Kategorie: Internationaler Datenschutz

Folgen der Weitergabe von Cloud-Daten an US-Behörden

13. Juli 2011

Wie bereits berichtet, hat Microsoft offen zugegeben, auch in Europa gespeicherte Daten seines Dienstes Office 365 unter Umständen an US-Behörden weitergeben zu müssen.

Sogleich haben die deutschen Aufsichtsbehörden hierzu eine Reaktion gezeigt: Nach einer Meldung von heise online sieht Dr. Thilo Weichert vom Unabhängigen Landeszentrums für Datenschutz Schleswig Holstein (ULD) in einer solchen Datenweitergabe aus dem EU-Gebiet heraus einen Widerspruch zum europäischem Datenschutzrecht. Ein drohender Zugriff von US-Behörden stelle die Vertraulichkeit der gespeicherten Daten infrage und entziehe bestehenden Verträgen zur Datenverarbeitung somit die Grundlage. Auf Grund dessen lasse sich sowohl ein Sonderkündigungsrecht ableiten als auch die Feststellung treffen, dass Microsoft als Anbieter von Cloud-Lösungen wie Office 365 und Windows-Azure für personenbezogene IT-Dienstleistungen ausscheide. Als Alternative käme ferner der Bezug von Office 365 über T-Systems infrage, da dieser Anbieter seinen Nutzern zusichert, dass die Daten ausschließlich auf “unter eigener Kontrolle stehenden” Servern gespeichert werden.

Dies zeigt einmal mehr, dass das Feld des Cloud Computing in Bezug auf Datenschutz rechtlich immer noch ein Minenfeld ist. (se)

Update:

Auch seitens der EU-Kommission liegt nunmehr eine Reaktion vor: Matthew Newman, der Pressessprecher der für Justiz-, Grundrechts- und Bürgerschaftsbelange zuständigen EU-Kommisarin Viviane Reding, hat sich gegenüber CHIP Online zu der Datenübermittlung in die USA im Rahmen des Patriot Acts geäußert. Nach seinem Verständnis muss sich dabei “jedwede Übertragung personenbezogener Daten in Drittstaaten (…) an die grundlegenden Prinzipien des Datenschutzes in der EU halten”. Wenn ein Drittland Zugriff auf Daten aus dem EU-Raum erlangen wolle, setze dies voraus, “die etablierten offiziellen Kommunikationswege zwischen öffentlichen Ämtern benutzen”.

Zur abschließenden Regelung des Problems hält Newman es für unerlässlich, “eine allumfassende Vereinbarung zwischen der EU und den USA über die gemeinsamen Datenschutz-Prinzipien zu treffen, um die personenbezogenen Daten, die ausgetauscht werden, im Kontext der Verbrechens- und Terrorismusbekämpfung zu schützen.” (se)

Indien reagiert auf Proteste gegen die neuen Datenschutzregelungen

6. Juli 2011

Es scheint so, als reagierte Indien auf die anhaltende Kritik aus der Wirtschaft, die in Folge des 43a IT Act steigende Kosten und mangelnde Akzeptanz für Indien als Datenverarbeitungsstandort erwartet.

Kamlesh Bajaj, CEO des DSCI (Data Security Council of India), gab bekannt, dass die Regierung innerhalb der kommenden 2-3 Wochen mit Hilfe eines Amendments (Änderungsantrag) klarstellen will, dass die strikten Regeln bezüglich der schriftlichen Einwilligung nur für die Erhebung der Daten von indischen Kunden maßgeblich seien. Er betonte in seiner Stellungnahme explizit, dass die Firmen, welche ihre Datenverarbeitung nach Indien verlagern, keine schriftliche Einwilligung von Personen außerhalb Indiens einholen müssten, bevor sie deren Daten erheben. Somit seien aus seiner Sicht die Sorgen bezüglich steigender Kosten unbegründet. (se)

 

US-Behörden erhalten Zugriff auf Cloud-Daten, die in Europa gespeichert sind

2. Juli 2011

Gordon Frazer, Managing Director bei Microsoft UK, räumte zum Start des Online-Office-Dienstes Office 365 ein, dass US-Behörden auch dann Zugriff auf Daten gewährt werden müsste, wenn diese physikalisch auf europäischen Servern gespeichert sind.

Auf Grundlage des USA Patriot Acts ist ein solcher Zugriff dann nicht auszuschließen, wenn eine Firma ihren Hauptsitz in den USA hat oder alle Anteile von einer US-Mutterfirma gehalten werden. Neben Microsoft sind auch sonstige Internetgrößen wie Amazon, Apple und Google betroffen. Dies wird auch durch die Aussage Frazers, dass weder Microsoft noch andere Firmen die Garantie geben könnten (, dass den US-Behörden kein Zugriff auf die Daten gewährt wird), deutlich.

Nach Möglichkeit würden die Kunden aber von einem solchen Zugriff unterrichtet. Die Einschränkung “nach Möglichkeit” ist notwendig, da bestimmte US-Behörden wie das FBI einen National Security Letter erlassen können, welcher es den betroffenen Stellen verbietet, Informationen über die Anfrage weiterzugeben (sogenannte Gag order).

Insgesamt wurde damit zum ersten Mal eine solche Zugriffsmöglichkeit explizit bestätigt. Unternehmen, die den rechtlichen Anforderungen des Datenschutzes beim Cloud-Computing Genüge tun wollen, kann somit vorerst nur geraten werden, ihre Daten einem europäischen Anbieter anzuvertrauen. (se)

Datenschutz auf den Philippinen

7. Juni 2011

Die Philippinen sind auf den ersten Blick kein Land, das für die deutschen Wirtschaftsbeziehungen von besonderer Bedeutung ist. Im Hinblick auf die Globalisierung, insbesondere auch im Bereich der Auftragsdatenverarbeitung, lohnt sich jedoch auch ein Blick auf vermeintliche geografische Randgebiete. Nachdem die neuen strengen Datenschutzregelungen Indiens sowohl dort selbst als auch im Ausland bereits für einigen Diskussionsstoff gesorgt haben, erfährt der Bereich Datenschutz nun auch in anderen Gegenden Asiens wie den Philippinen verstärkt Aufmerksamkeit. Anknüpfungspunkt ist auch dort weniger der Persönlichkeitsschutz als vielmehr wirtschaftliche Gründe. Potentielle Investoren, speziell aus den USA und Europa werden von allzu mangelhaften Datenschutzvorkehrungen nämlich abgeschreckt und eine positive Entwicklung für den BPO Sektor (Business Process Outsourcing), der auf den Philippinen eine erhebliche Rolle auf dem Beschäftigungssektor spielt, wird dadurch verhindert. Insbesondere das Problem des „Datendiebstahls“ stellt dort einen Risikofaktor dar.

Um diese Besorgnisse aus dem Ausland zumindest mildern zu können, sollen daher nun verschiedene datenschutzbezogene Gesetze, das Datenschutzgesetz, das Gesetz zur Errichtung eines Ministeriums für Informations- und Kommunikationstechnologie (DICT) sowie das Gesetz zur Vorbeugung von Internet – Kriminalität, verabschiedet werden. Trotz bereits erfolgter Beratung steht die endgültige Verabschiedung momentan jedoch noch aus.

Auch wenn der Gesetzesentwurf zum Datenschutzgesetz primär die BPO – Industrie begünstigt, wird jedoch auch ein Schutz von Privatpersonen, deren personenbezogene Daten bei Behörden oder Firmen gespeichert sind, bezweckt. Sollte der Entwurf verabschiedet werden, dürfte künftig  keine Stelle mehr, unabhängig davon ob staatliche Behörde oder privatwirtschaftliche Firma, persönliche Informationen von Kunden oder Bürgern ohne vorheriges Einverständnis der Betroffenen weitergeben.

Es bleibt abzuwarten, wie stark sich das Datenschutzlevel von Entwicklungs- und Schwellenländern in der nächsten Zeit erhöht. Festzustellen ist jedenfalls, dass die höheren, wenn auch noch nicht unbedingt ausreichenden, Datenschutzregelungen der Industrienationen spürbare Auswirkungen auf das Datenschutzbewusstsein in anderen Ländern haben. Nicht zu vergessen ist im Datenschutz letztlich jedoch auch die technische Komponente. Denn unabhängig von dem Schutzniveau der Gesetze zeigte sich schließlich erst kürzlich bei erfolgreichen Hacker – Angriffen auf Sony oder Nintendo, wie anfällig selbst die Systeme weltweit agierender Konzerne sind, bei denen man aufgrund der finanziellen Mittel eigentlich von einer besonderen Sicherheit sowohl im juristischen als auch technischen Bereich ausgehen können sollte.

 

Internationale Datenverarbeitung – Indien Herausforderungen für CIOs bei der Anwendung der neuen Regeln

3. Juni 2011

Das neue Datenschutzgesetz in Indien bringt auch neue Herausforderungen für CIOs mit sich, deren Unternehmen Niederlassungen in Indien haben bzw. dort Outsourcing-Projekte betreiben, da die indischen Datenschutzregeln für alle Organisationen und Unternehmen gelten, die personenbezogene Daten und Informationen in Indien erheben oder verarbeiten lassen, einschließlich solcher personenbezogener Daten, die außerhalb Indiens erhoben worden sind.

Zwar sind viele der neuen gesetzlichen Regelungen mit denen der EU oder der USA vergleichbar. Allerdings enthält das neue Indische Datenschutzgesetz auch Anforderungen, die deutlich strenger sind, wie etwa die Verpflichtung, besondere personenbezogene Daten nur nach vorheriger schriftlicher Zustimmung des Betroffenen zu erheben und zu verarbeiten.

Obwohl die Indischen Datenschutzregeln die Entwicklung Indiens als Drehkreuz globaler Datenverarbeitung unterstützen und fördern sollen, werden CIOs dennoch vor der Aufgabe stehen, bislang etablierte Prozesse an die neuen gesetzlichen Anforderungen anzupassen.

 

Kategorien: Allgemein · Internationaler Datenschutz
Schlagwörter:

Aktueller Stand der Umsetzung des EU-Telekommunikationspaketes in nationales Recht

1. Juni 2011

Am 25. Mai lief die Frist zur Umsetzung der überarbeiteten EU-Vorschriften für Telekommunikationsnetze und ‑dienste  (MEMO/09/491) in nationales Recht ab. Der deutsche Gesetzgeber hat die Änderungen bisher noch nicht umgesetzt, möchte diesen Missstand aber im Rahmen der Novellierung des Telekommunikationsgesetzes (TKG) beheben. Aktuell wird der Regierungsentwurf zur Novellierung des Telekommunikationsgesetzes im Bundestag beraten. Bisher letzter Schritt im laufenden Verfahren war dabei eine öffentliche Anhörung am 31.05.2011, bei der auch die von den Oppositionsfraktionen eingebrachten Anträge auf Verpflichtung zur Netzneutralität behandelt werden sollten.

Der maßgebliche Kernpunkt des Paketes sind erweiterte Verbraucherschutzvorschriften im Bereich des TK-Rechts:

  • Es soll möglich sein Festnetz- oder Mobilfunkbetreiber innerhalb eines Werktags ohne Änderung der Telefonnummer zu wechseln.
  • Die Vertragslaufzeit für Erstverträge darf höchstens 24 Monate betragen. Weiterhind sind die Dienstanbieter verpflichtet, Verträge über 12 Monate anzubieten, um den Kunden den Anbieterwechsel zu erleichtern.
  • Der Nutzer muss klarer über die bestellten Dienstleistungen informiert werden. Die Verträge müssen daher Angaben zum Mindestniveau der Dienstleistungsqualität enthalten. Vorrangig zu erteilen sind hierbei Auskünfte über Datenverkehrssteuerung (sog. Trafficshapping), sowie über etwaige sonstige Einschränkungen (Bandbreitendrosselung, Höchstbandbreiten, Blockierung bestimmter Dienste, wie VOIP etc.). Außerdem ist in den Verträgen anzugeben, welche Kompensations- und Erstattungsleistungen die Kunden erhalten, sollten diese Mindeststandards nicht eingehalten werden (näher dazu IP/11/486 und MEMO/11/319).

Ebenfalls umzusetzen sind Verbesserungen beim Online-Datenschutz und der Online-Sicherheit:

  • Der Datenschutz und die Verhinderung von „Spam“ (unerwünschte E-Mails) sollen verbessert werden.
  • Eine Benachrichtigungspflicht bei Datenschutzverletzungen wird vorgeschrieben.
  • Für die Handhabung von „Cookies“ und anderer Informationen, die auf dem Computer der Nutzers gespeichert sind, werden bessere Informations- und Zustimmungspflichten vorgeschrieben (vertiefend MEMO/11/320).

Um eine bessere Durchsetzung der neuen Regelungen zu ermöglichen, sollen nationalen Regulierungsbehörden größere Unabhängigkeit und als ultima ratio sogar die Möglichkeit erhalten, Telekommunikations­betreiber mit beträchtlicher Marktmarkt zu zwingen, ihren Netz- und Dienstleistungsbetrieb zu trennen, um einen diskriminierungsfreien Zugang anderer Betreiber zu gewährleisten. Weiterhin wurden der Kommission neue Aufsichtsbefugnisse erteilt, die es ihr ermöglichen, in Abstimmung mit dem Gremium der Europäischen Regulierungsstellen für elektronische Kommunikation (GEREK gegründet im Mai 2010 in Riga), wettbewerbsrechtliche Abhilfemaßnahmen für die Telekommunikations­märkte im Rahmen des Verfahrens nach Artikel 7 festzulegen. (se)

Update:

Die Europäische Kommission hat mittlerweile Deutschland und 19 weitere EU-Mitgliedsstaaten, welche die Richtlinie ebenfalls noch nicht vollständig umgesetzt haben, ermahnt dies innerhalb von zwei Monaten nachzuholen. Sollte auch diese Frist ungenutzt verstreichen, will die Kommission formelle Vertragsverletzungsverfahren gegen die  Mitgliedsstaaten anstrengen. Mit Dänemark, Estland, Finnland, Großbritannien, Irland, Malta und Schweden haben bisher erst sieben Mitgliedsstaaten die Richtlinie vollständig umgesetzt. (se)

 

Ablauf der Frist zur Umsetzung der „E-Privacy-Richtlinie“ (Richtlinie 2009/136/EG) in nationales Recht der EU-Länder, die Europäische Kommission droht mit Sanktionen

27. Mai 2011

Bis 25. Mai 2011 hatten die Mitgliedstaaten der Europäischen Union die neue Richtlinie 2009/136/EG für elektronische Kommunikation in das jeweilige nationale Recht umzusetzen.

Diese Datenschutzrichtlinie dient dem Schutz der Verbraucher durch mehr Transparenz und Sicherheit. Besonders betroffen ist die Verwendung von Cookies, die die letzten Jahre eine starke Rolle in der Werbewelt spielt. Cookies speichern Daten (wie z.B. Passwörter) und sammeln Informationen über das Verhalten von Nutzern verschiedener Webseiten. Dadurch kann das Kaufverhalten der Nutzer analysiert und zu Werbezwecken verwendet werden. Die Richtlinie sieht vor, dass Cookies nur nach der Einwilligung des Nutzers auf seinem Computer installiert und aktiv werden.

Die EU-Richtlinie hat allgemein starke Kritik wegen der Umsetzungsschwierigkeiten und die Belästigung bei Internetsurfen erhalten.

Nach dem inzwischen eingetretenen Ablauf der Frist zur Umsetzung ist festzustellen, dass die Mehrheit der Regierungen der Mitgliedstaaten die Richtlinie 2009/136/EG in nationale Gesetze nicht übernommen hat. Estland und Dänemark haben der Kommission mitgeteilt, dass sie ihre nationale Gesetzte an die EU-Richtlinie angepasst haben. England, Frankreich, Slowenien und Litauen haben teilweise Anwendung bekannt gemacht. Deutschland spricht sich gegen eine jetzige Umsetzung der Richtlinie in deutsches Recht aus und will die Diskussion auf europäischer Ebene führen. Die Bundesregierung will mögliche Selbstverpflichtungserklärungen der Werbewirtschaft abwarten.

Die EU-Kommissarin für die Digitale Agenda, Neelie Kroes, hat vor dringenden Maßnahmen gegen die umsetzungsunwilligen Länder gewarnt. Der Pressesprecher der Europäische Kommission, Jonathan Todd, hat von möglichen Verfahren wegen Rechtsverletzung gegen diese Länder gesprochen.

EU-Parlamentsausschluss definiert Schutzmaßnahmen für den Einsatz von Körperscannern

25. Mai 2011

Der Verkehrsausschuss des EU-Parlaments hat sich in seiner Sitzung am 24.05.2011 in Brüssel mehrheitlich für den Einsatz von Körperscannern an europäischen Flughäfen ausgesprochen, gleichzeitig aber auch Rahmenbedingungen für dessen zulässigen Einsatz definiert. Wichtigste Vorraussetzung dafür sei, dass die Nutzung der Körperscanner freiwillig erfolgt. Entschließt sich der Passagier für eine Sicherheitskontrolle mittels Körperscanners muss sichergestellt sein, dass Gesundheit und Persönlichkeitsrechte des Betroffenen so wenig wie möglich beeinträchtigt werden. So sollen beispielsweise der Einsatz von röntgen-basierten Scannern sowie jede Form der Erstellung von Persönlichkeitsprofilen unterlassen werden. Außerdem sollen keine realen Körperbilder, sondern lediglich schematische, einheitliche Abbildungen von Körpern erzeugt werden, die direkt nach Abschluss der Sicherheitskontrolle zu vernichten sind. Eine Speicherung der Bilder soll verboten sein. Verweigert der Passagier den Einsatz eines Körperscanners, ist er einer alternativen, gleichermaßen effektiven Screening-Methode zu unterziehen. Aus der Weigerung soll jedoch nicht geschlossen werden, dass der Passagier als besonders verdächtig gilt. Das Plenum des EU-Parlaments will sich am 23. Juni abschließend mit dem Einsatz von Körperscannern befassen.

 

Kategorien: Internationaler Datenschutz
Schlagwörter:

Internationale Datenverarbeitung – erste Proteste gegen neue Regelungen im indischen Datenschutz

Die Neuerungen im indischen Datenschutzrecht zeigen nun bei Firmen in den USA erste Auswirkungen. Verschiedene amerikanische Firmen und auch einige indische Firmen, die um ihre Geschäftsbeziehungen fürchten, halten die nun erforderte schriftliche Zustimmung einer Person, bevor ihre persönlichen Daten gesammelt und genutzt werden dürfen, für viel zu restriktiv. Es wird befürchtet, dass viele Firmen nicht bereit sind, das Risiko einzugehen, dass ein Kunde, der die ausdrücklich Anfrage aus Indien bekommt, ob seine Daten dort gespeichert und genutzt werden dürfen, seine Zustimmung dafür verweigert. Stattdessen würden Firmen ihr Geschäft dann eher nach China oder auf die Philippinen auslagern, wo solche Bestimmungen nicht gelten. Auch Google protestiert gegen einige Passagen aus dem neuen Gesetz, wonach ein Internetanbieter für Inhalte verantwortlich gemacht werden, die als “belästigend”, “grob schädlich” oder “ethnisch verwerflich anzusehen sind.

Der indische Minister für Informationstechnologie verteidigte das Gesetz damit, dass es einem seit langem geäußerten Begehren der IT-Industrie nachkäme, endlich gesetzlich Rahmenregelungen für den Datenschutz zu schaffen. Auch einige amerikanische Firmen befürworteten jedenfalls die Richtung des Gesetzes, da so das Vertrauen im Ausland hinsichtlich der ausgelagerten Datenverarbeitung in Indien gestärkt werde.

Ob und wie lange das Gesetz in seiner momentanen Ausgestaltung bestehen bleibt, dürfte letztlich maßgeblich von der Frage abhängen, wie stark der Druck aus dem Ausland noch wird. Da Indien in extrem hohen Maß auf die IT- und Outsourcing- Branche angewiesen ist, könnten allzu starke Proteste und Rückzugsdrohungen von Firmen aus diesem Bereich durchaus noch zu einer Änderung des Gesetzes führen.

Internationale Datenverarbeitung- Maßnahmenkatalog für in Indien tätige Unternehmen

18. Mai 2011

Wie schon im Beitrag vom 5.Mai 2011 berichtet, wurde in Indien am 13. April neue, sehr restriktive Bestimmungen für den Datenschutz vorgestellt, nachdem der Bereich des Schutzes persönlicher Daten dort für nahezu 100 Jahre unverändert blieb. Diese Neuerungen sind dabei insbesondere für Firmen, die ihre Datenverarbeitung nach  Indien ausgelagert haben, von Relevanz.

Auch wenn sich insoweit naturgemäß pauschal noch keine präzisen Maßnahmen empfehlen lassen, so sind hier zumindest erst einmal einige Tipps und Hinweise für Firmen, die aufgrund ihrer Kontakte und Beziehungen zu indischen Firmen von den neuen Regeln betroffen sein können

1. Überprüfung der aktuell bestehenden Datenschutzregeln und Maßnahmen
Untersuchung und Dokumentierung beispielsweise welche Daten bislang in Indien erhoben und gelagert werden oder welche opt-in oder opt-out Regelungen momentan zur Anwendung gelangen.

2. Einsetzen eines “Update-Teams”
Dieses Team ist für die Entwicklung und Umsetzung der nun erforderlich werdenden Maßnahmen verantwortlich. Je nach Größe der Firma können solche Mitglieder beispielsweise CIO, legal counsel, externe Berater oder bisher mit der Überwachung der Outsource- Tätigkeit befasste Personen sein.

3. Überprüfung des Kundenkontakts
Ergänzend zu 1. kann dies speziell für Firmen, die dort im Handelsbereich z.B. online-Handel tätig sind von Relevanz sein. Insbesondere im Hinblick auf telefonischen Kontakt und das schriftliche Einverständnis zu Sammlung personenbezogener Daten ist hier Vorsicht geboten.

4. Berücksichtigung der Arbeitnehmer
Auch die bei den betroffenen Firmen beschäftigten Arbeitnehmer sind zu berücksichtigen, da auch sie schließlich in nicht unerheblichem Ausmaß personenbezogene Daten zur Verfügung stellen. Insoweit ist zu prüfen, ob und in welchem Maße die neuen Regeln in diesem Bereich zu neuen Maßnahmen führen.

5. Abstimmung mit anderen Beteiligten
Auch andere Firmen können in verschiedener Form direkt oder mittelbar durch die neuen Bestimmungen betroffen sein. Zum einen ist eine Abstimmung im Hinblick auf Maßnahmen beispielsweise beim Outsourcing bestimmter Geschäftsfelder an weitere Firmen erforderlich, zum anderen kann z.B. auch die aktuelle Internetkommunikation mit dem entsprechenden Provider und seinen eventuell kollidierenden Bestimmungen betroffen sein und es können sich insoweit Konfliktfelder auftun.

Kategorien: Internationaler Datenschutz
Schlagwörter: , ,
1 32 33 34 35