicht. Es geht um Informationen über Erhebung, Verbreitung oder Nutzung personenbezogener Daten (z.B. bei der Nutzung des „Gefällt-mir“-Button oder der Funktion „Fotos-Hochladen“). Facebook muss bis Ende August jede Frage möglichst ausführlich und gleichzeitig kurz beantworten.

„Es handelt sich dabei um eine gemeinsame Aktion, um bessere Kenntnisse darüber zu erhalten, wie das größte soziale Netzwerk der Welt persönliche Informationen behandelt“, erklärte der Chef der schwedischen Datenschutzbehörde, Hans-Olof Lindblom, in Oslo.

Dieses soziale Internet-Netzwerk wurde im Jahr 2004 von Mark Zuckerberg gegründet und zählt heutzutage 750 Millionen Nutzern weltweit. In Deutschland hat Facebook fast 20 Millionen aktive Mitglieder.

EU erwägt striktere Meldepflicht bei Datenschutzverstößen

15. Juli 2011

Die Europäische Kommission untersucht derzeit, ob zusätzliche Regelungen hinsichtlich der Meldepflicht bei Datenschutzverstößen notwendig sind.

Insbesondere Telekommunikationsanbietern und Internet Service Providern stehe eine große Menge an Kundendaten zur Verfügung, worunter regelmäßig auch die Bankverbindung falle.

Zwar verlangt die EG-Datenschutzrichtlinie bereits in ihrer derzeitigen Fassung eine Selbstanzeige gegenüber den Betroffenen und den jeweiligen nationalen Aufsichtsbehörden, sobald personenbezogene Daten Dritten unrechtmäßig zur Kenntnis gelangen oder gestohlen werden.

Dessen ungeachtet hat Neelie Kroes, EU-Kommissarin für die „Digitale Agenda“, am Donnerstag bekannt gegeben, dass Sie eine öffentliche Konsultation angeregt hat, um festzustellen, ob konkretere Regelungen erforderlich sind. Insoweit plädierte sie für eine europaweit harmonisierte Lösung, die einerseits die Verbraucher schütze andererseits aber auch den Unternehmen einen einheitlichen Rechtsrahmen anstelle vieler nationaler Einzellösungen bieten soll.

Bereits im Mai hatte die EU-Justizkommissarin, Viviane Reding, vorgeschlagen, die Meldeverpflichtung u. a. auf die Bereiche „online banking“, „video games“ und „social media“ auszuweiten.

Die noch bis zum 9. September stattfindende Konsultation legt besonderes Augenmerk auf den Bereich Datensicherheit und die Fragen, innerhalb welcher Frist Betroffene im Falle einer Datenschutzverletzung zu informieren sind, welchen Inhalt die Benachrichtigung haben muss und welche Datenschutzverstöße diese Pflicht überhaupt auslösen sollen.

Folgen der Weitergabe von Cloud-Daten an US-Behörden

13. Juli 2011

Wie bereits berichtet, hat Microsoft offen zugegeben, auch in Europa gespeicherte Daten seines Dienstes Office 365 unter Umständen an US-Behörden weitergeben zu müssen.

Sogleich haben die deutschen Aufsichtsbehörden hierzu eine Reaktion gezeigt: Nach einer Meldung von heise online sieht Dr. Thilo Weichert vom Unabhängigen Landeszentrums für Datenschutz Schleswig Holstein (ULD) in einer solchen Datenweitergabe aus dem EU-Gebiet heraus einen Widerspruch zum europäischem Datenschutzrecht. Ein drohender Zugriff von US-Behörden stelle die Vertraulichkeit der gespeicherten Daten infrage und entziehe bestehenden Verträgen zur Datenverarbeitung somit die Grundlage. Auf Grund dessen lasse sich sowohl ein Sonderkündigungsrecht ableiten als auch die Feststellung treffen, dass Microsoft als Anbieter von Cloud-Lösungen wie Office 365 und Windows-Azure für personenbezogene IT-Dienstleistungen ausscheide. Als Alternative käme ferner der Bezug von Office 365 über T-Systems infrage, da dieser Anbieter seinen Nutzern zusichert, dass die Daten ausschließlich auf „unter eigener Kontrolle stehenden“ Servern gespeichert werden.

Dies zeigt einmal mehr, dass das Feld des Cloud Computing in Bezug auf Datenschutz rechtlich immer noch ein Minenfeld ist. (se)

Update:

Auch seitens der EU-Kommission liegt nunmehr eine Reaktion vor: Matthew Newman, der Pressessprecher der für Justiz-, Grundrechts- und Bürgerschaftsbelange zuständigen EU-Kommisarin Viviane Reding, hat sich gegenüber CHIP Online zu der Datenübermittlung in die USA im Rahmen des Patriot Acts geäußert. Nach seinem Verständnis muss sich dabei „jedwede Übertragung personenbezogener Daten in Drittstaaten (…) an die grundlegenden Prinzipien des Datenschutzes in der EU halten“. Wenn ein Drittland Zugriff auf Daten aus dem EU-Raum erlangen wolle, setze dies voraus, „die etablierten offiziellen Kommunikationswege zwischen öffentlichen Ämtern benutzen“.

Zur abschließenden Regelung des Problems hält Newman es für unerlässlich, „eine allumfassende Vereinbarung zwischen der EU und den USA über die gemeinsamen Datenschutz-Prinzipien zu treffen, um die personenbezogenen Daten, die ausgetauscht werden, im Kontext der Verbrechens- und Terrorismusbekämpfung zu schützen.“ (se)

Indien reagiert auf Proteste gegen die neuen Datenschutzregelungen

6. Juli 2011

Es scheint so, als reagierte Indien auf die anhaltende Kritik aus der Wirtschaft, die in Folge des 43a IT Act steigende Kosten und mangelnde Akzeptanz für Indien als Datenverarbeitungsstandort erwartet.

Kamlesh Bajaj, CEO des DSCI (Data Security Council of India), gab bekannt, dass die Regierung innerhalb der kommenden 2-3 Wochen mit Hilfe eines Amendments (Änderungsantrag) klarstellen will, dass die strikten Regeln bezüglich der schriftlichen Einwilligung nur für die Erhebung der Daten von indischen Kunden maßgeblich seien. Er betonte in seiner Stellungnahme explizit, dass die Firmen, welche ihre Datenverarbeitung nach Indien verlagern, keine schriftliche Einwilligung von Personen außerhalb Indiens einholen müssten, bevor sie deren Daten erheben. Somit seien aus seiner Sicht die Sorgen bezüglich steigender Kosten unbegründet. (se)

 

US-Behörden erhalten Zugriff auf Cloud-Daten, die in Europa gespeichert sind

2. Juli 2011

Gordon Frazer, Managing Director bei Microsoft UK, räumte zum Start des Online-Office-Dienstes Office 365 ein, dass US-Behörden auch dann Zugriff auf Daten gewährt werden müsste, wenn diese physikalisch auf europäischen Servern gespeichert sind.

Auf Grundlage des USA Patriot Acts ist ein solcher Zugriff dann nicht auszuschließen, wenn eine Firma ihren Hauptsitz in den USA hat oder alle Anteile von einer US-Mutterfirma gehalten werden. Neben Microsoft sind auch sonstige Internetgrößen wie Amazon, Apple und Google betroffen. Dies wird auch durch die Aussage Frazers, dass weder Microsoft noch andere Firmen die Garantie geben könnten (, dass den US-Behörden kein Zugriff auf die Daten gewährt wird), deutlich.

Nach Möglichkeit würden die Kunden aber von einem solchen Zugriff unterrichtet. Die Einschränkung „nach Möglichkeit“ ist notwendig, da bestimmte US-Behörden wie das FBI einen National Security Letter erlassen können, welcher es den betroffenen Stellen verbietet, Informationen über die Anfrage weiterzugeben (sogenannte Gag order).

Insgesamt wurde damit zum ersten Mal eine solche Zugriffsmöglichkeit explizit bestätigt. Unternehmen, die den rechtlichen Anforderungen des Datenschutzes beim Cloud-Computing Genüge tun wollen, kann somit vorerst nur geraten werden, ihre Daten einem europäischen Anbieter anzuvertrauen. (se)

Datenschutz auf den Philippinen

7. Juni 2011

Die Philippinen sind auf den ersten Blick kein Land, das für die deutschen Wirtschaftsbeziehungen von besonderer Bedeutung ist. Im Hinblick auf die Globalisierung, insbesondere auch im Bereich der Auftragsdatenverarbeitung, lohnt sich jedoch auch ein Blick auf vermeintliche geografische Randgebiete. Nachdem die neuen strengen Datenschutzregelungen Indiens sowohl dort selbst als auch im Ausland bereits für einigen Diskussionsstoff gesorgt haben, erfährt der Bereich Datenschutz nun auch in anderen Gegenden Asiens wie den Philippinen verstärkt Aufmerksamkeit. Anknüpfungspunkt ist auch dort weniger der Persönlichkeitsschutz als vielmehr wirtschaftliche Gründe. Potentielle Investoren, speziell aus den USA und Europa werden von allzu mangelhaften Datenschutzvorkehrungen nämlich abgeschreckt und eine positive Entwicklung für den BPO Sektor (Business Process Outsourcing), der auf den Philippinen eine erhebliche Rolle auf dem Beschäftigungssektor spielt, wird dadurch verhindert. Insbesondere das Problem des „Datendiebstahls“ stellt dort einen Risikofaktor dar.

Um diese Besorgnisse aus dem Ausland zumindest mildern zu können, sollen daher nun verschiedene datenschutzbezogene Gesetze, das Datenschutzgesetz, das Gesetz zur Errichtung eines Ministeriums für Informations- und Kommunikationstechnologie (DICT) sowie das Gesetz zur Vorbeugung von Internet – Kriminalität, verabschiedet werden. Trotz bereits erfolgter Beratung steht die endgültige Verabschiedung momentan jedoch noch aus.

Auch wenn der Gesetzesentwurf zum Datenschutzgesetz primär die BPO – Industrie begünstigt, wird jedoch auch ein Schutz von Privatpersonen, deren personenbezogene Daten bei Behörden oder Firmen gespeichert sind, bezweckt. Sollte der Entwurf verabschiedet werden, dürfte künftig  keine Stelle mehr, unabhängig davon ob staatliche Behörde oder privatwirtschaftliche Firma, persönliche Informationen von Kunden oder Bürgern ohne vorheriges Einverständnis der Betroffenen weitergeben.

Es bleibt abzuwarten, wie stark sich das Datenschutzlevel von Entwicklungs- und Schwellenländern in der nächsten Zeit erhöht. Festzustellen ist jedenfalls, dass die höheren, wenn auch noch nicht unbedingt ausreichenden, Datenschutzregelungen der Industrienationen spürbare Auswirkungen auf das Datenschutzbewusstsein in anderen Ländern haben. Nicht zu vergessen ist im Datenschutz letztlich jedoch auch die technische Komponente. Denn unabhängig von dem Schutzniveau der Gesetze zeigte sich schließlich erst kürzlich bei erfolgreichen Hacker – Angriffen auf Sony oder Nintendo, wie anfällig selbst die Systeme weltweit agierender Konzerne sind, bei denen man aufgrund der finanziellen Mittel eigentlich von einer besonderen Sicherheit sowohl im juristischen als auch technischen Bereich ausgehen können sollte.

 

Internationale Datenverarbeitung – Indien Herausforderungen für CIOs bei der Anwendung der neuen Regeln

3. Juni 2011

Das neue Datenschutzgesetz in Indien bringt auch neue Herausforderungen für CIOs mit sich, deren Unternehmen Niederlassungen in Indien haben bzw. dort Outsourcing-Projekte betreiben, da die indischen Datenschutzregeln für alle Organisationen und Unternehmen gelten, die personenbezogene Daten und Informationen in Indien erheben oder verarbeiten lassen, einschließlich solcher personenbezogener Daten, die außerhalb Indiens erhoben worden sind.

Zwar sind viele der neuen gesetzlichen Regelungen mit denen der EU oder der USA vergleichbar. Allerdings enthält das neue Indische Datenschutzgesetz auch Anforderungen, die deutlich strenger sind, wie etwa die Verpflichtung, besondere personenbezogene Daten nur nach vorheriger schriftlicher Zustimmung des Betroffenen zu erheben und zu verarbeiten.

Obwohl die Indischen Datenschutzregeln die Entwicklung Indiens als Drehkreuz globaler Datenverarbeitung unterstützen und fördern sollen, werden CIOs dennoch vor der Aufgabe stehen, bislang etablierte Prozesse an die neuen gesetzlichen Anforderungen anzupassen.

 

Kategorien: Allgemein · Internationaler Datenschutz
Schlagwörter:
1 29 30 31 32