16. Juli 2018
Die Mitglieder der gesetzlichen Krankenversicherungen sollen zukünftig über ihr Smartphone oder Tablet auf ihre Patientendaten zugreifen können.
Der Gesundheitsminister Jens Spahn beabsichtigt bereits ab 2021 diese neue Zugriffsmöglichkeit einzuführen.
Laut FAZ will der Gesundheitsminister noch im Juli die erforderlichen Vorgaben gegenüber den betroffenen gesetzlichen Krankenversicherungen tätigen.
Das Ziel der neuen Zugriffsmöglichkeit soll darin bestehen für die Versicherten die Nutzungsfreundlichkeit zu erhöhen und eine weitere Zugriffsoption zu schaffen.
Mit Einführung der neuen Option soll speziell die Digitalisierung vorangetrieben werden.
Die Zugriffsmöglichkeit auf Patientendaten über das Smartphone oder Tablet bedeutet jedoch laut dem Gesundheitsminister nicht die letzte Erweiterung in diesem Bereich. Daneben sollen im Rahmen der elektronischen Patientenakte auch die bisherigen Zugänge und Authentifizierungsverfahren erweitert werden. Im Gespräch ist ein vergleichbarer Zugang wie beim Online-Banking über die Verwendung von TAN und PIN.
Immer mehr Hersteller bieten Haushaltsgeräte wie die elektrische Zahnbürste, Kühlschränke oder Staubsaugerroboter mit der Funktion, dass sich die Geräte mit dem WLAN verbinden, an. Vielen Nutzern ist nicht bewusst, dass diese Geräte ihr Verhalten „tracken“, dh. erheben, auswerten und an ihren Hersteller weiterleiten. So meldet die elektrische Zahnbürste wie lange und wie häufig sie in Gebrauch ist. In Kühlschränken werden Kameras installiert, die dokumentieren, welche Lebensmittel wie häufig gekauft werden und der Staubsaugerroboter kann Auskunft über die Dauer und Häufigkeit seiner Nutzung und teilweise über die Größe oder sogar Zuschnitt der Wohnung geben. Diese Daten benutzen die Hersteller vor allem für Marketingzwecke, um ihr Angebot an das Verhalten ihrer Kunden anzupassen.
Dieses Tracking ist datenschutzrechtlich mehr als bedenklich. Nach der DSGVO spricht einiges dafür, dass diese Datenverarbeitung nicht datenschutzkonform ist.
Zunächst könnte das heimliche und uferlose Tracking könnte gegen das Transparenzgebot aus Art. 5 Abs. 1 lit. a DSGVO verstoßen. Beim Kauf eines internetfähigen Haushaltsgeräts ist es für den Kunden nicht ersichtlich, ob und welche seiner Verhaltensdaten übermittelt werden. Als Teil der Informationspflichten, muss der Betroffene über die Datenverarbeitung in Kenntnis gesetzt werde.
Gegen die Rechtmäßigkeit dieser Datenverarbeitung und Übermittlung spricht außerdem, dass sie auf keine Rechtsgrundlage gestützt werden kann. Art. 6 Abs. 1 lit. a) DSGVO scheidet aus, weil keine vorherige Einwilligung beim Nutzer eingeholt wird.
Art. 6 Abs. 1 lit. b) DSGVO erlaubt eine Verarbeitung, wenn dies für die Erfüllung des Vertrages notwendig ist. Der Kaufvertrag braucht aber gerade keine solches Tracking um erfüllt zu werden. Insbesondere können alle Geräte für ihren bestimmungemäßen Gebrauch ohne diese Datenverarbeitung genutzt werde.
Nach Art. 6 Abs. 1 lit. f) DSGVO ist eine Verarbeitung erlaubt, wenn der Hersteller ein berechtigtes Interesse an der Erhebung und Auswertung der Kundendaten hat. Dieses Interesse ist als berechtig einzustufen, wenn die schutzwürdigen Interessen des Kunden an seiner Privatsphäre nicht überwiegen. Beim Gebrauch von Haushaltsgeräten zum Staubsaugen, Aufbewahren und Kühlen von Lebensmitteln und Zähneputzen ist die Privatsphäre des Nutzers aber gerade höher zu bewerten, als die wirtschaftlichen Interessen der Hersteller und damit schutzwürdig.
Abgesehen von der mangelnden Rechtsgrundlage, könnte das Tracking gegen das Kopplungsverbot aus Art. 7 Abs. 4 DSGVO verstoßen. Danach ist es verboten einen Vertragsabschluss von der Einwilligung in eine nicht für die Erfüllung notwendige Datenverarbeitung abhängig zu machen. In diesen Fällen ist die Einwilligung nicht mehr freiwillig erteilt worden und damit ungültig. Darüber hinaus trifft die Hersteller nach Art. 25 DSGVO die Pflicht datenschutzfreundliche Voreinstellungen bei Geräten zu treffen. Der Verstoß ist auch bußgeldbewehrt nach Art. 83 Abs. 4 lit. a) DSGVO.
Es lässt sich festhalten, dass das Tracking bei der Nutzung von internetfähigen Haushaltsgeräten nach der DSGVO problematisch ist. Es kann unter Umständen auf keine Rechtsgrundlage gestützt werden, verstößt gegen Datenschutzgrundsätze und ist bußgeldbewehrt.
13. Juli 2018
Der Europäische Gerichtshof (EuGH) hat auf ein Vorabentscheidungsersuchen aus Finnland am 10.07.2018 (Az.: C-25/17) entschieden, dasss die Zeugen Jehovas bei ihren Hausbesuchen die EU-Vorschriften hinsichtlich des Datenschutzes beachten müssen.
Wie wir bereits berichteten, hat das finnische Oberste Verwaltungsgericht den EuGH im Wege des Vorabentscheidungsverfahren um Klärung ersucht. Der finnische Datenschutzbeauftragte ist der Ansicht, dass es sich bei den Notizen der Zeugen Jehovas um eine Datenerhebung handelt, für die sowohl die einzelnen Mitglieder als auch die Gemeinschaft der Zeugen Jehovas als solche verantwortlich sind und die dem europäischen Datenschutzrecht unterfällt.
Dieser Ansicht wurde bereits von dem Generalanwalt, in seinem vorbereitenden, Schlussantrag, gefolgt. Diesem sind die Richter nun gefolgt: Die notierten Daten, wie etwa Name, Adresse und religiöse Orientierung unterfallen den EU-Vorschriften und sowohl die Mitglieder als auch die Gemeinschaft als solche sind verantwortlich für die Datenverarbeitung.
Der EuGH begründet die Entscheidung folgendermaßen: zunächst ist keine der normierten Ausnahmen einschlägig, was insbesondere damit zusammenhängt, dass es sich nicht um eine ausschließlich persönliche oder familiäre Tätigkeit handelt. Eine andere Sichtweise ergibt sich auch nicht daraus, dass die Verkündungstätigkeit unter Art. 10 Abs. 1 EU-Grundrechtecharta fällt, denn sie geht über die private Sphäre hinaus. Darüber hinaus wendet der EuGH einen weiten “Datei”-Begriff an, der nicht notwendigerweise ein Speichern im technischen Sinne vorsieht. Ausreichend ist, die strukturierte Sammlung personenbezogener Daten nach bestimmten Kriterien, damit sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind. Diese Voraussetzungen sah der EuGH als gegeben an.
Zu beachten ist, dass die Fragen sich auf die Datenschutzrichtlinie 95/46/EG bezogen, welche am 25.05.2018 von der Datenschutzgrundverordnung (DSGVO) abgelöst wurde. Nichts desto trotz ist davon auszugehen, dass dieses Urteil auch den Anforderungen der DSGVO genügt, denn die DSGVO ist in ihren Voraussetzungen strenger als die alte Richtlinie.
12. Juli 2018
In vielen Unternehmen werden unterschiedliche Formen im Umgang mit Smartphones praktiziert. Teilweise werden private Handys zu dienstlichen Zwecken verwendet oder dienstliche Handys auch privat genutzt. Aus datenschutzrechtlicher Sicht besteht insbesondere aufgrund verschiedener Messenger-Dienste, wie beispielsweise WhatsApp, ein Datenschutz-Problem.
Dennoch ist die Mischnutzung der Smartphones zu dienstlichen und privaten Zwecken bei vielen Unternehmen heute nicht mehr wegzudenken. Auch auf die Nutzung von Messenger-Diensten, insbesondere im privaten Bereich will keiner mehr verzichten.
Mit dem Herunterladen der App wird dem Messenger-Dienst ein Zugriff auf die im Handy gespeicherten Kontakte eingeräumt. Datenschutzrechtlich stellt das eine Übermittlung von personenbezogenen Daten dar, die einer Ermächtigungsgrundlage bedarf. In der Regel wird eine solche nicht vorliegen, da davon auszugehen ist, dass für die Übermittlung keine Einwilligung eingeholt wurde, kein Vertragsverhältnis und auch kein berechtigtes Interesse besteht. Damit ist die Übermittlung der personenbezogenen Daten rechtswidrig.
Für eine datenschutzkonforme Lösung dieses Problems sind folgende Lösungen denkbar:
• Die Trennung von Diensthandy und Privathandy. Das bedeutet, die Diensthandys dürfen ausschließlich dienstlich genutzt werden. Messenger-Dienste, die einen Zugriff auf die Kontaktdaten erhalten, dürfen auf diesen Diensthandys nicht installiert werden.
• Die Einholung von Einwilligungen der gespeicherten dienstlichen Kontaktpartner.
• Ein zentraler Verzeichnisdienst, durch den keine dienstlichen Kontakte auf den Smartphones mehr gespeichert werden, sondern der Mitarbeiter die Möglichkeit erhält, mithilfe einer App auf ein zentrales Verzeichnis zuzugreifen, in dem die dienstlichen Kontakte zentral verwaltet werden.
• Eine Containerlösung, durch die auf dem Smartphone ein abgegrenzter Bereich geschaffen wird, der nicht mit dem privat genutzten Bereich kommuniziert und keinerlei Daten mit diesem austauscht.
Um einen Messenger-Dienst dienstlich zu nutzen, verbleibt bisher als datenschutzkonforme Lösung aber einzig die Einholung von Einwilligungen. Die beiden letztgenannten Alternativen bieten ausschließlich eine Lösung dafür, Messenger-Dienste, auf einem auch zu dienstlichen Zwecken genutzten Handy, privat nutzen zu können.
11. Juli 2018
Die Regelungen der EU-Datenschutzgrundverordnung (DSGVO) gelten auch für Unternehmen außerhalb der Europäischen Union, wenn sie Daten von EU-Bürgern verarbeiten. Statt die 99 Artikel der DSGVO umzusetzen, haben einige US-Medien schlicht ihre Online-Präsenz für europäische Bürger gesperrt. So sind für Besucher mit europäischen IP-Adressen die Nachrichtenseiten der Baltimore Sun, Chicago Tribune, Los Angeles Times, New York Daily News und San Diego Union-Tribune geblockt. Alle genannten Seiten gehören zum Verleger Tronc, welcher bei einem Zugriff aus Europa verlautbaren lässt, man suche nach Möglichkeiten, die digitalen Angebote auf dem europäischen Raum anzubieten. Die Washington Post hat anlässlich der DSGVO ihr Geschäftsmodell erweitert und bietet eine “Premium EU Ad-Free Subscription” ohne Werbung und Third-Party-Cookies für Europäer an.
Die wirtschaftlichen Folgen mögen für genannten US-Journalismus gering sein, da sich wohl nur wenige Europäer für Lokalnachrichten aus den USA interessieren. Kleinere Firmen, Start-Ups oder Vereine aus dem EU-Ausland ringen aber mit der DSGVO. Bevor Bußgelder oder Abmahnungen zu befürchten sind, blocken einige Verantwortliche während der Arbeit an den DSGVO-Vorgaben ihre Internetseiten für Europäer.
Die DSGVO gilt unmittelbar, sobald personenbezogene Daten von EU-Bürgern verarbeitet werden. Ob Großkonzern oder Start-Up, die datenschutzrechtlichen Pflichten unterscheiden sich grundsätzlich nicht. Lediglich in Erwägungsgrund 13 der Verordnung werden kleine und mittlere Unternehmen (KMU) ausdrücklich erwähnt. So kann es Entlastungen hinsichtlich Verzeichnissen von Verarbeitungstätigkeiten für Unternehmen mit weniger als 250 Mitarbeitern geben. Doch selbst diese Entlastung birgt gewisse Rechtsrisiken, sodass in der Regel dieser Dokumentationspflicht zu genügen ist. Zusätzlich ruft Artikel 40 DSGVO Verbände und Behörden dazu auf, Verhaltensregeln mit Berücksichtung der Bedürfnisse von KMU anzufertigen. Das Bayerische Landesamt für Datenschutzaufsicht hat für KMU einen Fragebogen und Handreichungen veröffentlicht.
Es bleibt abzuwarten, welche Reaktionen die DSGVO noch auf im EU-Ausland ansässige Anbieter mit Datenverarbeitung von EU-Bürgern haben wird. Journalismus mit globaler Berichterstattung und europäischer Leserschaft wird jedenfalls kaum den Weg einiger US-Medien wählen können und wollen, die Internetpräsenz für Europäer zu sperren.
9. Juli 2018
Ab dem 09.07.18 bietet das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach eine Telefonhotline für Fragen zur neuen Datenschutzgrundverordnung an. Die Hotline soll Vereine und Ehrenamtliche bei der Umsetzung der Datenschutzgrundverordnung (DSGVO) unterstützen und somit Sanktionen vermeiden. Können einzelne Fragen über das Telefon nicht beantwortet werden, gibt es zusätzlich auch einen E-Mail-Kontakt. Außerdem will die Datenschutzbehörde die meist gestellten Fragen inklusive Antworten auf ihrer Homepage veröffentlichen.
In der Zeit von Montag bis Freitag, von 08.00 bis 19.00 Uhr, sind fachkundige Mitarbeiter des Landesamts unter der Telefonnummer 0981/531810 erreichbar.
Hintergrund für die Einrichtung der Hotline ist, dass viele Vereine und ehrenamtlich Tätige wegen des neuen europäischen Datenschutzrechts stark verunsichert sind. Zuletzt wurden in Bayern sogar pauschale Fotografier-Verbote für Veranstaltungen von Schulen und Kinderkrippen ausgesprochen. Dabei sind Fotografien für den Privatgebrauch von der DSGVO überhaupt nicht betroffen. Insbesondere wegen der hohen angedrohten Strafen, wollen sich jedoch viele unbedingt absichern.
Thomas Kranig, der Präsident des Bayerischen Landesamtes für Datenschutzaufsicht, erklärt: „Unser Ziel ist nach wie vor, diejenigen, die sich um die Einhaltung datenschutzrechtlicher Vorschriften bemühen, dabei zu unterstützen und nicht zu sanktionieren. Nur wer sich um den Datenschutz überhaupt nicht kümmert, muss auch mit Sanktionen rechnen.“
Der 23. Juli ist der Stichtag, ab dem Google mit der Version 68 des Webbrowsers Chrome unverschlüsselte Seiten ohne TLS-Zertifikat als nicht sicher markieren will. Eine entsprechende Warnung wird dann bei allen HTTP-Webseiten in der Adressleiste erscheinen.
Mit einem Anteil von 60% ist Chrome der Platzhirsch unter den Webbrowsern, sodass es Google mit dieser Maßnahme durchaus möglich ist, Web-Admins erheblich unter Druck zu setzen, ihre Webseiten auf HTTPS umzustellen. Das geplante Vorgehen von Google markiert daher einen weiteren Schritt in Richtung eines verschlüsselten Internets.
Die Zertifizierungsstelle “Let’s Encrypt” ermöglicht eine kostenlose und unkomplizierte Umstellung auf HTTPS. Lässt man sich ein entsprechendes TLS-Zertifikat ausstellen, so ist darauf zu achten, dass die aktuelle Version (TLS 1.2) zum Einsatz kommt. Ältere Versionen gelten als nicht sicher und könnten zukünftig sogar verboten werden.
Aber Vorsicht: Das Surfen über HTTPs bietet keinen allumfassenden Schutz. HTTPS stellt nur sicher, dass die Übermittlung von Nutzerdaten an eine Webseite verschlüsselt stattfindet. Einige Phishing-Webseiten setzen bewusst HTTPS ein, um vertrauenswürdig zu erscheinen und ihre Opfer in Sicherheit zu wiegen. Der Nutzer assoziiert mit HTTPS Sicherheit und Seriösität, sodass sich die Nutzung von HTTPS mittlerweile als attraktives Werkzeug entpuppt hat, um eine betrügerische Webseite so glaubhaft wie möglich erscheinen zu lassen.
6. Juli 2018
Forscher haben eine künstliche Intelligenz (KI) entwickelt, die die Umsetzung der DSGVO für die EU erleichtern soll. Die KI mit dem Namen Claudette entdeckt Verstöße gegen die DSGVO.
Für die Aufsichtsbehörden ist die Prüfung der Unternehmen hinsichtlich des eingehaltenen Datenschutzes mit einem enormen personellen und zeitintensiven Aufwand verbunden. Aus diesem Grund ist die KI Claudette eine enorme Unterstützung für die überforderten Aufsichtsbehörden.
Bei einem Testlauf durch die KI kamen bei 14 Technologiekonzernen eklatante Mängel im Datenschutz zum Vorschein.
In einer laut Bloomberg Technology durchgeführten Studie, die die KI auch bei Großkonzernen wie Facebook und Google eingesetzt haben, hat sich herausgestellt, dass rund ein Drittel der Policen potentiell problematisch seien oder unzureichende Informationen enthielten.
Auffällig war, dass die Information über die Übermittlung der Daten an Dritte in den meisten Fällen fehlte.
Um Datenschutzverstöße zu identifizieren, nutzt die KI Claudette eine Form von “Machine Learning”, das sogenannte “Natural Language Processing”. Dabei vergleicht sie die untersuchten Datenschutzbedingungen mit den Modelklauseln der DSGVO.
Ob Claudette in Zukunft großflächig zum Einsatz kommt, ist bisher nicht bekannt.
Seit Ende Juni werden branchenübergreifend 20 große sowie 30 mittelgroße Unternehmen durch die Landesbeauftragte für den Datenschutz Niedersachsen (LfD) hinsichtlich der Umsetzung der DSGVO überprüft.
Hierzu wurden den insgesamt 50 Unternehmen Fragebögen übermittelt, um den aktuellen Umsetzungsstand zu ermitteln. Hierdurch möchte sich die Aufsichtsbehörde einen Überblick darüber verschaffen, wie die Gesellschaften die zweijährige Übergangszeit bis zur Geltung der DSGVO am 25. Mai genutzt haben. Das primäre Ziel der Überprüfung liegt nach Aussage der LfD in der Stärkung des Bewusstseins sowie der Sensibilisierung für den Datenschutz. Die Verhängung etwaiger Bußgelder ist darüber hinaus möglich, sofern im Rahmen der Prüfung erhebliche Verstöße gegen die DSGVO festegstellt werden sollten.
Die versendeten Fragebögen gehen speziell auf die Punkte ein, die ein Datenschutzmanagementsystem nach der DSGVO enthalten muss. Hierzu werden die Vorbereitung auf die DSGVO, das Verzeichnis von Verarbeitungstätigkeiten, die Rechtsgrundlagen der Verarbeitung personenbezogener Daten, die Sicherstellung der Betroffenenrechte, die Gewährleistung der technisch und organisatorischen Maßnahmen, die Durchführung von Datenschutz-Folgeabschätzungen, der Abschluss notwendiger Auftragsverarbeitungsverträge, die Einbindung des Datenschutzbeauftragten in die Unternehmensorganisation, die Prozesse zur Meldung von Datenschutzvorfällen sowie die Dokumentation über die Einhaltung der notwendigen Umsetzungen genauer geprüft.
Durch die Prüfung erhofft sich die Aufsichtsbehörde weitergehende Erkenntnisse darüber, in welchen Bereichen erweiterter Beratungs- und Aufklärungsbedarf besteht. Mit Hilfe dieser Erkenntnisse können sodann etwaige neue Orientierungshilfen erarbeitet werden.
5. Juli 2018
In einer Studie zur Umsetzung der DSGVO kritisiert die norwegische Verbraucherschutzorganisation Forbrukerrådet insbesondere Facebook und Google. Beide Plattformen sollen gezielt eine Zustimmung bezüglich der Datenverarbeitung von ihren Nutzern abdrängen.
Die Verbraucherorganisation wollte durch die Studie mit dem bezeichnenden Titel „Deceived by design“ gegen Irreführungen von Verbrauchern vorgehen. Im Mittelpunkt stand die Art und Weise wie die Zustimmung von den Nutzern der Dienste eingeholt wird. Auffällig schlecht schnitten Google und Facebook ab, auffallend positiv dagegen Microsoft mit Windows 10. Die Organisation wirft Google und Facebook vor, dass durch bestimmte Taktiken die Nutzer gedrängt werden Voreinstellungen zu belassen. Diese Vorgehensweisen werden als „Dark Patterns“ bezeichnet.
Eine der Strategien ist es eine Zustimmung zur Datenverarbeitung sehr einfach zu gestalten (z.B. durch einen einzigen Klick auf einen klar hervorgehobenen Button) und eine Ablehnung möglichst kompliziert (öffnen neuer Dialogfenster ist erforderlich, man sich immer weiter durchklicken). Des Weiteren werden die Nutzer dadurch in die Irre geführt, dass beispielsweise beim Deaktivieren der automatischen Gesichtserkennung bei Facebook darauf hingewiesen wird, dass es ein Sicherheitsrisiko darstellt. Als Grund wird angegeben, dass die Plattform ihre Nutzer so nicht vor Identitätsdieben schützen könne. Darüber hinaus wurde der Eindruck erweckt, dass eine sofortige Zustimmung zur Datenverarbeitung notwendig ist, um die Dienste weiter nutzen zu können.
Aufgrund der Erfahrung und Größe von Facebook und Google gehen die Autoren der Studie davon aus, dass bestimmte Privatsphäre-Optionen gezielt kompliziert gemacht wurden. Die Verbraucherschutzorganisation hat in einem Brief die europäische Datenschutzbehörde aufgefordert genaue Nachforschungen bezüglich der Wirksamkeit der Zustimmung anzustellen.
Pages: 1 2 ... 143 144 145 146 147 ... 308 309 
