Schlagwort: USA

Facebook: Sind die Tage der Datenübermittlungen in die USA angezählt?

10. September 2020

Am 16.06.2020 erklärte der EuGH das Privacy Shield für ungültig und adressierte in diesem Zuge auch Datenübermittlung, die auf der Grundlage von Standardvertragsklauseln (SCCs) legitimiert werden sollen. Der Europäische Datenschutzausschuss und die deutsche Datenschutzkonferenz stellten klar, dass in jeden Einzelfall geprüft werden muss, ob ein angemessenes Datenschutzniveau im Drittland sichergestellt ist oder ob dem mit zusätzlichen Schutzmaßnahmen begegnet werden kann. Im Hinblick auf die weitreichenden Zugriffsmöglichkeiten der US-amerikanischen Sicherheitsdienste bezweifelte der EuGH, dass beim Datentransfer in die USA ein angemessenes Schutzniveaus gewährleistet werden kann.

Seitdem reißen die News rund um das Thema nicht ab. Vor kurzem reichte die von Max Schrems ins Leben gerufene Datenschutzorganisation „noyb“ 101 Beschwerden gegen europäische Unternehmen bei den jeweils zuständigen Aufsichtsbehörden ein. Herr Schrems führte das angesprochene Verfahren vor dem EuGH. Die Beschwerden richten sich gegen Unternehmen, die Google Analytics oder Facebook Connect verwenden, und ausweislich der Darstellungen auf den Webseiten für die Drittlandübermittlungen keine ausreichenden Maßnahmen ergriffen haben. Der Europäische Datenschutzausschuss richtete eine Task Force ein, um bei den Beschwerden ein einheitliches Vorgehen zu gewährleisten.

Nun erhält Facebook weiteren Gegenwind aus Irland: Wie Facebooks Kommunikationschef Clegg in einem Blogpost berichtet, hat die irische Datenschutzaufsichtsbehörde eine Untersuchung zu den Datentransfers von Facebook zwischen der EU und den USA eingeleitet und darauf hingewiesen, dass die SCCs nicht verwendet werden könnten. Wie die US-amerikansische Zeitung Politico berichtet, stellte die irische Datenschutzbehörden Facebook bereits Ende August eine vorläufige Anordnung zur Aussetzung der Datentransfers von der EU in die USA auf Grundlage der SCCs zu und bat um Antwort des Unternehmens.

Spannend sind in diesem Zusammenhang die Aussagen von noyb: Sie verweisen auf einen Brief, in dem sich Facebook auf eine andere Rechtsgrundlage für die Übermittlung beruft, die nicht Gegenstand der vorläufigen Anordnung ist (siehe hier auf Seite 3-4). Die Übermittlung soll danach rechtmäßig sein, weil sie zur Erfüllung eines zwischen den Facebook-Nutzern und Facebook geschlossenen Vertrages erforderlich sei. Max Schrems ist hingegen der Ansicht, „die angebliche Anordnung gegen Facebook [sei] ein weiterer Schritt, der das Problem absichtlich nicht lösen“ wird. noyb hat angekündigt, einen Antrag auf eine einstweilige Verfügung einzureichen, um sicherzustellen, dass die DPC hinsichtlich aller rechtlichen Grundlagen für Datenübermittlungen tätig wird.

Eine endgültige Entscheidung der der irischen Behörde steht noch aus. Politico geht davon aus, dass mit einer solchen frühestens im Oktober gerechnet werden kann, nachdem Facebook auf die Anordnung geantwortet hat und die Entscheidung mit anderen EU Aufsichtsbehörden koordiniert wurde.

Bis dahin will sich Facebook nach Aussage des Kommunikationschefs Clegg „weiterhin Daten in Übereinstimmung mit dem jüngsten EuGH-Urteil übermitteln bis weitere Handlungsanweisungen erfolgen“. Er weist auf die Gefahren für die europäische Wirtschaft hin, wenn ein internationaler Datentransfer behindert wird. Clegg betont, dass Facebook die Bemühungen der Europäischen Kommission und dem US-amerikanischen Handelsministerium um ein „Privacy Shield enhanced“ begrüßt.

Große amerikanische Unternehmen drängen auf Bundesgesetz für Datenschutz

30. August 2018

Unternehmen wir Facebook, Google etc. scheinen sich dem Thema Datenschutz angenommen zu haben und setzen sich laut der New York Times immer mehr für ein bundesweites Datenschutzgesetz in den USA ein.

Allerdings stehen dort andere Interessen im Vordergrund, als ausschließlich der Datenschutz. Neben der DSGVO wurde im Juni 2018 ebenfalls ein kalifornisches Datenschutzgesetz erlassen, welches vor allem Firmen, die personenbezogene Daten zur kommerziellen Zwecken nutzen, Kopfschmerzen bereitet. Dieses Gesetz soll 2020 in Kraft treten und könnte andere Staaten in den USA dazu bewegen, ähnliche Gesetze auf den Weg zu bringen und damit dem gesamten Geschäftszweig Probleme bereiten.

Der Erlass eines bundesweiten Datenschutzgesetzes könnte allerdings dazu führen, dass den einzelnen Staaten der Wind aus den Segeln genommen wird. Daher liegt der Fokus der technischen Unternehmen nicht mehr unbedingt im Verhindern von Regulationen, sondern vielmehr darauf, ein Gesetz zu erlassen, welches die eigene Handschrift mitträgt und somit „geschäftsschädigende“ Regelungen weitestgehend vermieden werden können. Ob diese Vorgehensweise erfolgreich ist, hängt überwiegend davon ab, welchen Stellenwert der Datenschutz in der amerikanischen Gesellschaft in Zukunft einnehmen wird.

Das ein unternehmensfreundliches Gesetz dabei herum kommt, ist sehr wahrscheinlich. Allerdings wäre es ein erster Schritt in Richtung mehr Datenschutz in den Staaten.

DSGVO als Vorbild: Kalifornien verabschiedet neues Datenschutzgesetz

29. Juni 2018

Nachdem hier schon berichtet wurde, dass die Kalifornier über ein neues Datenschutz abstimmen wollen, wurde der „California Consumer Privacy Act“ gestern vom Senat und Repräsentantenhaus des US-Bundesstaates gebilligt und von Gouverneur Jerry Brown unterzeichnet. US-Medien zufolge ist die schnelle Verabschiedung des Gesetzes auf den Druck von Verbraucherschützern zurückzuführen.

Das Gesetz, welche durch die am 25. Mai 2018 wirksam gewordene EU-Datenschutzgrundverordnung inspiriert wurde, wird am 1. Januar 2020 in Kraft treten.

Durch das Gesetz erhalten die Unternehmen die Pflicht offenzulegen, welche Verbraucherdaten sie speichern. Außerdem können Kunden und Nutzer die Verwendung ihrer persönlichen Daten zu kommerziellen Zwecken untersagen. Datenschutzverstöße sollen auch finanziell bestraft werden.

Damit reagiert Kalifornien auch auf den Facebook-Skandal, der wegen seines Umgangs mit persönlichen Daten unter massivem Druck steht.

Die IT-Industrie, die vehement gegen dieses Bürgerbegehren steuerte, ist über das schnelle Gesetz erfreut, da ein Gesetz künftig leichter wieder abgeändert werden kann als ein erfolgreicher Volksentscheid.

Ob die US-Regierung auf Bundesebene neue Datenschutzvorgaben macht, ist derzeit unklar.

 

California Consumer Privacy Act (CCPA) steht in der USA zur Abstimmung

20. Juni 2018

Kalifornier erhalten bald die Möglichkeit für ein umfassendes Datenschutzrecht abzustimmen, welches viele DSGVO-Grundsätze widerspiegelt. Für Datenschutzgesetze hat Kalifornien in den USA eine Vorreiterrolle inne.

Befürworter des CCPA gaben am 3.5.2018 bekannt, dass genügend Unterschriften gesammelt wurden um am 6.11.2018 über die Gesetzesmaßnahme per Volksabstimmung abzustimmen.

Unter anderem räumt das Gesetz Verbrauchern das Recht ein auf Anfrage ähnlich wie nach Art. 15 DSGVO über Datensammlungen informiert zu werden. Das Unternehmen muss auch mitteilen an wen die Daten verkauft oder weitergegeben werden. Auch die Definition des CCPA von persönlichen Informationen (PI) ist viel umfassender als die Definition von „persönlichen Informationen“ gemäß des geltenden kalifornischen Gesetzes zur Meldung bei Datenschutzverstößen.

Ein CCPA-Verstoß durch Missachtung der Datenschutzrechte des Verbrauchers oder durch einen Datenschutzverstoß führt zu einem gesetzlichen Schadensersatz, unabhängig davon, ob dem Verbraucher tatsächlich ein Geld- oder Sachschaden entstanden ist. Der gesetzliche Schadensersatz liegt zwischen US$ 1000 und US$ 3000.

Viele Technologieunternehmen, Banken, und die Automobilindustrie lehnen das Gesetz ab, da es zu weitreichend und zu teuer sei.

Es sieht so aus, als ob Datenschutz bald nicht nur in Europa eine große Rolle spielt.

 

Microsoft plant, Klage gegen US-Justizministerium fallen zu lassen

25. Oktober 2017

Microsoft beabsichtigt, nach einer Änderung von Richtlinien seitens des US-Justizministeriums, eine Klage gegen die Behörde zurückzuziehen. Microsoft hatte Anfang 2016 Klage eingereicht, da es die Regelungen des Justizministeriums, zu Ermittlungszwecken auf Kundendaten zugreifen zu können, ohne dass diese hierüber zeitnah bzw. überhaupt informiert werden, für verfassungswidrig hielt.

Die US-Behörden können über sogenannte „National Security Letter“ (NSL) die Herausgabe von Kundendaten verlangen. Da die betroffenen Unternehmen im Rahmen eines solchen Herausgabeverlangens zu absolutem Stillschweigen verpflichtet werden, besteht für sie weder die Möglichkeit, ihre Kunden über die Weitergabe ihrer Daten zu informieren, noch die Möglichkeit, gegen die NSL vorgehen zu können. Microsoft sieht hierin einen Verstoß gegen das Recht eines Jeden, zu erfahren, wenn gegen ihn behördlich ermittelt wird.

Nun hat jedoch das Justizministerium die Richtlinien dahingehend angepasst, dass geheime Zugriffe auf Kundendaten nur noch unter strengen Bedingungen und in Ausnahmefällen zulässig sein sollen. In den anderen Fällen dürfen die Kunden zukünftig in absehbarer Zeit über die Weitergabe der Daten informiert werden.

Ziel der Klage von Microsoft war es, gegen die unbeschränkte Geheimhaltungsverpflichtung vorzugehen, weshalb sich das Unternehmen dazu entschlossen hat, die Klage zurückzuziehen. Jetzt bleibt abzuwarten, wie schnell das Parlament eine entsprechende gesetzliche Grundlage schafft, ein Gesetzentwurf soll bereits vorliegen.

Kategorien: Allgemein
Schlagwörter: , ,

198 Millionen US-Wählerdaten frei zugänglich

21. Juni 2017

Eine Datenbank mit persönlichen Wählerinformationen zu 198 Millionen US-Bürgern stand 2 Wochen frei zugänglich im Internet zum Download zur Verfügung.

Wie die US-Website Gizmodo berichtet, hatte das Unternehmen Deep Root Analytics im Auftrag der Republikanischen Partei eine Datenbank mit bis zu 198 Millionen Datensätzen an Wählerinformationen erstellt. Aus dieser gingen Namen, Geburtsdaten, Adressen und Telefonnummern eines Großteils der rund 200 Millionen wahlberechtigten US-Bürger hervor. Daneben waren in der Datenbank auch Analyseergebnisse zur politischen Einstellung, Religion, ethnischer Herkunft und wahrscheinliche Meinungen zu Themen wie Waffenbesitz, Stammzellenforschung oder Abtreibung der betroffenen Personen aufgeführt.

Auf die Datenbank aufmerksam geworden war die IT-Sicherheitsfirma UpGuard, nach deren Angaben die Eingabe der URL ausreichend war, um auf 1,1 Terrabyte der Datenbank, die auf einem Amazon Server gespeichert war, zugreifen und sie herunterzuladen zu können. Nicht einmal die Eingabe eines Passworts sei nötig gewesen.

Deep Root Analytics hat mit einer Stellungnahme auf die Datenpanne, die mittlerweile behoben ist,  reagiert und eigene Fehler eingeräumt. So wird die Datenpanne auf ein fehlerhaftes Update am 1. Juni zurückgeführt. Weiter heißt es darin, dass die Daten gesammelt würden, um personalisierte Wahlwerbung im Fernsehen schalten zu können.

Kategorien: Allgemein · Online-Datenschutz
Schlagwörter: , ,

Neues Gesetz in den USA: Arbeitnehmer müssen Gentests vorlegen

23. März 2017

Wie die Süddeutsche Zeitung berichtet wurde in den USA, unter Ausschluss der Öffentlichkeit, ein neues Gesetz zu Gentests auf den Weg gebracht. Laut dieses Gesetzes müssen Arbeitnehmer ihrem Arbeitgeber Gentests vorlegen.

Die Gentests beruhen nicht auf einer freiwilligen Basis, denn den Unternehmen ist es zukünftig gestattet Gentests einzufordern. Die Arbeitnehmer müssen also einen Gentest durchführen lassen und die Ergebnisse offen legen. Hierin liegt ein starker Eingriff in die Privatsphäre, da „Gentests freiwillig sein sollten und vor allem kein Zwang bestehen darf die Ergebnisse zu veröffentlichen“,  European Society of Human Genetics (ESHG).

Nicht nur amerikanische Gentechniker sind von dem Gesetz entsetzt. Auch europäische Wissenschaftler äußerten ihre Befürchtungen, weil Neuerungen im Bereich der Bioethik irgendwann von den USA nach Europa kommen und damit auch hier die Gefahr eines solchen Eingriffs besteht. Ob im europäischen Raum tatsächlich ein solcher Vorstoß geplant ist, ist nicht bekannt und wenn muss ein solches Gesetz auch erst mal verabschiedet werden und der rechtlichen Prüfung durch die obersten Gerichte standhalten. Somit besteht, vorerst jedenfalls, hier keine Gefahr.

Noch im Jahr 2008 wurde in den USA ein Gesetz beschlossen, dass genau solche Gentests verboten hat.

Jedoch lässt sich das Interesse der Unternehmen an einer solchen Untersuchung nicht von der Hand weisen. Die Unternehmen können genetische Informationen in Erfahrung bringen und aufgrund dieser über ihre Arbeitnehmer entscheiden. Ein risikobelasteter Arbeitnehmer kann für das Unternehmen im Krankheitsfall höhere Kosten bedeuten. Für die Arbeitgeber ist es demnach nur logisch, dass sie Konsequenzen aus den Ergebnissen ziehen. Diese könnten zum Beispiel auch eine Nicht-Verlängerung des Arbeitsvertrages sein oder eine Nichteinstellung. Jedoch darf nicht außer Acht gelassen werden, dass das bloße Risiko einer Erkrankung noch keine Gewissheit auf einen späteren Ausbruch der Krankheit darstellt. Was aber feststeht ist der Eingriff in die Privatsphäre.

Smartphone-Kontrollen an US-Flughäfen

7. März 2017

Einem Bericht von Skift zu Folge, kann es bei der Einreise in die USA dazu kommen, dass die Grenzschützer die Smartphones von Einreisenden untersuchen. Vor allem Social Media- Aktivitäten sind von Interesse.

Bereits bei der Einreise in die USA sollen Angaben zu Social Media-Konten gemacht werden. Die Preisgabe des Benutzernamens ist freiwillig. Dies genügt in einigen Fällen aber anscheinend nicht, denn die Grenzschützer wollen auch die Smartphones untersuchen. Grundsätzlich schützt der vierte Verfassungszusatz in den USA vor der Durchsuchung von Smartphones durch Gesetzeshüter, dies gilt jedoch nicht für die Grenzkontrollen. Diesbezüglich urteilte der Supreme Court bereits in den Jahren 1976 und 2004. Einreisende müssen, zum Schutz der USA, größere Eingriffe in ihre Privatsphäre akzeptieren. Die Kontrolle kann auch US-Bürger treffen.

Seit 2009 gilt, dass die Kontrolleure der Customs and Border Protection (CBP), ohne richterliche Genehmigung, Smartphones kontrollieren dürfen, da diese zu dem Gepäck des Einreisenden gehören. Auch ohne Anlass für eine potentiell bestehende Gefahr.

Was passiert mit den Daten die die Kontrolleure auf den Geräten finden? Die Daten können sowohl kopiert als auch gespeichert werden. Angeblich jedoch nur bei begründetem Anfangsverdacht. Ob dem in der Praxis auch so ist, sei dahin gestellt.

Kann der Einreisende sich weigern seine Daten preiszugeben? Grundsätzlich schon, allerdings kann in dem Fall die Einreise in die USA versagt oder zumindest erheblich verzögert werden. Konsequenz ist, dass derjenige dann auf eigene Kosten den Rückflug in die Heimat antreten muss. Also bleibt demnach nur zu kooperieren.

Es könnte jetzt die Vermutung aufkommen, dass eine solche Kontrolle zu dem Sicherheits- und Abschottungswahn von Donald Trump gehört, allerdings wurden die Kontrollen bereits unter dem ehemaligen Präsidenten Barack Obama durchgeführt. Die Anzahl der Kontrollen steigt jedes Jahr. Im Jahr 2016, bis zum Amtsantritt von Donald Trump waren es fast 24000 Kontrollen. Wie sich die Zahl seit dem Amtsantritt entwickelt hat, ist noch nicht bekannt.

EU-Justizkommissarin droht die Privacy Shield Vereinbarung außer Kraft zu setzen

6. März 2017

Die EU-Kommissarin für Justiz, Verbraucherschutz und Gleichstellung Jourová erklärte in einem Interview mit der Nachrichtenagentur Bloomberg, dass sie nicht zögern werde, das erst Mitte 2016 in Kraft getretene Privacy Shield Abkommen außer Kraft zu setzen, sobald erhebliche Änderungen durch die neue US-Regierung die geltende Vereinbarung beintächtigten.

Sie werde dabei „nicht zögern, dafür stehe zu viel auf dem Spiel.“

Die EU-Kommissarin hält die Unvorhersehbarkeit der Regierung unter dem US-Präsidenten Trump für besorgniserregend und drängt auf eine schnelle Bestätigung der Regeln des Privacy Shields.

Das US-Justizministerium hat zwar auf eine Anfrage der EU-Kommission am 22. Februar 2017 erklärt, dass die USA an den bisherigen Vereinabrungen des Privacy Shield festhalten werden. Die EU-Kommissarin wird jedoch noch in diesem Monat in Washington im Dialog klären, ob und in wie weit EU-Bürger von dem Dekret des US-Präsidenten betroffen sein werden.

Erste Bußgelder wegen fehlerhafter Datenübermittlung in die USA

8. Juni 2016

Nachdem der Europäische Gerichtshof Ende vergangenen Jahres das Safe-Harbor-Abkommen , auf dessen Rechtsgrundlage bis dahin der Datenaustauch zwischen den USA und Staaten der EU fußte, für ungültig erklärt hatte, waren deutsche Unternehmen dazu angehalten, eine alternative Rechtsgrundlage zu finden oder de facto den Datentransfer in die USA einstellen. Die meisten Unternehmen sind dazu übergegangen, ihren Datenaustausch auf die (freilich nicht unumstrittenen) EU-Standardvertragsklauseln zu stützen.

Dass dem Erfordernis einer alternativen Rechtsgrundlage nach dem Fall von Safe-Harbor nicht alle betroffenen Unternehmen nachgekommen sind, kommt nun den ersten teuer zu stehen. Drei Hamburger Firmen wurden zu Bußgeldzahlungen in (verhältnismäßig glimpflicher) Höhe zwischen 8.000 € und 11.000 € belangt, weil sie noch nicht auf eine rechtssichere Alternative umgestellt hatten, wie heise online mitteilt.

Laut Spiegel Online handelt es sich bei den drei Firmen um Adobe, Punica und Unilever. Die Bußgelder fielen vor allem deshalb verhältnismäßig gering aus, weil alle drei Unternehmen noch während des Bußgeldverfahrens das gerügte Versäumnis nachgeholt und die rechtliche Grundlage ausgebessert hatten. Zudem kam ihnen zu Gute, dass sie die Ersten waren, die von der Datenschutzbehörde negativ geprüft wurden. Unternehmen, die jetzt noch nicht auf eine rechtssichere Alternative umgestellt haben, werden mit deutlich höheren Bußgeldern rechnen müssen, sagt Prof. Dr. Johannes Caspar, Landesdatenschutzbeauftragter in Hamburg. Laut Gesetz sind sogar bis zu 300.000 € möglich; weitere Verfahren wurden bereits eröffnet.

1 2 3 5