Kategorie: Online-Datenschutz
30. Mai 2017
In Ergänzung zur EU-Datenschutzgrundverordnung (DSGVO), wird 2018 die ePrivacy-Verordnung in Kraft treten. Dabei sollen nach dem mit der DSGVO eingeführten Privacy-by-Design-Grundsatz, die Cookie-Banner nach der EU-Kommission zukünftig nicht mehr auf jeder Website, sondern in den Browsern auftauchen. Privacy-by-Design soll die Berücksichtigung des Daten- bzw. des Persönlichkeitsrechtsschutzes bereits in der Phase der Technikentwicklung sicherstellen. Browser-Hersteller müssen demnach alle technischen Voreinstellungen Privatsphäre-freundlich ausgestalten. Damit erfolgt die Einwilligungserklärung der Nutzer zur Datenerhebung zukünftig zentral.
Deutschlands führende Verlage äußerten sich in einem offenen Brief an das EU Parlament kritisch gegenüber dieser neuen Regelung, denn sie befürchten damit keinen Zugriff mehr auf die für ihr Geschäft notwendigen Nutzerdaten zu haben. Zudem, so argumentieren u.a. die Zeit, die Süddeutsche und die F.A.Z., würden die neuen Regelungen die browsermarktführenden US-Internetkonzerne wie Google, Apple oder Microsoft weiterhin begünstigen. Diese bekämen noch mehr Einfluss auf den Nachrichtenkonsum der Verbraucher und auf das ob und wie der Zugriffsfreigabe von Verbraucherdaten gegenüber den Verlagen. Damit besteht zudem die Gefahr, dass der Nutzer die Kontrolle über seine Daten zunehmend verliert womit ein Verstoß gegen das datenschutzrechtliche Transparenzgebot vorliegt.
Darüber hinaus kann der Regelungsentwurf zu Lasten des digitalen Nachrichtengeschäftes dazu führen, dass kaum noch Nutzer dem Datentransfer zustimmen. Soweit die Verlage nicht mehr auf sogenannte Third-Party-Cookies zugreifen können, kann außerdem die Möglichkeit der Verlage, den Nutzern relevante Inhalte und Werbung anzuzeigen, und damit das Werbefinanzierungsmodell von Nachrichten, behindert werden.
Auch aus Datenschutzkreisen wird der neue Regelungsentwurf kritisiert. So monierten die Datenschützer der Artikel-29-Gruppe, dass mit dem neuen Regelungsentwurf der Einwilligungserklärung der Nutzer nach vorheriger Belehrung entgegen gewirkt werde. Die Datenschützer setzten sich dafür ein, unterschiedliche Tracking-Ziele gesondert freischalten zu lassen. Demnach würden z.B. die für Werbung genutzten Daten, von solchen Daten, die der Navigationsverbesserung auf Websites dienen, getrennt werden.
22. Mai 2017
Der diesjährige Big Brother Award in der Kategorie Bildung wurde kürzlich an die Ludwig-Maximilians-Universität und die Technische Universität München verliehen.
Die Datenschutzaktivisten von Digitalcourage e.V. kritisierten die beiden Universitäten als “Datenkraken”, weil sie mit dem Online-Kursanbieter Coursera kooperieren, über den sie ihre Moocs, die “Massive Open Online Courses”, anbieten. Über diesen Dienstleister können sich Studenten der Münchener Universitäten beispielsweise ortsunabhängig Videovorlesungen anschauen.
Das US-Unternehmen Coursera ist bei Datenschützern schon länger in der Kritik, da es sich in seinem Standardvertrag vorbehält, die Daten von Studenten gezielt zu filtern und für eigene Werbekampagnen zu nutzen. Darüber hinaus werden die Daten der Studierenden in den USA gespeichert und verarbeitet. Damit dürften sie auch dem Zugriff durch US-Behörden ausgesetzt sein und können zum Beispiel Auswirkungen auf Einreisegenehmigungen usw. haben, so die Datenschutzaktivisten.
Die weiteren Preisträger sind in diesem Jahr Verteidigungsministerin Ursula von der Leyen (Kategorie Behörden), die Prudsys AG (Verbraucherschutz), die Türkisch-islamische Union Ditib (Politik), der IT-Branchenverband Bitkom (Wirtschaft) und die PLT Planung für Logistik & Transport GmbH (Arbeitswelt).
18. Mai 2017
Wegen falscher Angaben bei der Übernahme des Messengerdienstes WhatsApp hat die EU-Kommission gegen den Social-Media-Giganten Facebook eine Strafe in Höhe von 110 Millionen Euro verhängt. Facebook hatte im Rahmen des Kaufes 2014 angegeben und öffentlich erklärt, dass die Nutzerprofile von WhatsApp und Facebook nicht abgeglichen werden, da man hierzu schon technisch nicht in der Lage sei.
Im Sommer 2016 kündigte Facebook dann plötzlich doch an, zukünftig die Telefonnummern von WhatsApp-Nutzern mit den entsprechenden Facebook-Profilen zu verknüpfen. Ziel der Verknüpfung sei es, die angezeigte – und auf den Nutzer angepasste – Werbung zu verbessern. Durch die technische Verknüpfung der Nutzerprofile sah sich die EU-Kommission von Facebook getäuscht und verhängte das Bußgeld. Der Zahlung der Geldbuße hat Facebook bereits zugestimmt, betonte allerdings “Wir haben seit den allerersten Kontakten zur Kommission nach bestem Wissen und Gewissen gehandelt und versucht, zu jeder Zeit korrekte Informationen zu liefern.” So seien die Fehler in den Fusionspapieren 2014 keine Absicht gewesen.
Nach Angaben der EU-Wettbewerbskommisarin Margrethe Vestager solle mit der Höhe des Bußgeldes ein Exempel statuiert werden und ein Signal an Firmen gesendet werden, bei Unternehmens-Fusionen richtige Angaben zu machen. “Der heutige Beschluss ist eine deutliche Botschaft an Unternehmen, dass sie die EU-Fusionskontrollvorschriften einhalten müssen, darunter auch die Verpflichtung, sachlich richtige Angaben zu machen. Aus diesem Grunde sieht er eine angemessene und abschreckende Geldbuße gegen Facebook vor.”
Die EU-Kommission erklärte aber auch, dass Facebooks unrichtige Angaben zwar relevant seien, für die Übernahme aber nicht ausschlaggebend. Die Kommission habe so bereits 2014 das hypothetische Szenario durchgespielt, dass ein Nutzerabgleich möglich wäre. Die Verhängung des Bußgeldes hat daher keine Auswirkungen auf die 2014 erteilte Genehmigung, den Messengerdienst übernehmen zu dürfen.
Tatsächlich hätte die Strafe mehr als doppelt so hoch ausfallen können, da die Kommission in solch einem Fall Geldbußen von bis zu ein Prozent des Jahresumsatzes verhängen kann.
17. Mai 2017
In seinem Urteil vom 16.05.2017 (Az. VI ZR 135/13) hat sich der Bundesgerichtshof (BGH) unter anderem mit den Fragen befasst, ob eine dynamische IP-Adresse ein personenbezogenes Datum darstellt und ob ein Webseitenbetreiber die IP-Adressen der Nutzer länger speichern darf als diese tatsächlich auf der Seite verweilen.
Anlass für dieses BGH-Urteil war, dass das Bundesministerium für Justiz und Verbraucherschutz die IP-Adressen aller Besucher seiner Webseite für eine Zeitspanne von 14 Tagen speicherte. In dieser Speicherung sah ein schleswig-holsteinischer Abgeordneter der Piratenpartei eine unzulässige Überwachung der Internetnutzer und erhob Klage gegen die Bundesrepublik als Betreiberin der Webseite. Die Bundesregierung argumentierte, dass die Speicherung nötig sei, um den sicheren Betrieb der Webseiten zu ermöglichen. Nur so könne man gegebenenfalls Hackerangriffe abwehren und die Angreifer identifizieren um strafrechtliche Schritte einleiten zu können.
Maßgeblich für die Entscheidung war die Frage, ob auch dynamische IP-Adressen personenbezogene Daten darstellen. Um im Internet agieren zu können, bekommt jedes internetfähige Endgerät vom jeweiligen Internetprovider eine eigene IP-Adresse zugewiesen. Bei diesen IP-Adressen unterscheidet man zwischen statischen und dynamischen Adressen. Im Gegensatz zu statischen IP-Adressen können sich dynamische IP-Adressen alle paar Stunden oder Tage ändern. Der Webseitenbetreiber selbst kann die Nutzer einer solchen dynamischen IP-Adresse in aller Regel nicht identifizieren. Lediglich die Internetprovider (bspw. Telekom oder Vodafon) sind hierzu in der Lage, da sie dem Nutzer die dynamische IP-Adresse zuweisen. Wenn dynamische IP-Adressen nicht als personenbezogene Daten anzusehen sind, ist eine Speicherung grundsätzlich als zulässig anzusehen. Sofern man sie jedoch als personenbezogene Daten qualifiziert, ist eine Speicherung nur nach den Maßgaben des Datenschutzrechts zulässig.
Nach § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) sind personenbezogene Daten “Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).” Ähnlich wird dies auch in der EG-Datenschutzrichtlinie 95/46/EG definiert. Gerade bei dynamischen IP-Adressen drängt sich die Frage auf, ob auch diese eine hinreichende Bestimmbarkeit im Sinne der oben genannten Norm aufweisen. Diese Frage hat der BGH vor einiger Zeit dem Europäischen Gerichtshof (EuGH) zur Entscheidung vorgelegt. Der EuGH hat dargelegt, dass eine dynamische IP-Adresse dann ein personenbezogenes Datum darstellt, wenn es dem Webseitenbetreiber möglich ist, mit Hilfe rechtlicher Mittel die betroffene Person hinter der dynamischen IP-Adresse zu bestimmen oder bestimmen zu lassen. In seinem Urteil folgte der BGH dieser Leitlinie und stellte fest, dass dynamische IP-Adressen für die Bundesrepublik als Webseitenbetreiber ein personenbezogenes Datum darstellen, da mit Hilfe der Strafverfolgungsbehörden der Nutzer identifiziert werden könne.
Zur Frage der Speicherung einer dynamischen IP-Adresse als personenbezogenes Datum über das Ende des Nutzungsvorgangs hinaus führte der BGH weiter aus, dass eine solche Speicherung durch den Webseitenbetreiber ohne Einwilligung des Nutzers nur unter den Voraussetzungen des § 15 Abs. 1 Telemediengesetz (TMG) zulässig sei. Diese Norm sei europarechtskonform dahingehend auszulegen, dass die Erhebung und Verwendung erforderlich sein müsse, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Im vorliegenden Fall konnte der BGH kein abschließendes Urteil dazu treffen, ob die Speicherung der IP-Adresse des Nutzers über das Ende des Nutzungsvorgangs hinaus durch das Bundesministerium für Justiz und Verbraucherschutz erforderlich war, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Bei der Frage der Erforderlichkeit sollen aber in einer Abwägung insbesondere das Gefahrenpotential und der „Angriffsdruck“ zu berücksichtigen sein. In einem nächsten Schritt sollen dann das Interesse an der Aufrechterhaltung und der Funktionsfähigkeit des Online-Mediendienstes mit den jeweiligen Grundrechten und Grundfreiheiten des Nutzers der Seite abgewogen und in Einklang gebracht werden.
Wegen der “massiven Kombination” von Nutzerdaten, der nicht widersprochen werden kann, hat die französische Datenschutzaufsichtsbehörde CNIL gegen Facebook eine Strafe in Höhe von 150.000 Euro verhängt. Damit meint die CNIL die Praxis von Facebook, die Daten der Nutzer so zu verknüpfen, dass diese gezielt mit Werbung angesprochen werden können, ohne das sich der Nutzer hiergegen wehren kann. Auch die Möglichkeit des Nutzers, dem Tracking durch Cookies zu widersprechen gäbe es nicht.
Nach Ansicht der französischen Datenschutzaufsichtsbehörde sei auch die Datenschutzerklärung nur ungenügend. So informiere Facebook die Nutzer nur unzureichend darüber, dass es auf anderen Webseiten Daten zum Surfverhalten selbst von solchen Internetnutzern sammle, die kein Konto bei dem Online-Netzwerk haben. Ferner hole das Social-Media-Unternehmen nicht die ausdrückliche Einwilligung seiner Nutzer ein, wenn diese in ihrem Profil sensible Daten, wie z.B. zu politischen und religiösen Einstellungen oder zur sexuellen Orientierung angeben.
Zur verhängten Strafe kam es erst, nachdem die CNIL Facebook im Januar 2006 aufgefordert hatte, sich an die geltenden französischen Vorschriften zu halten, Facebook dieser Forderung aber nicht innerhalb der vorgesehenen drei Monate in zufriedenstellendem Maße nachkam. Dabei ist zu beachten, dass die Strafe in Höhe von 150.000 Euro die höchstmögliche Strafe ist, die die CNIL verhängen kann. Gegen die Strafe kann Facebook innerhalb von vier Monaten Einspruch beim Staatsrat, dem obersten Verwaltungsgericht Frankreichs, einlegen.
Das Verfahren und die nun verhängte Strafe ist Teil von gemeinsamen Untersuchungen des Datenschutzes bei Facebook der Datenschutzbehörden Frankreichs, Deutschlands, der Niederlande, Belgiens sowie Spaniens. Im November 2014 hatte Facebook angekündigt, seine Datenschutzrichtlinien und dem Umgang mit den Cookies zu überarbeiten. Daraus resultierte unter anderem, dass Nutzerdaten zwischen WhatsApp und Facebook nicht ausgetauscht werden dürfen.
Der Bundesminister für digitale Infrastruktur, Alexander Dobrindt (CSU), will das IT-Sicherheitsgesetz verschärfen. Grund für seinen Vorstoß ist der Krypto-Trojaner WannaCry, der in den letzten Tagen für Aufsehen sorgte.
Der Trojaner hat weltweit hunderttausende Windows-Rechner lahmgelegt. Die Ransomware WannaCry ist ein Erpressungstrojaner. Ist der Rechner einmal befallen verschlüsselt das Programm Benutzer- und Systemdateien und fordert den Nutzer auf, einen bestimmten Betrag in Bitcoins zu zahlen, damit die die Dateien wieder freigegeben werden. Zudem versucht das Programm noch weitere Rechner zu infizieren.
Steven Wilson, der Chef der Ermittlergruppe EC3, des europäischen Cybercrimezentrums, sagt: “Das ist der größte Cyberangriff, den wir weltweit bisher gesehen haben und wir können sein Ausmaß auf die Wirtschaft nicht vorhersagen”.
Das Ausmaß des Angriffs ist enorm, auch wenn der Trojaner inzwischen durch Zufall gestoppt wurde und das erpresste Geld wahrscheinlich nicht mehr als 30.000€ einbringen wird. Der Schaden ist riesig. Betroffen sind nicht nur tausende Rechner von Privatpersonen, sondern auch beispielsweise die Deutsche Bahn, die Probleme mit den Anzeigetafeln und Ticketautomaten seit Tagen versucht wieder in den Griff zu kriegen.
Auf Grundlage dessen fordert Bundesminister Dobrindt ein schärferes IT-Sicherheitsgesetz und bringt eine Meldepflicht ins Spiel, damit Infrastrukturen besser geschützt werden. „IT-Störungen sollen zwingend dem Bundesamt für Sicherheit in der Informationstechnik gemeldet werden“.
2. Mai 2017
Das Kammergericht Berlin hatte sich kürzlich in einem Verfahren mit der Frage zu beschäftigen, was mit dem Facebook-Konto – insbesondere den Login-Daten und Chats einer Person nach deren Tod passiert. Konkret ging es in dem Verfahren um ein 15-jähriges Mädchen, das aus bislang ungeklärten Umständen an einem Berliner U-Bahnhof verunglückt war und später ihren Verletzungen erlag.
Nachdem Facebook selbst das Konto der Verstorbenen bereits in den Gedenkzustand versetzt hatte, forderten die Eltern des Mädchens Facebook auf, ihnen die Login-Daten herauszugeben. Dadurch hofften sie, durch Hinweise im Facebook-Profil oder den Chats, herausfinden zu können, ob es sich bei dem Unfall möglicherweise um einen Suizid gehandelt habe. Weil Facebook die Herausgabe der Zugangsdaten unter Hinweis auf seine Nutzungsbedingungen verweigerte, klagten die Eltern der Verstorbenen vor dem Landgericht Berlin. Mit Urteil vom 17.12.2015 (Az. 20 O 172/15) entschied dieses, dass Facebook die Zugangsdaten an die Eltern herauszugeben habe. Als Begründung führte es damals an, dass nach herrschender Meinung zwischen dem Nutzer und Facebook ein Vertrag mit dienst- und mietvertraglichen Elementen bestehe und dieser im Rahmen der Gesamtrechtsnachfolge gemäß § 1922 BGB auf die Erben übergehe.
Etwas anderes könne sich nur dann ergeben, wenn der Gesamtrechtsnachfolge das postmortale Persönlichkeitsrecht und der Datenschutz der Verstorbenen entgegenstehen. Allerdings hatte das Landgericht Berlin geurteilt, dass das Bundesdatenschutzgesetz bei Verstorbenen nicht anzuwenden sei und auch nicht in das postmortale Persönlichkeitsrecht eingegriffen werde, wenn Facebook den Eltern der Verstorbenen die Zugangsdaten herausgeben würden. Es schütze mithin das Ansehen der Verstorbenen, als Sachwalter des Persönlichkeitsrecht seien allerdings die Eltern legitimiert, Informationen über die Internetnutzung ihrer Kinder zu erhalten. Dies würde zumindest für das Persönlichkeitsrecht von Minderjährigen gelten. Ob dies genauso für Volljährige gelte, hatte das Landgericht Berlin genauso offen gelassen, wie die Frage nach den Rechten Dritter, die mit der verstorbenen Person bei Facebook gechattet hatten und damit grundsätzlich darauf vertrauten, dass Nachrichten nur vom Facebooknutzer selbst und keinem Dritten gelesen würden.
Gegen das Urteil legte Facebook Berufung ein und so kam der Rechtsstreit nun vor das Kammergericht Berlin. Dieses regte nun zunächst einen Vergleich an, in dem es vorschlug, die Chat-Verläufe mit geschwärztem Namen an die Eltern herauszugeben. Offen ließ das Gericht dabei, ob die Chats papiergebunden oder digital herausgegeben werden müssen, sollten die Parteien mit dem Vergleich einverstanden sein. Die Parteien haben nun zwei Wochen Zeit, sich für oder gegen den Vergleich zu entscheiden. Sollten die Parteien das Vergleichsangebot ausschlagen, ist zur Klärung des Rechtsstreits eine höchstrichterliche Entscheidung durch den Bundesgerichtshof möglich.
28. April 2017
Google bietet seinen Nutzern eine neue Funktion des Live-Trackings an. Danach kann der Nutzer über Google Maps seinen aktuellen Standort in Echtzeit mit von ihm vorher ausgewählten Kontakten auf dem Smartphone oder dem PC teilen.
Aus datenschutzrechtlicher Perspektive ist das Abrufen der Standortdaten in Echtzeit, welche personenbezogene Daten nach dem Bundesdatenschutzgesetz (BDSG) darstellen, kritisch zu betrachten. Um eine Vereinbarkeit mit den Bestimmungen des BDSG zu erzielen, müsste der betroffene Nutzer vor Datenerhebung grundsätzlich darüber informiert werden, welche konkreten personenbezogenen Daten erhoben, gespeichert und für welche Zwecke genau verarbeitet werden. Auch muss den Nutzern die jederzeitige und einfach zu handhabende Löschung seiner erhobenen personenbezogenen Daten ermöglicht werden.
Der Nutzer des Live-Trackings kann genau einstellen, welche Personen aus seiner Kontaktliste die Standortangaben angezeigt bekommen und den konkreten Zeitraum für die Freigabe festlegen sowie die Übermittlung jederzeit wieder deaktivieren. Die damit angebotene, zielgerichtete Freischaltung des Nutzers gegenüber einer bestimmten Person kann somit als Einwilligung in die Übermittlung der personenbezogenen Standortdaten angesehen werden. Zudem zeigt ein Symbol auf der eigenen Google Maps Karte dem Nutzer an, dass er seinen Standort gerade aktiv mit seinen Kontakten teilt.
Trotz dieser teilweisen datenschutzrechtlichen Konformität, ist davon asuzugehen, dass Google die zusätzlichen Datenangaben der Nutzer im Hinblick auf Sucheingaben nach Restaurants, Geschäften u.s.w. auswerten wird, um sein eigenes Angebot zu erweitern. Denn anhand von Standortdaten und Nutzerverhalten lassen sich immer mehr Informationen über den Nutzer gewinnen. Ob diese Anhäufung personenbezogner Daten von der Einwilligung des Nutzers im Rahmen von Googles Nutzungsbedingungen umfasst ist, bleibt daher stark zu bezweifeln.
26. April 2017
Bei dem kostenlosen unroll.me handelt es sich um ein Programm, das das Email-Postfach seiner Nutzer aufräumt. Dazu werden beispielsweise Gmail-Konten nach Newslettern und Spam durchsucht, so dass diese im Anschluss abbestellt werden können.
Während ihrer Recherche-Arbeit über den Fahrdienstvermittler Uber ist die New York Times gleichzeitig auf die Praktiken von unroll.me aufmerksam geworden. Der Dienst nutzt den Zugriff auf die E-Mail-Konten seiner Nutzer neben dem Aufräumen nämlich auch dazu, Informationen über diese herauszufinden und sie anschließend anonymisiert weiter zu verkaufen.
Nutzer kritisieren den Verkauf ihrer Daten und argumentieren, dass auch ihre nicht-personenbezogenen Daten Rückschlüsse auf sie zuließen.
Der Gründer und Geschäftsführer von unroll.me, Jojo Hedaya, verweist in einer Stellungnahme auf seinem Blog ausdrücklich auf die Datenschutzbestimmungen seines Dienstes, in denen darauf hingewiesen wird, dass unroll.me nicht-personenbezogene Daten seiner Nutzer sammeln, nutzen, übertragen, verkaufen und offenlegen darf. Er versichert jedoch, dass unroll.me nicht auf die persönlichen Daten zugreift und diese dementsprechend auch nicht veröffentlicht oder verkauft werden.
Zum Abschluss verspricht er, dass die Praktiken für die Nutzer in Zukunft deutlicher zu erkennen sein sollen, als dies bisher in den Datenschutzbestimmungen der Fall ist.
25. April 2017
Die inzwischen sehr stark verbreiteten mehrstufigen Authentifizierungssysteme sollen dafür sorgen, dass eine Anmeldung bei Internet-Diensten und damit auch eine Übermittlung von personenbezogenen Daten im Internet sicher ablaufen kann. Jedoch erzeugen die etwas mühsamen Arten der Anmeldung beim Nutzer häufig Unmut, und so nutzt noch immer ein Großteil der User ein und dasselbe Passworte für eine Vielzahl von Konten.
Ein Start-Up-Unternehmen von Angehörigen der ETH Zürich, die Futurae Technologies AG, hat nun eine Methode entwickelt, wie der Login im Internet in Zukunft auf eine simple Art und Weise sicherer gestaltet werden kann: Sie ließen sich mit “#SoundProof” ein Produkt patentieren, das ein schnelles und sicheres Authentifizierungs-Verfahren ermöglicht. Es benötigt lediglich zwei elektronische Geräte mit Mikrofon, auf denen die entwickelte App läuft, um sodann deren Hintergrundgeräusche miteinander zu vergleichen. Stellt es durch Aufnahme der Umgebungsgeräusche für die Dauer von drei Sekunden sicher, dass sich beide Geräte im gleichen Raum befinden, erfolgt die Authentifizierung. Der große Vorteil bei dieser Methode im Vergleich zu bekannten Zwei-Faktor-Authentifizierungen ist, dass der Nutzer das zweite Gerät nicht bedienen muss, es kann sogar etwa im Nebenraum verbleiben, vorausgesetzt, die Türen zwischen den Räumen sind geöffnet. Die Tonaufnahmen bleiben dabei lokal auf dem jeweiligen Gerät, übermittelt wird lediglich das Ergebnis der Auswertung.
Futurae Technologies führt bereits heute Pilotprojekte u. a. bei Schweizer Banken durch.
Pages: 1 2 ... 44 45 46 47 48 ... 90 91 
