Kategorie: Online-Datenschutz

Smartwatch-Hersteller im Visier der Datenschutzaktivisten: Beschwerden wegen illegaler Datenweitergabe

6. September 2023

Die Datenschutzorganisation Noyb und ihr Gründer Max Schrems haben ihre Kräfte mobilisiert und Beschwerden gegen einen US-amerikanischen Fitness-Tracker-Hersteller eingereicht. Die Beschwerden wurden bei den nationalen Datenschutzbehörden in Österreich, den Niederlanden und Italien eingereicht. Das Hauptanliegen der Beschwerden besteht darin, dass der Hersteller angeblich sensible Gesundheitsdaten seiner Nutzer ohne ausreichende rechtliche Grundlage in die ganze Welt transferiert, ohne die Betroffenen angemessen zu informieren oder um ihre Zustimmung zu bitten.

Verstoß gegen die DSGVO

Die Datenschutzorganisation Noyb behauptet, dass der Hersteller die Nutzer seiner App dazu zwingt, der Übertragung ihrer Daten in die USA und andere Länder mit unterschiedlichen Datenschutzbestimmungen als die EU zuzustimmen. Dies geschieht angeblich, ohne klare Informationen über die möglichen Konsequenzen oder die spezifischen Zielorte bereitzustellen. Diese Art der Zustimmung wird als “nicht frei, informiert oder spezifisch” angesehen und verstößt eindeutig gegen die Anforderungen der DSGVO.

Umfang der Datenweitergabe

Die von dem Hersteller weitergegebenen Daten, wie in den Datenschutzrichtlinien des Unternehmens angegeben, umfassen nicht nur grundlegende Informationen wie E-Mail-Adresse, Geburtsdatum und Geschlecht, sondern auch äußerst persönliche Gesundheitsdaten. Dies umfasst Aufzeichnungen über Essgewohnheiten, Gewicht, Schlafmuster, Wasserkonsum, weibliche Gesundheit und vieles mehr. Der Hersteller behält sich sogar das Recht vor, diese Informationen an nicht genannte Dritte weiterzugeben. Für die Nutzer ist es nahezu unmöglich zu erfahren, welche ihrer Daten betroffen sind.

Mangelnde Transparenz und Einwilligung

Noyb kritisiert auch die mangelnde Transparenz seitens des Herstellers und betont, dass die Nutzer keine klaren Informationen darüber erhalten, welche Daten wohin übertragen werden. Diese Praxis verhindert effektiv die Möglichkeit für die Nutzer, eine informierte Einwilligung zu geben. Darüber hinaus weist Noyb darauf hin, dass der Hersteller den Nutzern nur die Möglichkeit bietet, ihre Einwilligung zu widerrufen, indem sie ihr Konto löschen. Dies bedeutet, dass Nutzer, die diese Option wählen, alle zuvor aufgezeichneten Trainings- und Gesundheitsdaten verlieren.

Forderung nach mehr Kontrolle und Datenschutz

Die Datenschutzaktivisten bei Noyb betonen, dass die Nutzung der Fitbit-App auch ohne verpflichtende Datentransfers möglich sein sollte. Sie kritisiert den “take it or leave it”-Ansatz und die Tatsache, dass Nutzer ihre Daten nicht kontrollieren können, ohne das Produkt unbrauchbar zu machen. Die Datenschutzaktivisten argumentieren, dass Nutzer die Kontrolle über ihre eigenen Daten behalten sollten, ohne auf die Nutzung des Produkts verzichten zu müssen.

Potenzielle Geldstrafen

Abschließend weist Noyb darauf hin, dass die zuständigen Datenschutzbehörden, basierend auf dem Umsatz der Muttergesellschaft, Geldstrafen von bis zu 11,28 Milliarden Euro verhängen könnten. Dies zeigt, wie ernst die Datenschutzverletzungen genommen werden und welches finanzielle Risiko für Unternehmen besteht, die gegen die Datenschutzbestimmungen verstoßen.

Die Beschwerden gegen den Hersteller markieren einen weiteren Schritt in Richtung strengerer Durchsetzung der Datenschutzgesetze und unterstreichen die Bedeutung der Einhaltung der DSGVO-Vorschriften für Unternehmen, die personenbezogene Daten verarbeiten. Unternehmen sollten diese Entwicklungen aufmerksam verfolgen und sicherstellen, dass ihre Datenschutzpraktiken den gesetzlichen Anforderungen entsprechen.

Meta will künftig mit Einwilligung arbeiten

28. August 2023

Seit bereits fünf Jahren steht Meta wegen der praktizierten Datenverarbeitung auf dem Prüfstand. Nun kündigte das Unternehmen, dass mehrere Social-Media-Plattformen betreibt, an, dass es künftig personenbezogene Daten der Nutzer zu Werbezwecken auf der Grundlage einer Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO verarbeiten werde. Bisher erfolgte die Datenverarbeitung zu diesem Zweck auf der Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 lit. f) DSGVO.

Hintergründe

Laut Meta selbst sei Grund für die Änderung der Rechtsgrundlage, die zur Verarbeitung personenbezogener Daten herangezogen werde, dass die irische Aufsichtsbehörde die DSGVO verändert auslege. Diese ist im Gefüge der europäischen Aufsichtsbehörde zuständig für Meta. Aufgrund der jüngsten Rechtsprechung des Europäischen Gerichtshofs (EuGH) habe, so Meta die irische Aufsichtsbehörde die Auslegung der DSGVO verändert. Außerdem wolle Meta damit auf die bevorstehenden Änderungen, die durch Digital Markets Act eintreten werden, begegnen.

Im Juli dieses Jahres hatte der EuGH zu der Frage entschieden, ob Meta eine alternative rechtliche Grundlage anwenden könne, wenn die Rechtsgrundlage, die zur Datenverarbeitung gedacht war, nicht wirksam sei (wir berichteten). Aus Sicht des Gerichtshofes war es demnach rechtmäßig, dass das Bundeskartellamt (BKA) Meta das Speichern personenbezogener Daten ohne Zustimmung der Nutzer untersagt habe. Dabei stellte der Gerichtshof auch klar, dass eine alternative Verwendung einer Rechtsgrundlage nur unter engen Voraussetzungen möglich sei. Meta müsse seine Nutzer jedenfalls vor der Datenverarbeitung über die einschlägige Rechtsgrundlage informieren.

Aufgrund der neuen Rechtspraxis des US-Konzern dürften diese Rechtsfragen vorerst geklärt sein. Dabei bestehen bereits seit Jahren Bedenken gegen den Umgang des Unternehmens mit den personenbezogenen Daten von Nutzer. Die österreichische NGO None of your business (noyb) betonte in einem Artikel, dass die Tragweite der Entscheidung von Meta hinsichtlich der veränderten Rechtsgrundlage noch abzuwarten sei. Aus Sicht der Organisation bereite insbesondere die von Meta gewählte Formulierung, nach der nur für „bestimmte Daten für verhaltensbezogene Werbung“ eine Einwilligung eingeholt werden, Grund zur Annahme, dass weiterhin Lücken bei der Datenverarbeitung bestehen werden.

Fazit

Wie sich die Datenschutzpraxis des omnipräsenten US-Konzern Meta künftig ändern wird, bleibt insgesamt abzuwarten. Besonderes Augenmerk ist dabei auf die Frage zu legen, ob und wie Meta künftig personenbezogene Daten der Nutzer sammelt und ggf. weiterverwendet.

Cyberangriff auf LinkedIn

21. August 2023

Vergangene Woche erschienen vermehrt Berichte, derer zufolge eine Cyberattacke auf die Online-Plattform LinkedIn verübt wurde. Demnach konnten die Nutzer des Portals nicht mehr auf ihre Accounts zugreifen.

Hintergründe

Es seien zwei verschiedene Angriffsmethoden auf LinkedIn erkennbar gewesen. Teilweise habe LinkedIn selbst die Konten seiner Nutzer gesperrt. Grund hierfür seien verdächtige Handlungen auf den Konten der betroffenen Nutzer gewesen. Dabei hätten die Hacker versuch die Zwei-Faktor-Authentifizierung, mit der die Konten der Nutzer gesichert werde, zu entschlüsseln. Alle betroffenen Personen seien im Anschluss durch LinkedIn über die vorübergehende Sperrung des Kontos informiert worden.

Hinzu käme eine zweite Form des Hackerangriffs. Bei diesem drängen die Angreifer in die Konten der betroffenen Nutzer ein und änderten dort die zur Verfügung gestellte E-Mail-Adresse. Die Folge dieses Vorgehens sei, dass die betroffenen Personen keine Möglichkeit hätten auf ihr Konto zuzugreifen. Teilweise hätten die Angreifer Lösegeld zur Widerherstellung der Konten verlangt.

Die Folgen für die Konten

Derzeit bleibt eine Stellungnahme von LinkedIn selbst noch aus. Die Motivation der Hacker kann sich demnach auch lediglich erahnen lassen. Teilweise könnte es dazu kommen, dass die betroffenen Konten genutzt werden würde, um über diese Kontakt zu anderen Nutzern aufzunehmen und so schädliche Handlungen vorzunehmen.  Zusätzlich biete der Zugang zu einem LinkedIn Konto immer auch Zugang zu sensiblen Unterhaltungen im LinkedIn Profil der betroffenen Personen.

Fazit

Sofern man selbst von einem Angriff betroffen sein sollte, sollte man sich zunächst an den Support von LinkedIn wenden. Insbesondere E-Mails von LinkedIn, in denen die Nutzer darüber informiert werden, dass dem bestehenden Konto eine neue E-Mail-Adresse hinzugefügt worden sei, können ein ersten Anzeichens eines Cyberangriffs sein.

Grundsätzlich gilt es ein langes, aufwändiges und somit sicheres Passwort zu wählen. Außerdem empfiehlt es sich die Zwei-Faktor-Authentifizierung für das Benutzerkonto. Aus Sicht der Verantwortlichen ist zu empfehlen ausreichende Technischen und Organisatorischen Maßnahmen zu wählen, um gegen Cyberattacken präventiv vorzugehen und ihnen adäquat zu begegnen.

Die Meta-Entscheidung des EuGH

2. August 2023

Am 4. Juli 2023 fällte der Europäische Gerichtshof (EuGH) sein Urteil bezüglich der Meta-Entscheidung des Bundeskartellamts. Der EuGH scheint  eine bislang offene juristische Frage geklärt zu haben: Kann eine alternative rechtliche Grundlage für die Datenverarbeitung herangezogen werden, wenn die ursprünglich angegebene Grundlage unwirksam ist, etwa wenn eine Einwilligung rechtswidrig erfolgt ist?

Das Verfahren

Der Hintergrund des Verfahrens liegt in der Praxis von Meta Platforms Ireland und Facebook Deutschland (Meta), Daten seiner Nutzer nicht nur auf Facebook selbst, sondern auch über seine Tochterfirmen und über Schnittstellen auf anderen Webseiten zu sammeln und diese zu detaillierten Nutzerprofilen zu verknüpfen. Das Bundeskartellamt (BKartA) sah darin einen Missbrauch der marktbeherrschenden Stellung von Meta. Deswegen erließ das Bundeskartellamt erließ 2019 einen Beschluss gegen Meta, der Gegenstand des vorliegenden Gerichtsverfahrens war. In diesem Beschluss untersagte das Bundeskartellamt Meta, sich durch Zustimmung zu den Allgemeinen Nutzungsbedingungen zur Nutzung von Facebook auch die Erhebung und Verarbeitung von sogenannten “Off-Facebook-Daten” genehmigen zu lassen.

Off-Facebook-Daten

Bei den Off-Facebook-Daten handelt es sich um Informationen, die Meta außerhalb von Facebook, Instagram oder WhatsApp sammelt. Diese Daten werden durch das Werbenetzwerk von Meta auf zahlreichen Webseiten und Apps sowie den zum Meta-Konzern gehörenden Online-Diensten erfasst. Mithilfe dieser Off-Facebook-Daten kann Meta das Konsumverhalten, die Interessen, die Kaufkraft und die Lebenssituation der Nutzer in Profilen erfassen. Auf dieser Grundlage können gezielte und personalisierte Werbenachrichten an die Facebook-Nutzer gesendet werden.

BKartA rügt Metas Nutzungsbedingungen

Die Nutzungsbedingungen müssten vielmehr klarstellen, dass diese Daten nur mit ausdrücklicher Einwilligung verarbeitet und mit dem Facebook-Nutzerkonto verknüpft werden. Darüber hinaus dürfe die Einwilligung nicht zur Voraussetzung für die Nutzung des sozialen Netzwerkes gemacht werden. Das Bundeskartellamt war der Ansicht, dass durch diese Gestaltung der Nutzungsbedingungen, die nicht den Marktverhaltensregeln und Werten der DSGVO entspricht, Meta seine marktbeherrschende Stellung missbrauche. Kurz darauf, noch im Jahr 2019, änderte Meta seine eigenen Nutzungsbedingungen dahingehend, dass die Nutzer bei der Nutzung von Facebook-Produkten in die Verarbeitung von Off-Facebook-Daten einwilligen müssen, da ansonsten für die Services keine Kosten entstehen würden.

Gegen diesen Beschluss des Bundeskartellamts legte Meta gerichtlichen Widerspruch ein. Im Laufe dieses Verfahrens wandte sich das Oberlandesgericht (OLG) Düsseldorf in einem sogenannten Vorlageverfahren an den EuGH. Bei einem Vorlageverfahren entscheidet der EuGH nicht als höhere Instanz über den jeweiligen Rechtsstreit, sondern beantwortet spezifische Fragen zur Auslegung des Europäischen Rechts, wie beispielsweise der DSGVO.

Die Vorlage an den EuGH

Der EuGH hat ausschließlich zu den spezifischen Fragen des vorlegenden Gerichts Stellung genommen, und die Antworten des EuGH sind für das OLG Düsseldorf bindend, wenn es seine eigene Entscheidung in der Sache trifft. Letztendlich liegt die endgültige Entscheidung in der Zuständigkeit des OLG Düsseldorf.

Das Urteil hat auch erhebliche Auswirkungen auf zukünftige Bewertungen im Bereich des Datenschutzes. Die Tatsache, dass ein soziales Netzwerk kostenlos ist, bedeutet nicht automatisch, dass die Daten des Nutzers ohne dessen Einwilligung zur Personalisierung von Werbung verarbeitet werden können. Daher kann das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO keine rechtliche Grundlage dafür sein. Jedoch hat der EuGH wiederholt betont, dass Marketing weiterhin auf das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, sofern die Nutzungsbedingungen von Meta transparent und für den Nutzer verständlich geändert werden. Somit wird auch in Zukunft Werbung ohne Einwilligung möglich sein.

Das Urteil scheint auch eine bisher ungeklärte Frage zu beantworten, nämlich ob alternative Rechtsgrundlagen aus Art. 6 Abs. 1 lit. b-f DSGVO überhaupt herangezogen werden können, wenn eine zuvor erteilte Einwilligung als rechtswidrig erachtet wird. Der EuGH betont jedoch, dass solche alternativen Rechtsgrundlagen in solchen Fällen eng auszulegen sind.

BfDI Professor Ulrich Kelber äußerte sich dazu wie folgt: “Ich bin erfreut darüber, dass der EuGH anerkennt, wie wichtig die Einhaltung von Datenschutzanforderungen für den Wettbewerb ist und dass Kartellbehörden befugt sind, die Vereinbarkeit des Verhaltens von Unternehmen mit dem Datenschutzrecht zu überprüfen. Mein Glückwunsch geht an das Bundeskartellamt für diesen Erfolg.”

Zusammenarbeit zwischen Datenschutz- und Kartellbehörden

Der EuGH klärte auch, dass Verstöße gegen die DSGVO vorrangig von Datenschutzaufsichtsbehörden festgestellt werden sollten. Das bedeutet, dass das Bundeskartellamt die zuständigen Datenschutzaufsichtsbehörden in datenschutzrechtliche Fragen einbeziehen muss, bevor es eigene Entscheidungen trifft.

Hierzu kommentierte der BfDI: “Kartell- und Datenschutzaufsichtsbehörden können datengetriebene Geschäftsmodelle nur erfolgreich regulieren, wenn sie eng zusammenarbeiten. Das bestätigt die Praxis in Deutschland, wo Bundeskartellamt und der Bundesdatenschutzbeauftragte entsprechend kooperieren. Gemeinsam mit unseren europäischen Kolleginnen und Kollegen werde ich die Entscheidung in der Task Force des Europäischen Datenschutzausschusses zum Zusammenspiel von Datenschutz, Wettbewerb und Verbraucherschutz auswerten und Best Practices für eine effiziente Zusammenarbeit festlegen, damit Bürgerinnen und Bürger besser vor rechtswidrigen und missbräuchlichen Datenverarbeitungen geschützt werden. Die Erfahrungen der Zusammenarbeit in Deutschland sind dafür eine gute Grundlage.”

Fazit

Zusammenfassend lässt sich festhalten, dass Onlinemarketing auch in Zukunft weiterhin möglich sein wird. Obwohl diese Entscheidung sich speziell auf den Einzelfall Meta konzentriert hat, enthält sie dennoch neue und wertvolle Erkenntnisse, die auch für die Bewertung anderer Social Media Dienste relevant sein könnten, die keine marktbeherrschende Position innehaben und weniger Daten sammeln oder andere Techniken verwenden.

DSK zu Diensten zur Einwilligungsverwaltung

31. Juli 2023

Die Datenschutzkonferenz (DSK) veröffentlichte Anfang dieses Monats eine Stellungnahme zum Referentenentwurf zur Verordnung über Dienste zur Einwilligungsverwaltung des Bundesministeriums für Digitales und Verkehr (BMDV). Der Entwurf behandelt die konkrete Umsetzung des § 26 Abs. 2 TTDSG. Dieser sieht vor, dass der Bund eine Rechtsverordnung erlassen darf, in der die Funktionen von Diensten zur Einwilligungsverwaltung und ihre Anerkennung durch eine zuständige unabhängige Stelle geregelt wird.

Künftig keine Cookie-Banner mehr?

Für Telekommunikationsanbieter sieht § 25 Abs. 1 TTDSG vor, eine Einwilligung von den Nutzern einzuholen, sie sie ihre Informationen im Endgerät speichern oder auslesen. Ausnahme dazu bildet § 25 Abs. 2 TTDSG, nach dem bei erforderlichen Technologien keine Einwilligung für das Speichern oder Auslesen notwendig ist. Dies ist Grund, weshalb beim Besuch einer Webseite der Nutzer jedes Mal seine Einwilligung für die Verwendung von Cookies abgeben muss (zu den Regelungen des TTDSG berichteten wir – hier -). Um die Anwendung von Cookies und insbesondere die Abgabe der Einwilligung zu vereinfachen, sieht das TTDSG die Einrichtung sog. Dienste zur Einwilligungsverwaltung vor. Mit Hilfe der Dienste können Nutzer ihre Einwilligungspräferenzen einmal festlegen. Diese übermitteln die Einwilligung dann weiter an Webseitenbetreiber, sodass nach dem Entwurf das erklärte Ziel ist, dass kein Cookie-Banner mehr verwendet werden, müssen. Dies kann dazu beitragen, dass Nutzer Cookie-Banner nicht ungelesen „wegklicken“ und damit eine uninformierte Einwilligung abgeben.

Reaktion der DSK

Aus Sicht der DSK sei es allerdings nicht möglich keine Cookie-Banner einzusetzen. Aus Sicht der DSK seien Cookie-Banner regelmäßig so gestaltet, dass nicht nur eine Einwilligung nach § 26 TTDSG eingeholt werden. Der Banner diene auch dazu eine Einwilligung nach art. 6 Abs. 1 lit. A Datenschutz-Grundverordnung (DSGVO) und nach § 9 Abs. 1 lit. a) DSGVO einzuholen. Für diese beiden von § 25 TTDSG zu unterscheidenden Rechtsgrundlagen bietet § 26 TTDSG gerade keine Rechtsgrundlage. Die Einwilligungen nach der DSGVO dienten anderen Zwecken.

Unabhängig von der Frage nach weiterhin erforderlichen Einwilligungen, enthalte der Entwurf, so die DSK, nicht die Möglichkeit, dass Nutzer einmal gegenüber dem Dienst eine Einwilligung abgeben und anschließend jede Webseite ohne Aufzeigen eines Cookie-Banners frei zugänglich sei. Stattdessen müsse der Nutzer bei jedem erstmaligen Besuch einer jeden Webseite eine Einwilligung abgeben. Diese könne anschließend über den Dienst gespeichert werden, sodass der Nutzer die Einwilligung nur einmal abgeben müsse.

Fazit

Nach dem jetzigen Stand ist mit dem neuen Entwurf ein Abrücken von Cookie-Bannern nicht denkbar. Für die Nutzer wie auch für Unternehmen bleiben Cookies ein wichtiges Thema, dessen Umsetzung in der Praxis künftig eine Erleichterung finden kann. Derzeit bieten viele Webseiten bereits verschiedene Möglichkeiten zur individuellen Cookie-Verwaltung.

Fotos im Internet veröffentlichen: Was ist zu beachten?

10. Juli 2023

Unternehmen nutzen die Veröffentlichung von Fotos und Videos im Internet aus verschiedenen Gründen. Datenschutzrechtliche Aspekte werden relevant, sobald Personen auf den Aufnahmen erkennbar sind, beispielsweise in Marketingvideos, bei der Mitarbeitergewinnung oder in Erklärungs- und Anleitungsvideos für Produkte. Diese Veröffentlichungen können sowohl auf Websites als auch über soziale Medien oder in Apps erfolgen.

Einwilligung als Rechtsgrundlage unsicher

Ein häufig gewählter Ansatz zur rechtlichen Absicherung ist die Einholung einer Einwilligung von den abgebildeten Personen. Solange diese Einwilligung freiwillig erfolgt und die betreffenden Personen angemessen über die Art und Weise der Veröffentlichung informiert werden, ist dies rechtlich akzeptabel. Allerdings hat die Verwendung von Einwilligungen als Rechtsgrundlage einen entscheidenden Nachteil: Einwilligungen können jederzeit und ohne Angabe von Gründen widerrufen werden.

Im Falle eines solchen Widerrufs muss die Veröffentlichung unverzüglich beendet werden. Die betroffene Person muss aus den Aufnahmen entfernt oder unkenntlich gemacht werden. Für Unternehmen kann dies sehr unangenehm sein, insbesondere wenn hohe Produktionskosten für die Aufnahmen angefallen sind oder die Veröffentlichung der Aufnahmen von großer Bedeutung ist.

Datenschutzrechtliche Einordnung

Die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO dient als rechtliche Grundlage für die Verarbeitung personenbezogener Daten. Allerdings ist gemäß Art. 7 Abs. 3 Satz 1 DSGVO eine solche Einwilligung frei widerruflich. Kommentare zur DSGVO stellen klar, dass Einschränkungen des Widerrufsrechts nicht zulässig sind. Folglich entfällt ab dem Zeitpunkt des Widerrufs die rechtliche Grundlage für die Veröffentlichung von Aufnahmen der widerrufenden Person. Bis zum Zeitpunkt des Widerrufs bleibt die Verwendung der Aufnahmen rechtmäßig, danach dürfen sie nicht mehr verwendet werden. Argumente wie hohe Produktionskosten, unverhältnismäßige Rechtsfolgen oder sonstige negative Auswirkungen auf das Unternehmen können nicht als Grund für die Aufrechterhaltung der Veröffentlichung angeführt werden.

Vor Inkrafttreten der DSGVO wurde für die Veröffentlichung von Aufnahmen das Kunsturheberrechtsgesetz herangezogen, insbesondere § 22 KunstUrhG, der die Einwilligung regelt. In der Rechtsprechung wurde anerkannt, dass diese Einwilligung nur bei Vorliegen eines wichtigen Grundes widerrufen werden konnte.

Das Verhältnis zwischen dem Kunsturheberrechtsgesetz und der DSGVO ist nach wie vor umstritten. Jedoch kann mit Gewissheit gesagt werden, dass die DSGVO und ihre Bestimmungen zur Einwilligung und ihrem Widerruf Vorrang haben. Das bedeutet, dass nun kein wichtiger Grund mehr für einen Widerruf erforderlich ist, da die DSGVO eine solche Einschränkung nicht vorsieht.

Alternative zur Einwilligung

Unternehmen können die rechtlich ungünstige Situation bei der Verwendung von Fotos oder Videos vermeiden, indem sie mit den betroffenen Personen, wie Mitarbeitenden oder Testimonials, sogenannte Modelverträge abschließen. In diesem Fall dient der Modelvertrag als rechtliche Grundlage für die Verwendung der Aufnahmen (gemäß Art. 6 Abs. 1 lit. b DSGVO) und nicht eine Einwilligung. Der entscheidende Unterschied besteht darin, dass ein Vertrag nicht einfach widerrufen werden kann, im Gegensatz zu einer Einwilligung. Ein Modelvertrag gibt dem Nutzer der Aufnahmen die Gewissheit, dass es keinen Widerruf geben kann.

Es ist jedoch wichtig zu beachten, dass im Modelvertrag den betroffenen Personen eine Gegenleistung für die Einräumung der Verwendungsrechte an den Aufnahmen gewährt wird. Diese Gegenleistung besteht oft in Form einer Geldzahlung. Die Höhe der Gegenleistung sollte in angemessenem Verhältnis zu den eingeräumten Verwendungsrechten stehen, insbesondere bei umfangreichen und weitreichenden Veröffentlichungen sollte die Gegenleistung entsprechend höher ausfallen.

Fazit

Bei Foto- und Videoaufnahmen, bei denen ein Widerruf einer Einwilligung besonders unerwünscht wäre, beispielsweise im Rahmen einer Werbekampagne, sollten Unternehmen besser auf Modelverträge anstelle von Einwilligungen setzen. Fotos von Weihnachtsfeiern, Betriebsausflügen, Firmenläufen oder ähnlichen Veranstaltungen können natürlich weiterhin mit Einwilligung der Personen veröffentlicht werden, beispielsweise im Intranet, da ein Widerruf in der Regel keine größeren Auswirkungen hätte.

Kategorien: DSGVO · Online-Datenschutz
Schlagwörter: ,

Landesdatenschutzbehörde hört OpenAI an

21. Juni 2023

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) gab das Anhörungsschreiben frei, das an das US-amerikanische Unternehmen OpenAI gerichtet war. In dem Schreiben wird ein Fragenkatalog aufgeführt, bei dem lediglich die Namen der Ansprechpartner anonymisiert wurden. Im April 2023 haben die deutschen Landesdatenschutzbehörden ein Verwaltungsverfahren gegen das Unternehmen OpenAI eingeleitet. OpenAI hatte im November 2022 den KI-Chatbot ChatGPT der Öffentlichkeit vorgestellt. Die Datenschutzbehörden möchten prüfen, ob die Algorithmen der KI-Software den Anforderungen der europäischen Datenschutzregeln gemäß der Datenschutzgrundverordnung (DSGVO) entsprechen.

Die Fragen des ULD an OpenAI

Über 40 rechtsrelevante Fragen wurden im Rahmen der Anhörung gestellt. Diese Fragen beziehen sich auf ChatGPT und die zugehörigen Sprachmodelle GPT bis GPT-4. Die Behörden gehen davon aus, dass ChatGPT personenbezogene Daten automatisiert verarbeitet, um Antworten zu generieren. Um diese Annahme zu überprüfen, wurde OpenAI gebeten, rund 40 Fragen zu beantworten. Die schleswig-holsteinische Datenschutzbeauftragte Marit Hansen erklärt, dass der Fragebogen die wesentlichen Datenschutzfragen umfasst. Dabei geht es um Grundsätze der Datenverarbeitung, Rechtmäßigkeit, die Rechte der betroffenen Personen sowie die Gestaltung im Bereich Datenschutz und Sicherheit.

Die Datenschützer möchten beispielsweise wissen, wie OpenAI die Richtigkeit der verwendeten Daten sicherstellen wird, insbesondere wenn Betroffene Berichtigungen oder Löschungen fordern. Auch interessiert sie, aus welchen Quellen die verarbeiteten Daten stammen, die zur Schulung der Sprachmodelle verwendet werden. OpenAI wird gebeten, die entsprechenden Rechtsgrundlagen zu erläutern. Es ist unklar, ob das Unternehmen erhobene personenbezogene Daten vor dem KI-Training pseudonymisiert, anonymisiert oder anderweitig aufbereitet.

Zusätzlich soll OpenAI klären, ob eine Profilbildung der Nutzerinnen und Nutzer durch Tracking erfolgt. Falls dies der Fall ist, wird das Unternehmen gebeten, den Zweck der Profilbildung zu erläutern: Dient sie Werbezwecken oder dem Training von Methoden des maschinellen Lernens? Kann man Nutzungsdaten auch wieder löschen? In der Datenschutzerklärung von OpenAI wird erwähnt, dass Nutzungsdaten erhoben werden und es ist die Rede von “verschiedenen Online-Analytics-Produkten”. Hier soll genauer erläutert werden, was damit gemeint ist.

Des Weiteren wird OpenAI aufgefordert, eine Datenschutzfolgenabschätzung vorzulegen. Falls eine solche Abschätzung nicht durchgeführt wurde, soll das Unternehmen dies begründen. Es bestehen auch offene Fragen zum besonderen Schutz von Kindern und Jugendlichen, zum Datentransfer und schließlich zur möglichen Nutzung durch andere Dienste oder Unternehmen.

OpenAI möchte längere Frist

OpenAI hat seine Kooperationsbereitschaft gezeigt und zugesagt, die Fragen des ULD zu beantworten. Die sechswöchige Frist zur Beantwortung endete am 7. Juni 2023. Allerdings hat OpenAI bereits erfolgreich eine Verlängerung der Frist beantragt. Das ULD gab bekannt, dass der aktuelle Stand des Verfahrens auf der Webseite zu ChatGPT dokumentiert werden soll. Die Veröffentlichung der Antworten von OpenAI L.L.C. erfolgt möglicherweise nicht unmittelbar, da sie sensible Informationen wie Betriebsgeheimnisse enthalten könnten, erklärt Hansen. Sie betont, dass es sich um ein laufendes, nicht öffentliches Verfahren handelt.

Da OpenAI keine Niederlassung in der Europäischen Union hat, sind die europäischen Datenschutzaufsichtsbehörden in ihren jeweiligen Mitgliedstaaten für das Unternehmen zuständig. Im Gegensatz dazu haben Google und Microsoft eine zentrale Niederlassung in Irland, weshalb die irische Datenschutzaufsicht für sie zuständig ist. In Bezug auf die Durchsetzung der DSGVO zeigte sich die irische Aufsichtsbehörde in den vergangenen Jahren mehrfach sehr zögerlich.

Zusammenarbeit im Bereich der KI-Regulierung nötig

Die Datenschutzbehörde in Italien hob Ende April ein zuvor verhängtes Verbot gegen ChatGPT auf, das seit Ende März in Kraft war. OpenAI hatte der Behörde Maßnahmen vorgelegt, mit denen eine verbesserte Datenschutzpraxis gewährleistet werden sollte. Dennoch plant der italienische Datenschutzbeauftragte, seine Ermittlungen fortzusetzen.

“Angesichts der großen Bedeutung führen nun mehrere Landesdatenschutzbehörden Prüfungen des ChatGPT-Dienstes durch”, erklärt Hansen. Das ULD folgt dabei dem Landesverwaltungsgesetz Schleswig-Holstein, während in den anderen Bundesländern ähnliche Regelungen gelten. Die Datenschutzexpertin weist den Vorwurf zurück, dass keine einheitliche Stimme vorhanden sei. Im Gegenteil, über die Datenschutzkonferenz von Bund und Ländern und ihre Taskforce KI wurden die Fragen abgestimmt. “Wir handeln zwar getrennt und basierend auf unserem eigenen Verwaltungsrecht, sind uns jedoch in der Sache einig”, betont sie. Dies verringere auch den Aufwand für OpenAI.

Dennoch beschränkt sich die Anhörung nicht nur auf diese Maßnahme. “Im Bereich KI benötigen wir nicht nur den Schulterschluss mit den europäischen Datenschutzaufsichtsbehörden, sondern es wird auch notwendig sein, uns mit Aufsichtsbehörden und Experten in anderen Rechtsbereichen wie Jugendschutz, Antidiskriminierung, Informationssicherheit, Medienaufsicht, Urheberrecht oder Kartellrecht auszutauschen”, betont Marit Hansen.

Erster Entwurf der KI-Verordnung im EU-Parlament vorgelegt

14. Juni 2023

Die EU strebt mit ihrer KI-Verordnung erstmals an, einen rechtlichen Rahmen für die Entwicklung und Nutzung von Künstlicher Intelligenz zu etablieren. Heute steht die lang erkämpfte Vorlage zur Abstimmung im Parlament.

Die europäische KI-Verordnung stellt den weltweit ersten Versuch dar, ein umfassendes Gesetz zur Regulierung von Künstlicher Intelligenz zu schaffen. Damit geht die EU als Vorreiter voran. Die EU-Kommission hofft, dass dieses Gesetz ähnlich wie die Datenschutzverordnung international Nachahmer finden wird. Jedoch war es für die Gesetzgeber in Brüssel eine Herausforderung, die Verordnung in ausgewogener Form zu verfassen. Die relevanten Ausschüsse im EU-Parlament haben 18 Monate lang um eine Position zu dem Vorschlag der EU-Kommission gerungen.

Klassifizierung der KI

Die Verordnung sieht vor, dass Künstliche Intelligenz je nach den damit verbundenen Risiken in verschiedene Kategorien eingestuft wird, darunter risikoarm, begrenzt riskant, riskant und verboten. Jegliche Form von Künstlicher Intelligenz, die Menschen unterdrücken kann, soll vollständig verboten werden. Hierzu gehören beispielsweise “Social Scoring”-Systeme, die das Verhalten von Menschen bewerten, die automatisierte Erkennung von Emotionen bei Verhören von Verdächtigen sowie eine umfassende Überwachung der Öffentlichkeit mittels biometrischer Echtzeitdaten.

Gemäß dem derzeitigen Entwurf darf jedoch auf Anordnung eines Richters im Nachhinein auf die Daten zugegriffen werden, sofern es sich um schwere Straftaten handelt.

Risikobasierter Ansatz maßgebend

Die Bestimmungen basieren auf einem risikobasierten Ansatz und legen Verpflichtungen für Anbieter und Nutzer fest, die sich nach dem potenziellen Risiko richten, das von KI-Systemen ausgeht. KI-Systeme, die ein unakzeptables Sicherheitsrisiko für Menschen darstellen, wären strikt untersagt. Dazu zählen Systeme, die unterschwellige oder absichtlich manipulative Techniken einsetzen, die die Schwächen von Menschen ausnutzen oder für Social Scoring verwendet werden, bei dem Menschen aufgrund ihres sozialen Verhaltens, ihres sozioökonomischen Status oder persönlicher Merkmale klassifiziert werden.

Die Abgeordneten haben die Liste der Verbote für aufdringliche und diskriminierende Anwendungen von KI-Systemen erheblich überarbeitet. Dazu gehören:

  • Biometrische Erkennungssysteme in Echtzeit in öffentlich zugänglichen Räumen.
  • Biometrische Erkennungssysteme im Nachhinein, mit Ausnahme von Strafverfolgungsbehörden zur Verfolgung schwerer Straftaten und nur mit richterlicher Genehmigung.
  • Biometrische Kategorisierungssysteme, die sensible Merkmale wie Geschlecht, Rasse, ethnische Zugehörigkeit, Staatsangehörigkeit, Religion und politische Orientierung verwenden.
  • Prädiktive Polizeisysteme, die auf Profilerstellung, Standort oder früherem kriminellen Verhalten basieren.
  • Systeme zur Erkennung von Emotionen bei der Strafverfolgung, beim Grenzschutz, am Arbeitsplatz und in Bildungseinrichtungen.
  • Unbefugtes Auslesen biometrischer Daten aus sozialen Medien oder Videoüberwachungsaufnahmen zur Erstellung von Gesichtserkennungsdatenbanken, was Menschenrechte und das Recht auf Privatsphäre verletzt.

Transparenzmaßnahmen

Die Abgeordneten haben Anforderungen für Anbieter von Foundation-Modellen, einem aufstrebenden Bereich der KI, eingeführt. Diese Anforderungen zielen darauf ab, einen soliden Schutz der Grundrechte, Gesundheit, Sicherheit, Umwelt, Demokratie und Rechtsstaatlichkeit sicherzustellen. Die Anbieter sind verpflichtet, Risiken zu bewerten und zu mindern, Vorschriften zur Auslegung, Information und Umwelt einzuhalten sowie sich in der EU-Datenbank zu registrieren.

Generative Foundation-Modelle wie GPT müssen zusätzliche Transparenzanforderungen erfüllen. Es ist beispielsweise erforderlich, offen zu legen, dass die Inhalte von KI generiert wurden. Diese Modelle müssen auch so entwickelt sein, dass sie keine illegalen Inhalte generieren und keine Zusammenfassungen urheberrechtlich geschützter Daten veröffentlichen.

ChatGPT bliebe erlaubt

Neben der verbotenen KI wird es weitere Kategorien von Künstlicher Intelligenz geben. Hochrisikobehaftete, mäßig riskante und niedrig riskante Anwendungen wie beispielsweise KI-betriebene Spielzeuge sollen grundsätzlich erlaubt sein. Dies gilt auch für generative KI wie den Chatbot ChatGPT, der eigenständig Artikel verfassen kann, basierend auf im Internet gesammelten Informationen. Jedoch gelten für diese Anwendungen bestimmte Prinzipien: Je riskanter die KI ist, desto strenger sind die Anforderungen. Hersteller müssen die Risiken ihrer Produkte bewerten und bestimmte Standards für Trainingsdaten erfüllen. Die Überwachung dieser Vorgaben obliegt den Prüfbehörden.

Die Verordnung zielt auch darauf ab sicherzustellen, dass Künstliche Intelligenz nicht auf verzerrte Datensätze zurückgreift und somit keine Diskriminierung von Personen erfolgt. Zum Beispiel darf KI bei der Kreditwürdigkeitsprüfung oder bei der Personalakquise nicht diskriminierend wirken.

Spannungsfeld zwischen Innovationsförderung und Rechtschutz der Bürger

Um die Förderung von KI-Innovation zu unterstützen, haben die Abgeordneten Ausnahmen für Forschungstätigkeiten und KI-Komponenten unter Open-Source-Lizenzen in die Vorschriften integriert. Das neue Gesetz legt Wert auf die Schaffung von Reallaboren (regulatory sandboxes) oder kontrollierten Umgebungen, die von öffentlichen Behörden etabliert werden, um KI vor ihrer Implementierung zu testen.

Die Abgeordneten beabsichtigen, das Recht der Bürgerinnen und Bürger zu stärken, Beschwerden über KI-Systeme einzureichen und Erklärungen zu erhalten, die auf risikoreichen KI-Systemen basieren und ihre Rechte erheblich beeinträchtigen. Zudem haben sie die Rolle des EU-Amtes für künstliche Intelligenz neu definiert, das für die Überwachung der Umsetzung des KI-Regelwerks zuständig sein soll.

Bedenken und Erwartungen an das KI-Gesetz

Die Erwartungen an das europäische KI-Gesetz sind hoch, genauso wie die Bedenken. Sam Altman, CEO des Unternehmens OpenAI, das ChatGPT entwickelt hat, hat vor existenziellen Gefahren bei unregulierter KI gewarnt. Kleine Entwickler haben hingegen Bedenken, dass sie die umfangreichen Dokumentationsanforderungen nicht erfüllen können. Bürgerrechtler hoffen, dass das KI-Gesetz keine Diskriminierung und Benachteiligung weiter vorantreibt.

Nach der Abstimmung im Parlament können anschließend Verhandlungen mit den EU-Mitgliedsstaaten beginnen. Besonders die Regeln für den Einsatz von Künstlicher Intelligenz in der Strafverfolgung dürften für Kontroversen sorgen.

Wenn eine Einigung vor den Europawahlen im kommenden Jahr erzielt wird, könnte die KI-Verordnung voraussichtlich im Jahr 2026 in Kraft treten. Bis dahin wird sich die Künstliche Intelligenz weiterentwickeln. Es ist absehbar, dass in der Europäischen Union weitere KI-Regulierungen folgen werden.

BlnBDI verhängt Bußgeld wegen mangelnder Transparenz bei automatisiertem Kreditverfahren

13. Juni 2023

Die Berliner Datenschutz- und Informationsfreiheitsbeauftragte (BlnBDI) hat eine Bank mit einer Geldstrafe von 300.000 Euro belegt, da sie intransparent in Bezug auf eine automatisierte Einzelentscheidung gehandelt hat. Die Bank verweigerte einem Kunden verständliche Informationen über die Gründe für die automatisierte Ablehnung seines Kreditkartenantrags. Das Unternehmen hat eng mit der BlnBDI zusammengearbeitet und den Bußgeldbescheid akzeptiert.

Eine automatisierte Entscheidung ist eine Entscheidung, die ausschließlich von einem IT-System auf Basis von Algorithmen und ohne menschliches Eingreifen getroffen wird. Gemäß der Datenschutz-Grundverordnung (DSGVO) gelten in solchen Fällen spezielle Transparenzpflichten. Personenbezogene Daten müssen in einer für die betroffenen Personen nachvollziehbaren Weise verarbeitet werden. Betroffene Personen haben das Recht, eine Erläuterung der getroffenen Entscheidung nach einer entsprechenden Bewertung zu erhalten. Wenn betroffene Personen eine Auskunft bei den Verantwortlichen beantragen, müssen diesen aussagekräftige Informationen über die involvierte Logik hinter der automatisierten Entscheidung zur Verfügung gestellt werden.

Der Sachverhalt

In diesem spezifischen Fall hat die Bank bei ihrem digitalen Kreditkartenantrag diese Vorgaben jedoch nicht beachtet. Durch ein Online-Formular forderte die Bank verschiedene Informationen über das Einkommen, den Beruf und die persönlichen Daten des Antragstellers an. Basierend auf den abgefragten Informationen und zusätzlichen Daten aus externen Quellen lehnte der Algorithmus der Bank den Antrag des Kunden ohne eine explizite Begründung ab. Der Algorithmus stützte sich dabei auf zuvor von der Bank festgelegte Kriterien und Regeln.

Aufgrund eines guten Schufa-Scores und eines regelmäßig hohen Einkommens des Kunden wurden Zweifel an der automatisierten Ablehnung laut. Obwohl der Kunde die Bank um detaillierte Informationen zum Scoring-Verfahren bat, erhielt er lediglich allgemeine und allgemeingültige Aussagen. Die Bank weigerte sich jedoch, ihm mitzuteilen, warum sie in seinem Fall von einer schlechten Bonität ausging. Der Beschwerdeführer konnte daher nicht nachvollziehen, welche Daten und Faktoren der Ablehnung zugrunde lagen und aufgrund welcher Kriterien sein Kreditkartenantrag abgelehnt wurde. Ohne diese spezifische Begründung war es ihm nicht möglich, die automatisierte Einzelentscheidung angemessen anzufechten. Infolgedessen beschwerte er sich bei der Datenschutzbeauftragten.

Nachvollziehbarkeit ausschlaggebend

Meike Kamp, die Berliner Beauftragte für Datenschutz und Informationsfreiheit, äußerte sich wie folgt: “Wenn Unternehmen automatisierte Entscheidungen treffen, müssen sie diese überzeugend und nachvollziehbar begründen. Die Betroffenen müssen in der Lage sein, die automatisierte Entscheidung nachzuvollziehen. Die Tatsache, dass die Bank in diesem Fall selbst auf Anfrage nicht transparent und nachvollziehbar über die automatisierte Ablehnung informiert hat, führt zu einer Geldstrafe. Eine Bank ist verpflichtet, die Kund:innen über die maßgeblichen Gründe für die Ablehnung eines Kreditkartenantrags im Zusammenhang mit automatisierten Entscheidungen zu informieren. Dies umfasst konkrete Informationen zur Datenbasis, den Entscheidungsfaktoren und den Kriterien für die Ablehnung in Einzelfällen.”

Die Datenschutzbeauftragte stellte fest, dass die Bank in diesem konkreten Fall gegen Art. 22 III, Art. 5 I lit. a und Art. 15 I DSGVO verstoßen hat. Bei der Festlegung der Höhe des Bußgeldes berücksichtigte die BlnBDI insbesondere den hohen Umsatz der Bank sowie die absichtliche Ausgestaltung des Antragsprozesses und der Informationserteilung. Als mildernden Umstand bewertet wurde unter anderem, dass das Unternehmen den Verstoß eingeräumt hat, bereits Änderungen an den Prozessen umgesetzt hat und weitere Verbesserungen angekündigt hat.

 

Rekord-Bußgeld gegen Meta

23. Mai 2023

Meta, der Mutterkonzern von Facebook, hat erneut eine Rekordstrafe in Höhe von 1,2 Milliarden Euro aufgrund eines Verstoßes gegen die europäische Datenschutzgrundverordnung (DSGVO) erhalten. Die irische Datenschutzbehörde DPC verkündete diese Strafe in Dublin. Das Verfahren betrifft die Beteiligung von Facebook an der Massenüberwachung durch angloamerikanische Geheimdienste, die vor zehn Jahren von Edward Snowden, einem US-Whistleblower, aufgedeckt wurde. Max Schrems, ein Datenschutz-Aktivist aus Österreich, reichte damals eine Beschwerde gegen Facebook ein.

Verfahren kann sich in die Länge ziehen

Das von der DPC verhängte Bußgeld übertrifft die bisherige Rekordstrafe von 746 Millionen Euro, die gegen Amazon.com in Luxemburg verhängt wurde. Zudem ist Meta nun dazu verpflichtet, jede weitere Übermittlung europäischer personenbezogener Daten in die Vereinigten Staaten zu unterbinden, da das Unternehmen weiterhin den US-Überwachungsgesetzen unterliegt.

Meta hat bisher keine Stellungnahme zu der Rekordstrafe abgegeben. Experten gehen jedoch davon aus, dass der US-Konzern gegen die Entscheidung rechtliche Schritte einlegen wird. Die Gerichtsverfahren können sich jedoch über einen längeren Zeitraum erstrecken. In der Zwischenzeit könnte ein neuer Datenpakt zwischen der Europäischen Union und den USA in Kraft treten, um den transatlantischen Datenverkehr neu zu regeln. Meta hatte zuvor mehrfach damit gedroht, sich vollständig aus der EU zurückzuziehen, falls ein dauerhafter transatlantischer Datentransfer nicht möglich sein sollte.

Irische Datenschutzbehörde ging nicht gegen Meta vor

Schrems betonte, dass das verhängte Bußgeld deutlich höher hätte ausfallen können: “Die Höchststrafe liegt bei über vier Milliarden Euro. Und Meta hat über einen Zeitraum von zehn Jahren wissentlich gegen die DSGVO verstoßen, um Gewinne zu erzielen.” Schrems erklärte weiter, dass Meta nun wahrscheinlich seine Systeme grundlegend umstrukturieren müsse, wenn sich die US-Überwachungsgesetze nicht ändern.

Die irische Datenschutzbehörde DPC hatte sich jahrelang geweigert, gegen Facebook in dieser Angelegenheit vorzugehen. Schließlich wurde die DPC durch den Europäischen Datenschutzausschuss (EDSA) dazu verpflichtet, eine Strafe gegen das soziale Netzwerk zu verhängen. Der aktuelle Beschluss betrifft ausschließlich Facebook und nicht andere Dienste wie Instagram oder WhatsApp, die zum Meta-Konzern gehören. Bereits im Januar hatte die DPC Meta jedoch zu einer Strafe in Höhe von 390 Millionen Euro verurteilt, weil Facebook- und Instagram-Nutzer gezwungen wurden, personalisierter Werbung zuzustimmen.

Seit Inkrafttreten der Datenschutzgrundverordnung vor fünf Jahren wurden für Meta insgesamt Bußgelder in Höhe von vier Milliarden Euro verhängt. Meta ist nun sechsmal in der Liste der zehn höchsten Bußgelder vertreten, was zu einer Gesamtstrafe von 2,5 Milliarden Euro führt.

Übrigens: Das höchste Bußgeld in Deutschland betrug 35 Millionen Euro und wurde im Jahr 2020 von der Modekette H&M wegen einer unzureichenden Rechtsgrundlage für die Datenverarbeitung in ihrem Onlineshop gezahlt.

1 4 5 6 7 8 92