16. März 2015
Die Cloud ist Realität – rechtlich aber im Detail umstritten. Was also ist für die Zukunft in Hinblick auf Haftungsfragen zu beachten, wenn in absehbarer Zeit kaum praktische Alternativen zur Datenhaltung in der Cloud existieren und schon heute die Cloud wirtschaftlich betrachtet für viele konkurrenzlos günstig erscheint?
Immer wieder, so etwa auch auf den MS Cloud Events in diversen deutschen Städten im Herbst 2014, wird auf die datenschutzrechtliche Problematik der Internationalität der Cloud verwiesen. Jedenfalls in Bezug auf “sensitive Daten”, also z.B. Gesundheitsdaten, sei die Internationalität ein rechtliches Problem bei der Datenhaltung in der Cloud. Diese Problematik wird jedoch nicht einmal von allen Aufsichtsbehörden für Datenschutz so gesehen.
Mitunter unterschätzt hingegen wird der in der Natur der Cloud begründete rechtliche Kritikpunkt an der fehlenden Datenherrschaft des Cloudnutzers und an den fehlenden Kontrollmöglichkeiten gegenüber dem Cloud-Provider. Wo sind die Daten genau jetzt? Werden technisch erforderliche Vervielfältigungen, wie es das Gesetz erfordert, gelöscht? Kann sich der Cloudnutzer von der Datensicherheit bei seinem Provider höchstpersönlich ein Bild machen? Dieses Problemfeld ist klar zu benennen und wenig hilfreich erscheint es, wenn festgehalten wird, dass “klassische Datenschutz-Sichtweisen im Datenschutz in der Cloud nicht funktionieren”. Umgekehrt kommt man der Wahrheit näher: die der Cloud eigenen Funktionsweisen werden vom Gesetz, was die erwähnten Kontrollmöglichkeiten betrifft, jedenfalls in Europa bisher nicht anerkannt. Denn der Gesetzgeber verlangt nun einmal Kontrolle über den Dienstleister, dem man eigene oder fremde Daten anvertraut. Diese Kontrolle funktioniert nur mithilfe von Transparenz in Bezug auf wichtige Fragen: Wer kann auf die Daten aktuell zugreifen? Kann ich diese Punkte vom Cloudanbieter in Erfahrung bringen, wenn mein eigener Kunde dies von mir wissen möchte? Kurz: Bin ich noch Herr der Daten? Kann ich die für die Daten übernommene Verantwortung überhaupt noch übernehmen oder scheitere ich an der faktischen Macht des Cloudanbieters und der technischen Funktionsweise der Cloud?
Bei der Frage der Kontrollmöglichkeiten sollte man Farbe bekennen und den Europäischen Gesetzgeber dazu auffordern, eigene Regelungen für die Cloud zu fordern, die die fehlende Kontrollmöglichkeiten als Kollateralschäden der Cloud anerkennen. Es erscheint denkbar, Cloudanbieter im Gegenzug besonderen Pflichten zu unterwerfen, damit die mit den Kontrollrechten verfolgten Grundkonzepte des Datenschutzes auf alternativem Wege erreicht werden. Sollte eine etablierte Rechtsauffassung – die Notwendigkeit des Kontrollprinzips – aufgegeben werden, um einer modernen Art der Datenhaltung aus der juristischen Problemzone zu verhelfen? Oder wird der Datenschutz seinem Auftrag, den Bürger zu schützen, nur dann gerecht, wenn eine lückenlose Transparenz und Kontrolle weiterhin festgeschrieben ist?
Gelegentlich wird juristisch vertreten, dass man das aktuelle Datenschutzrecht einfach uminterpretieren müsse: Eine technische Auslegung des Datenschutzrechts würde das Problem lösen. Sinngemäß dürfe einer sinnvollen technischen Lösung kein unmodernes, nicht IT-ausgerichtetes Gesetz entgegen stehen. Das klingt verlockend. Eine Revision des Datenschutzgesetzes wäre damit gar nicht nötig. Doch hier ist Vorsicht geboten: Anders als etwas das Urheberrecht ist Datenschutzrecht kein Wirtschaftsrecht. Datenschutzrecht ist Persönlichkeitsrecht. Damit stehen die Interessen des Bürgers am Datenschutz grundsätzlich hinter einer technischen und damit wirtschaftsfreundlichen Interpretation des Gesetzes zurück. Im Ergebnis bleibt das Thema Kontrolle und Datenherrschaft in der Cloud daher aktuell ungelöst.
Das ist der Grund, warum gelegentlich behauptet wird, die Cloud sei “rechtswidrig”. Das trifft so sicherlich nicht zu. Doch haftungsrechtlich sind die Pflichten in Bezug auf eine Datenherrschaft des Cloud-Kunden nicht zu unterschätzen. Als solcher haftet man unter Umständen für eventuelle Mängel des Cloud-Anbieters, obwohl man die Dienstleistung Cloud nur einkauft. Dies betrifft immer die Kette: Cloud Anbieter – Cloud Kunde – Kunde des Cloud Kunden. Als Cloud Kunde steht man in der Mitte und muss ein ordnungsgemäßes Datenschutz-Level gegenüber seinem eigenen Kunden sicher stellen, was aktuell wie dargestellt einfach nicht angeboten wird und was die Kontrolle angeht auch nicht realisierbar erscheint, eben weil die Daten in der Cloud ubiqitär sind und z.B. keine sichere Auskunft über den Datenaufenthaltsort gegeben werden kann.
Selbst, wenn man diese Haftungsproblematik akzeptiert und das Risiko einer Datenschutz-Incompliance eingeht: Weitere Aspekte der Cloud sind datenschutzrechtlich problematisch. Dies betrifft zum Beispiel die Datenqualität. Gerade die bereits erwähnten sensiblen Daten dürfen, wenn überhaupt, nur in die Cloud gebracht werden, wenn eine detaillierte Prüfung des Einzelfalles dies als zulässig erscheinen lässt. Dies hängt von technischen Rahmenbedingungen ab, aber auch von den AGBs der Anbieter.
Weitere Diskussionen betreffend die Rechtmäßigkeit der Cloud sind vor allem:
• Datenzugriff durch Dritte, insbesondere Behörden (Nicht nur Datenschutz, sondern auch Know How Schutz)
• Technisch – organisatorische Maßnahmen (nicht nur vorhanden, sondern auch dokumentiert und kontrollierbar)
• Subdienstleister (Fehlende Transparenz bezüglich deren Einbindung, Technisch Organisatorische Maßnahmen umgesetzt?
• AGB
Dabei gilt immer (wie schon oben): Wenn ich selbst die Cloud “einkaufe” und für Services Dritten gegenüber benutze, kann ich mich i.d.R. schlecht exkulpieren, muss ggf. für die o.g. “eingekauften” Mängel gegenüber meinem Auftragnehmer, meinem Arbeitnehmer etc. haften.
Natürlich lockt die Cloud mit vielen Vorteilen. Haben Sie Ihre Haftung analysiert und gehen Sie Risiken bewusst ein?
Wie die EU-Komission durch den zuständige Innenkommissar Dimitris Avramopoulos am Donnerstag mitteilen ließ, wird es keine neue europäische Richtlinie zur Vorratsdatenspeicherung geben. Vielmehr wird der Umgang mit der umstrittenen Datenspeicherung zur nationalen Angelegenheit – und die Meinungen innerhalb der Großen Koalition gehen dazu nach wie vor auseinander.
Bundesinnenminister Thomas de Mezière spricht sich vehement für eine Speicherung aus, um zumindest, so der Kompromissvorschlag der Union, für ausgewählte Straftaten die Speicherung von Mail- und Telefonverbindungen oder Surfprotokollen zu ermöglichen. Besonders nach den Anschlägen von Paris im Januar werden diese Befürworter der Vorratsdatenspeicherung wieder lauter. Die SPD hingegen, allen voran der Jusitzminister Heiko Maas, äußerte sich bisher stets entschieden gegen die Möglichkeit einer flächendeckenden und anlasslosen Datenspeicherung. Seit ein Urteil des Europäischen Gerichtshofes die ehemalige EU-Richtlinie zur Vorratsdatenspeicherung 2014 erst für rechtswidrig erklärt hatte, ist diese Art der Speicherung nach wohl mehrheitlicher Ansicht in der SPD nicht mehr machbar.
Datenschützer kritisieren die Speicherung von Verbindungsdaten ohne konkreten Anlass und für eine Zeitspanne von mehreren Monaten, wie bislang in den Gesprächen vorgebracht. Thilo Weichert, Landesdatenschutzbeauftragter in Schleswig-Hostein, hält eine Speicherung für maximal eine Woche für ausreichend, um den Speicherungszwecken der Strafverfolgung und Gefahrenabwehr gerecht werden zu können.
13. März 2015
Einem Bericht von Zeit Online zufolge hat die Initiative LobbyPlag nun insgesamt 11.000 Dokumentenseiten aus den Verhandlungen des EU-Ministerrats zur geplanten EU-Datenschutzgrundverordnung veröffentlicht. Aus diesen Seiten gehe insbesondere hervor, wer die Großreform in den geheimen Runden verwässere. Nach Auswertung der Dokumente sei LobbyPlag zu dem Ergebnis gekommen, dass vor allem die Bundesregierung sich dafür einsetze, das einst so ambitionierte Vorhaben entgegen ihrer öffentlichen Beteuerungen immer weiter abzuschwächen. Das zuständige Bundesinnenministerium lasse sich massiv von Wirtschaftslobbyisten manipulieren und versuche dem entsprechend, die Datenschutzgrundverordnung in deren Sinne zu beeinflussen.
Verdeutlicht werden könne diese “Verwässerung” an folgendem Beispiel für eine Klausel zur Zweckbindung von Daten, wie sie in Artikel 6.4 des Entwurfs vorgesehen ist, die laut Zeit Online Bundesinnenminister Thomas de Maizière besonders gerne geändert sähe. In dem ursprünglichen Entwurf der Datenschutzgrundverordnung sei es vorgesehen gewesen, dass Unternehmen ihre Nutzerdaten nur für den Zweck verwenden dürfen, für den sie erhoben wurden. Die Bundesregierung setze sich hingegen für eine Ergänzung des entsprechenden Passus ein: Daten sollen auch ohne ausdrückliche Genehmigung für andere Zwecke genutzt werden dürfen, wenn das “Berechtigte Interesse” der Unternehmen das der Betroffenen überwiegt. Grundsätzlich sei dies im deutschen Datenschutzrecht nichts Neues. Dort werde das “berechtigte Interesse” der Unternehmen allerdings gegen die Grundrechte der Betroffenen abgewogen und ausbalanciert. In der Verordnung sei das nach derzeitigem Stand hingegen nicht vorgesehen. Aus der Zweckbindung drohe eine Zweckentbindung zu werden.
Im Ergebnis sei LobbyPlag zu dem Schluss gekommen, dass 132 der 151 Änderungsanträge im Rat das Datenschutzniveau senken würden, zum Teil auf ein Niveau von vor 1995, als die bis heute gültige EU-Richtlinie zum Datenschutz verabschiedet worden sei. Auch sei festzustellen gewesen, dass nur vier Länder – Ungarn, Österreich, Griechenland und die Schweiz – den Verordnungsentwurf ver- und nicht entschärfen wollen.
Das nach Meinung vieler längst überfällige “WLAN-Gesetz” scheint nun tatsächlich Realität zu werden. Das Bundesministerium für Wirtschaft und Energie veröffentlichte am 11.03.2015 einen ersten Gesetzesentwurf. Dieser wird von vielen Stimmen in der Netzgemeinde sehr kritisch beurteilt. Aber auch der Verband der deutschen Internetwirtschaft eco zeigt sich enttäuscht über die Vorschläge aus dem Hause von Minister Gabriel. Bemängelt wird in erster Linie, dass Hosting Anbieter im Kampf gegen Urheberrechtsverletzungen in die Pflicht genommen werden sollen. So soll der neue § 10 Abs. 2 lit. a) TMG diese verpflichten, gegen “gefahrgeneigte Dienste” vorzugehen. Dieser überaus schwammige Begriff zielt wohl in erster Linie auf illegale Streamingdinste ab. Faktisch dürfte er Anbietern von öffentlichen WLANs weiter Steine in den Weg legen, da Rechtsunsicherheiten bestehen bleiben. Wann genau ein solcher “gefahrgeneigter Dienst” vorliegt, ist nämlich nach wie vor ungeklärt, die enthaltenen Regelbeispiele scheinen jedenfalls nicht zur Rechtssicherheit beitragen zu können. Bemängelt werden darüber hinaus der hohe Anmelde- und Registrierungsaufwand, den die Anbieter leisten sollen.
Es gibt aber auch positive Stimmen. Insbesondere die Klarstellung, dass WLAN-Anbieter Diensteanbieter im Sinne des Telemediengesetzes sind, sei längst überfällig gewesen, so eco.
Ob durch die neue Gesetzesinititaive der Ausbau von öffentlich zugänglichen WLAN-Netzen begünstigt wird, bleibt also abzuwarten. Weitere Änderungen des Entwurfes insbesondere im Hinblick auf eine eindeutige Haftungsprivilegierung von Hosting Anbietern scheinen nicht ausgeschlossen.
12. März 2015
Mit Urteil vom 03.02.2015 (Az. I S 19/14) hat das Landgericht Heilbronn entschieden, dass Aufzeichnungen einer Dashcam nicht als Beweismittel zur Klärung eines Unfallhergangs in den Zivilprozess eingeführt werden können. Damit wird die bisherige Linie von Rechtsprechung und öffentlichen Datenschutzbeauftragten, wie bereits berichtet, fortgesetzt.
Bei Dashcams handelt es sich um kleine Videokameras, die z.B. vor dem Rückspiegel eines Kfz angebracht werden. Während der Fahrt zeichnen die Geräte die Umgebung – inklusive der Passanten und anderen Verkehrsteilnehmer – auf, die mit dem Kfz abgefahren wird. Im vorliegenden Fall war im Pkw des Klägers eine Dashcam befestigt. Mit diesem Pkw war der Kläger in einen Unfall verwickelt. Das Unfallgeschehen zeichnete die Dashcam auf. Um den gegen ihn sprechenden Anscheinsbeweis zu erschüttern, wollte der Kläger die Aufzeichnungen im Wege der Inaugenscheinnahme als Beweismittel in den Prozess einführen.
Eine Beweisverwertung der Aufzeichnungen lehnten die Richter jedoch ab. Im Zivilprozess gilt der Grundsatz der freien Beweiswürdigung, vgl. § 286 ZPO. Nach diesem Grundsatz obliegt des dem Gericht nach Würdigung des gesamten Prozessstoffes zu seiner freien Überzeugung über die Tatsachen zu gelangen. Dieser Grundsatz erfährt jedoch seine Grenzen, wo widerstreitende Verfassungsrechte aufeinander treffen. Gerichte haben in solchen Fällen eine interessengerechte Güterabwägung vorzunehmen und dementsprechend über die Verwertbarkeit zu entscheiden.
Das LG Heilbronn hat im vorliegenden Fall nach einer Güterabwägung entschieden, dass die Aufzeichnungen der Dashcam als Beweismittel unzulässig sind. Zwar kann der Kläger sich auf den Anspruch auf rechtliches Gehör nach Art. 103 Abs. 1 GG berufen. Daneben gilt auch das dem Rechtstaatsprinzip des Art. 20 Abs. 3 GG folgende Gebot des effektiven Rechtsschutzes, Art. 19 Abs. 4 GG. Diesen Grundsätzen überwiegt jedoch das allgemeine Persönlichkeitsrecht in Form des Rechts auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG. Durch die anlasslose und permanente Videoaufzeichnung werden die Betroffenen – im vorliegenden Fall vor allem der beklagte Unfallbeteiligte – in diesem Recht verletzt. Neben der erheblichen Grundrechtsverletzung verstößt die anlasslose und permanente Videoüberwachung auch gegen die einfachgesetzlichen Normen § 6b Abs. 1 Nr. 3 BDSG sowie § 22 S. 1 KUG, so die Richter. Videoüberwachung von öffentlich zugänglichen Räumen ist nach § 6b Abs. 1 Nr. 3 BDSG nur dann zulässig, wenn dies zur Wahrnehmung berechtigter Interessen erforderlich ist und schutzwürdige Interessen des Betroffenen nicht überwiegen. Zwar stelle die Beweissicherung ein legitimes Interesse dar. Dieses rechtfertigt jedoch nicht, öffentlich zugängliche Räume mittels Videoaufnahmen zu überwachen. Schließlich verstößt die Überwachung mit Dashcams auch gegen das Kunsturhebergesetz. Weder liegt eine Einwilligung der Betroffenen vor, noch greift ein Ausnahmetatbestand des § 23 KUG. Denn die Verbreitung und Zurschaustellung von Bildnissen ist unzulässig, wenn dadurch das berechtigte Interesse des Abgebildeten verletzt wird. Genau das war hier der Fall.
9. März 2015
Der Wettbewerb der Suchmaschinenbetreiber im Internet ist beinahe ein Monopol angesichts eines Marktführers mit 94,88 %. Diese Vormachtstellung ist zweifelsfrei ein Ergebnis aus einem weitreichenden kundenorientiertem Angebot, einer wohl weltweit einmaligen Corporate Identity und dem gewohnheitsmäßigem Verhalten der meisten Internetnutzer.
Doch auch für Individualisten auf der Suche nach Alternativen gibt es Möglichkeiten, wenn man seine eigenen Daten schützen will und anonym surfen und suchen möchte. So zeichnen sich zum Beispiel Suchmaschinen wie Ixquick oder Startpage mit einem hohen Maß an datenschutzspezifischen Feinheiten aus. Diese, hier exemplarisch aufgeführten Anbieter, haben gegenüber den meisten gängigen Suchmaschinen etwa folgende Vorteile:
- Keine Erfassung der IP-Adressen der Nutzer
- Keine Cookies zur Identifizierung
- Keine Sammlung privater Daten
- Keine Weitergabe von persönlichen Daten an Dritte
- Sichere, verschlüsselte Verbindungen (HTTPS/SSL)
- Ein kostenloser Proxy-Service, der anonymes Surfen im Internet ermöglicht
Einher geht dies jedoch mit einem geringeren Angebotsumfang.
5. März 2015
Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 19.02.2015 (Aktenzeichen 8 AZR 1011/13) festgestellt, dass Bildnisse von Arbeitnehmern ausschließlich mit deren schriftlicher Einwilligung veröffentlicht werden dürfen. Eine ohne Einschränkung erteilte Einwilligungserklärung ende allerdings nicht automatisch mit dem Auflösen des Arbeitsverhältnisses. Die Einwilligung könne jedoch zu einem späteren Zeitpunkt widerrufen werden, wenn dafür ein plausibler Grund vorgetragen wird.
In dem diesem Urteil zugrunde liegenden Sachverhalt hatte ein Arbeitgeber Filmaufnahmen ihrer Arbeitnehmer für Werbemaßnahmen verwendet. In diesem Zusammenhang hatte der Kläger schriftlich seine Einwilligung zu einer Mitwirkung in einem Werbefilm, in dem er zweimal erkennbar als Person abgebildet war, erklärt. Nach der Beendigung des Arbeitsverhältnisses hatte er den Widerruf seiner etwaigen Einwilligung erklärt und die Beklagte aufgefordert, die Filmaufnahmen binnen 10 Tagen aus dem Netz zu nehmen. Der Arbeitnehmer verlangte weiter Unterlassung und ein Schmerzensgeld.
Zu Unrecht, wie das BAG nun klarstellte. Denn der Kläger hatte für diese gegenläufige Ausübung seines Rechts auf informationelle Selbstbestimmung keinen plausiblen Grund angegeben. Er könne daher eine weitere Veröffentlichung nicht untersagen lassen und würde durch diese in seinem Persönlichkeitsrecht nicht verletzt werden.
4. März 2015
Sogenannte „Wearables“ (von Wearable Computing, tragbare Computersysteme), also am Körper zu tragenden mobile kleine Computersysteme, sind nicht nur auf dem zurzeit stattfindenden Mobile World Congress in Barelona das Thema. Auch im Gesundheitswesen sorgen sie jetzt für Aufsehen und können Versicherte zu gläsernen Patienten machen. Der New Yorker Krankenversicherer Oscar Health sammelt die Daten seiner Kunden bereits auf diese Weise und zahlt ihnen Prämien aus, wenn Sie trainieren – und ihre Aktivitäten über die Wearables aufzeichnen lassen.
Oscar Health operiert dabei mit folgendem Konzept: Es schickt Versicherten Smartwatches und zahlt Prämien, wenn sie bestimmte Fitness-Ziele erreichen. Wer sein Programm erfolgreich absolviert, bekommt einen Dollar Belohnung pro Tag. Der maximale Erlös ist allerdings auf 20 Dollar im Monat und 240 Dollar im Jahr begrenzt.
Datenschützer haben bereits in der Vergangenheit mehrfach vor dieser Praxis gewarnt: Bei der Übermittlung von Trainingswerten handelt es sich um sensible Gesundheitsdaten. Zusammen mit anderen Daten kann damit ein umfassendes Gesundheitsprofil der betreffenden Person erstellt werden. Daraus können die Versicherungen Gesundheitsprognosen ableiten und dem Versicherten nicht nur profilgenaue Angebote unterbreiten, sondern auch künftige Risikozuschläge berechnen. Darüber hinaus ist die langfristige Verwendung der auf diese Art gespeicherten sensiblen Daten noch völlig offen.
2. März 2015
Der umstrittene Fahrdienst-Vermittler Uber ist abermals mit Negativschlagzeilen in das öffentliche Interesse gerückt. Im vergangenen Mai ist es Unbekannten gelungen, die Daten von 50.000 Uber-Fahrern (Name, Führerscheinnummer), die bei dem umstrittenen Fahrdienst-Vermittler Uber in den USA angemeldet sind, zu erbeuten. Uber hat nach eigenen Angaben diesen unberechtigten Zugriff im September 2014 festgestellt – allerdings erst jetzt reagiert und die Öffentlichkeit informiert. Weitere Angaben, z.B. zu den Umständen des Hackingangriffs, wurden dabei nicht gemacht. Es sei aber bisher kein Missbrauch festgestellt worden. Die betroffenen Fahrer bekommen Unterstützung von einem Dienst, der hilft, die digitale Identität im Netz zu kontrollieren, so Uber.
27. Februar 2015
In einer repräsentativen Studie hat der Branchenverband BITKOM festgestellt, dass nahezu jedes dritte Unternehmen (30%) in Deutschland in den vergangenen zwei Jahren IT-Sicherheitsvorfälle zu verzeichnen hatte. So bestätigte der BITKOM Präsident Prof. Dieter Kempf, dass deutsche Unternehmen ein attraktives Ziel für Cybergangster und ausländische Geheimdienste geworden seien. Umso wichtiger sei es, die Sicherheitsvorkehrungen immer auf den neusten Stand zu halten und regelmäßig in den Schutz der eigenen IT-Systeme zu investieren.
Nach den Ergebnissen dieser Umfrage sind fast zwei Drittel der Sicherheitsvorfälle der befragten 458 Unternehmen vor Ort verursacht worden (65%). Im Vorjahr waren lediglich 58 Prozent zu verzeichnen. Gezielter Datenklau von aktuellen oder ehemaligen Mitarbeitern oder das Einschleusen von mit Schadsoftware infizierten Datenträgern sind lediglich zwei Beispiele für mögliche Vorfälle vor Ort. 40 Prozent der Unternehmen meldeten darüber hinaus Angriffe auf ihre IT-Systeme über das Internet. Im vergangenen Jahr waren es noch 10 Prozent weniger.
Am stärksten sind kleine und mittelständische Unternehmen von digitalen Vorfällen betroffen. Während bei einer Größe von 20 bis 499 Mitarbeitern bereits fast jedes dritte Unternehmen betroffen ist, reduziert sich dieser Wert bei über 500 Mitarbeitern auf jedes fünftes Unternehmen. Große Unternehmen seien zwar häufiger Angriffsziel, können die Attacken aber aufgrund ihrer personellen, finanziellen und technischen Ressourcen besser abwehren, erläuterte Kempf. Vor allem innovative Mittelständler mit ihrem spezialisierten Know-How in bestimmten Märkten und Technologien würden bei kriminellen Hackern und Geheimdiensten Begehrlichkeiten wecken.
Pages: 1 2 ... 171 172 173 174 175 ... 275 276 
