Source: https://www.stephan-frank.com/reposting/
Timestamp: 2020-07-03 23:31:53+00:00

Document:
Reposting // SFC | Stephan Frank Consulting - Datenschutz und Datensicherheit
Kategorie: Reposting
– Reposting –
Die Aufsichtsbehörden haben eine Vielzahl verschiedener, in der DSGVO verankerter Aufgaben und Befugnisse, wie die Verhängung von Sanktionen oder die Prüfung von Zertifizierungen. Dieser Beitrag geht hingegen auf die Frage ein, inwieweit auch die Beratung des Verantwortlichen zu den Aufgaben der Datenschutzaufsichtsbehörde gehört.
Die Beratungsfunktion der Datenschutzaufsichtsbehörde
Im alten Bundesdatenschutzgesetz war die Beratungsfunktion der Datenschutzaufsichtsbehörde gegenüber dem Verantwortlichen und dessen Datenschutzbeauftragten klar in § 38 Abs. 1 BDSG a.F. geregelt, wie in unserem Blog dargelegt. Diese Beratung sollte sogar unter Berücksichtigung der typischen, also praxisorientierten, Bedürfnisse des Verantwortlichen und dessen Datenschutzbeauftragten präventiv und konstruktiv erfolgen, um Datenschutzverstößen vorzubeugen.
Gesetzliche Reglung
Hingegen gibt es in der DSGVO hinsichtlich der Beratung des Verantwortlichen und dessen Datenschutzbeauftragen keine explizite Regelung mehr. Vielmehr wurde in § 40 Abs. 1 BDSG nachweislich die Beratung des Datenschutzbeauftragten und dessen Verantwortlichen gestrichen.
Gesetzlich verankert bleiben noch drei Beratungsleistungen:
Art. 58 Abs. 3 DSGVO, der der Aufsichtsbehörde sämtliche Genehmigungsbefugnisse und beratende Befugnisse zuschreibt, um in den in Art. 58 Abs. 3 lit. a bis j DSGVO vorgesehenen Bereichen agieren zu können.
Art. 57 Abs. 1 lit. c DSGVO, der der Aufsichtsbehörde die Beratung des nationalen Parlaments zuschreibt.
§ 40 Abs. 6 S. 1 BDSG, der der Aufsichtsbehörde die Beratung des Datenschutzbeauftragten zuschreibt.
Dementsprechend reagieren die Aufsichtsbehörden zunehmend zurückhaltend, was die Beratung des Verantwortlichen anbelangt. Gerade kurz nach Anwendbarkeit der DSGVO wurde dies offen kommuniziert. Entsprechende Anfragen werden abgelehnt oder es werden Antwortschreiben verfasst, die für den Verantwortlichen faktisch ohne die gewünschte praxisnahe Aussagekraft sind. Begründet wird das u.a. damit, dass keine Verpflichtung zur Beratung eingegangen werden, bzw. keine Wettbewerbsverzerrung durch staatliche Hilfeleistung mittels Beratung erfolgen soll und darüber hinaus keine explizite gesetzliche Befugnis zur Beratung vorläge. Im Hintergrund spielt oft auch die mangelnde Ausstattung sämtlicher Datenschutzbehörden eine Rolle.
Kann der Verantwortliche, eine Datenschutzberatung einfordern ?
Kein expliziter Rechtsgrund für die Beratung in der DSGVO
Ebenso wenig wie es keine Befugnis zur Beratung des Verantwortlichen durch die Datenschutzaufsichtsbehörde gibt, besteht auch keinen Rechtsgrund den Verantwortlichen nicht zu beraten.
Rechtsgrund für die Beratung aufgrund systematischer Betrachtung
Eine solche Beratungsbefugnis könnte sich etwa aus der Zusammenschau von anderen Befugnissen ergeben, für deren Erfüllung die Beratung des Verantwortlichen eine notwendige Voraussetzung darstellt. Dies ist etwa bei Art. 58 Abs. 1 lit. d DSGVO der Fall
„Jede Aufsichtsbehörde verfügt über sämtliche folgende Untersuchungsbefugnisse, die es ihr gestatten, den Verantwortlichen […] auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen“.
Dies setzt voraus, dass Verarbeitungsvorgänge und Rechtsgründe eigenständig durch die Datenschutzaufsichtsbehörde geprüft werden, um ggf. einen Verstoß gegen die DSGVO feststellen zu können. Stellt die Behörde diesen fest, gibt Sie dem Verantwortliche einen Hinweis. Dieser Hinweis enthält zwangsläufig die Bewertung der vermeintlichen Rechtsgrundlage für die Datenverarbeitung und somit eine uneigenständige Beratungsleistung.
Selbst wenn man hieraus keine Beratungspflicht der Datenschutzaufsichtsbehörden gegenüber dem Verantwortlichen im Allgemeinen begründet, so gibt es doch eine Hintertür, für eine Beratung durch die Datenschutzaufsichtsbehörde.
Kann der Datenschutzbeauftragte eine Beratung einfordern?
Die Stellung des Datenschutzbeauftragten ist hinsichtlich der Stellung gegenüber der Datenschutzaufsichtsbehörde eine andere als die des Verantwortlichen, obwohl er für den Verantwortlichen tätigt wird. Denn grundsätzlich wird eine Zusammenarbeit des Datenschutzbeauftragten mit den Aufsichtsbehörden in Art. 39 DSGVO geregelt. Zu unterscheiden ist hierbei die Zusammenarbeit nach Art. 39 Abs. 1 lit. d DSGVO und die Tätigkeit des Datenschutzbeauftragten als Anlaufstelle der Datenschutzaufsichtsbehörde aus Art. 39 Abs. 1 lit. e DSGVO.
Proaktive Zusammenarbeit mit der Datenschutzaufsichtsbehörde
In § 4g Abs. 1 S. 1 BDSG a.F. war damals vorgesehen, dass der Datenschutzbeauftragte sich nur in Zweifelsfällen an die Aufsichtsbehörde wenden konnte.
Das gilt heute so nicht mehr. Vielmehr liegt die Zusammenarbeit nach Art. 39 Abs. 1 lit. d DSGVO im Ermessen des Datenschutzbeauftragten und ist weit zu verstehen. Sie ist nicht auf Zweifelsfälle beschränkt und ist als umfassende, allgemeine und proaktive Zusammenarbeit seitens des Datenschutzbeauftragten zu verstehen.
Nachdem die Zusammenarbeit im Ermessen des Datenschutzbeauftragten steht, besteht auch keine Pflicht hierzu. Das heißt, der Datenschutzbeauftragte ist nicht verpflichtet ein Vorgehen des Verantwortlichen, welches er als unzulässig betrachtet, bei der Datenschutzaufsichtsbehörde zu melden. Lediglich bei strafrechtlich relevanten Vorgängen, dürfte der Datenschutzbeauftragte verpflichtet sein, die Datenschutzaufsichtsbehörde zu konsultieren.
Jedenfalls kann der Datenschutzbeauftragte die für ihn kostenlose Beratung nach Art. 57 Abs. 1 i.V.m. Abs. 3 DSGVO in Anspruch nehmen.
Rechtsgrund für die Beratung des Datenschutzbeauftragten
Wie oben dargestellt, gibt es keine explizite Beratungsfunktion der Datenschutzaufsichtsbehörde gegenüber dem Verantwortlichen. Jedoch kann der Verantwortliche über die Hintertür des Datenschutzbeauftragten, dem nach Art. 39 DSGVO i.V.m. § 40 Abs. 6 S. 1 BDSG gegenüber der Datenschutzaufsichtsbehörde eine Beratung zusteht, eine Beratung erreichen, indem der Datenschutzbeauftragte die Anfrage in seinem Namen stellt.
Beratung des Verantwortlichen als Ziel für die Zukunft
Letztendlich sollten sich die Datenschutzaufsichtsbehörden jedoch gegenüber der Beratung der Verantwortlichen nicht verschlossen zeigen und diese auch im eigenen Interesse, unabhängig von einer Verankerung im Gesetz, anbieten. Dies würde weder zu Wettbewerbsverzerrungen führen, noch ist eine Befangenheit der Behörde zu befürchten. Vielmehr wird durch die Beratung Rechtssicherheit und eine zügige Umsetzung eines gleichhohen Datenschutzniveaus erreicht.
Dies gilt umso mehr, als das die Beratung deshalb angefragt wird, weil Rechtsbegriffe unbestimmt sind, Unklarheit über deren Auslegung besteht und der datenschutzrechtlich sensibilisierte Verantwortliche sich von vornherein gesetzeskonform verhalten will. Dieses Verhalten sollte in einem Rechtsstaat unterstützt werden, schafft es doch für alle Beteiligten Rechtsklarheit. Letztendlich wird bei gleicher Handhabung über alle 16 Datenschutzaufsichtsbehörden hinweg auch Gerechtigkeit unter Berücksichtigung des Gleichbehandlungsgrundsatzes in Art. 3 Abs. 1 GG erreicht und damit auch einer Wettbewerbsverzerrung entgegengewirkt.
Im Übrigen bleibt es der Datenschutzaufsichtsbehörde unbenommen, eine einmal geäußerte Rechtsmeinung zu revidieren. Man darf wohl in einem Rechtsstaat davon ausgehen, dass diese Änderung der Rechtsauffassung nicht willkürlich erfolgt, sondern aufgrund einer beobachteten Markt- und Rechtsentwicklung, aus der heraus sich unter Berücksichtigung des Gesetzeszweckes, nämlich dem Erreichen eines einheitlichen Datenschutzniveaus, eine Notwendigkeit für die Änderung der Rechtsauffassung ergibt. Diese Änderung der Rechtsauffassung kann für die Zukunft auf vielfältige Weise, z. B. Aufsätze, Handlungsanweisungen etc. eingeleitet werden.
Personelle Kapazitäten, die die Datenschutzbehörde von der „zeitaufwendigen“ Beratung abhalten, sollten auch nicht als Argument angeführt werden. Alles was an Beratung nicht geleistet wird, muss hinterher bei der Überwachung in doppelter und dreifacher Weise aufgewendet werden. Es sei denn, eine flächendeckende Einhaltung des Gesetzes ist nicht intendiert.
Aus all diesen Gründen sollte weiterhin eine Beratungsleistung der Datenschutzaufsichtsbehörden angeboten werden. Und immerhin ist im eingangs verwiesenen Fall das BayLDA zu einer ähnlichen Schlussfolgerung gekommen.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Beratung des Verantwortlichen durch die Datenschutzaufsichtsbehörden.
Ein Bußgeld in Höhe von 1,2 Millionen Euro muss die AOK Baden-Württemberg zahlen. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) verhängte das Millionen-Bußgeld wegen eines massiven Verstoßes gegen die europäische Datenschutz-Grundverordnung (DSGVO).
The post Millionen-Bußgeld gegen AOK appeared first on Datenschutz PRAXIS.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Millionen-Bußgeld gegen AOK.
(Bild: succo über Pixabay)
Eine Vielzahl privater und beruflicher Lebensprozesse lassen sich durch die Nutzung von Plattformen oft erheblich effizienter und einfacher gestalten. Dieser Beitrag beleuchtet, wie bei der Entwicklung einer Plattform der Grundsatz Privacy by Design eingehalten werden kann.
Was kennzeichnet eine Plattform?
Bei Plattformen denken viele zuerst an Social-Media-, Chat-, oder Video-Plattformen. Kein Wunder: laut Statista.com zählen Facebook, YouTube und Twitter immer noch zu den beliebtesten und am häufigsten genutzten Plattformen. Vermutlich, weil sie das soziale Bedürfnis des Menschen bedienen mit anderen in Kontakt zu treten. Gepaart mit Algorithmen, damit immer genau das präsentiert wird, was der Nutzer gerade sehen will. Im Kern geht es bei plattformbasierter Software auch genau darum: Menschen und Daten miteinander zu verbinden.
Auch im beruflichen Umfeld arbeiten wir immer mehr mit plattformbasierten Software-Dienstleistungen. Bei näherer Betrachtung gibt es kaum noch einen Bereich, in dem nicht auf eine funktionale Plattform zurückgegriffen werden kann: Zeiterfassung, Gebäudemanagement, Gehaltsabrechnungen, Social-Enterprise-Networking, Steuerberatung, Wissensmanagement. Die Liste ist lang und die Angebote sind vielseitig.
Der Grundsatz Privacy by Design
Um eine Plattform datenschutzkonform am Markt zu halten, gilt es zunächst den Grundsatz „Privacy by Design“ einzuhalten. Das heißt, den Datenschutz durch Technikgestaltung schon im Entwicklungsprozess umzusetzen.
Dieser Grundsatz ist in Art. 25 Abs. 1 DSGVO normiert. Dort heißt es:
„[…] trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.“
Mehr Klarheit verschafft der hierzu passende und ungewohnt eindeutige Erwägungsgrund Nr. 78 DSGVO:
„Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun.“
Nicht mehr und nicht weniger als Datenschutzgrundsätze
Mit seiner herrlich unkonkreten Definition in Art. 25 DSGVO stellt der europäische Gesetzgeber die Entwickler vor die Herausforderung, genau die passende technische Maßnahme zu treffen, die es nach eigener Auslegung des Betreibers für die Wahrung des Datenschutzes auf der Plattform bedarf.
Privacy by Design meint daher wohl bei wörtlicher Auslegung nicht mehr und nicht weniger als die Plattform so zu konstruieren, dass zu jedem Zeitpunkt der Verarbeitung von personenbezogenen Daten die Anforderungen des Datenschutzes eingehalten werden können.
Strenggenommen hätte es hierfür wohl keines eigenen Artikels bedurft. Die Datenschutz-Grundverordnung legt dem Verantwortlichen die Einhaltung dieser Pflicht in Art. 32 DSGVO ohnehin auf. Vielmehr scheint hinter Art. 25 DSGVO ein deklaratorisch erhobener Finger zu stehen: erst denken, dann entwickeln!
Wohin eine Missachtung dieses Grundsatzes bei Softwareanwendungen führen kann, hat die Deutsche Wohnen SE im vergangenen Jahr eindrücklich demonstriert und für nicht löschbare Mieterdaten in ihrer Datenbank ein saftiges Bußgeld kassiert. Der erste Merkposten für Entwickler ist daher, frühzeitig Maßnahmen zu implementieren, die die Gewährleistungsziele des Datenschutzes sicherstellen. Das Beispiel der Deutsche Wohnen lehrt uns: Löschen muss möglich sein.
Orientierungshilfe für Einzelmaßnahmen
Um den Umsetzungsprozess nicht im Nebel der allgemeinen Grundsätze von Rechtmäßigkeit, Datensparsamkeit, Transparenz und Datensicherheit verschwimmen zu lassen, kann bei der Entwicklung von Plattformfunktionalitäten mit Kontrollfragen gearbeitet werden. Im Wesentlichen geht es darum, durch technische Maßnahme die Gewährleistung von Datenschutzgrundsätzen sicherzustellen.
Die in Art. 25 DSGVO konkret benannte Maßnahme zur datenschutzkonformen Technikgestaltung ist die Pseudonymisierung von personenbezogenen Daten immer dort, wo es möglich erscheint.
Darüber hinaus gilt es sich an der Nomenklatur der DSGVO abzuarbeiten und stets die Frage zu stellen: welche Gewährleistungsziele des Datenschutzes müssen wir beachten und wie können wir diese Ziele durch technischen Maßnahmen erreichen?
Typische Maßnahmen zur datenschutzkonformen Technikgestaltung für Plattform-Entwickler
Nicht überraschend, dass bei der Entwicklung einer Plattform natürlich immer und in erster Linie an die Gewährleistung der Datensicherheit und den Grundsatz der Datensparsamkeit zu denken ist.
Eine plattformtypische Maßnahme ist das Nutzerprofil-Management. Dazu gehört die Umsetzung von Authentifizierungsmechanismen und die Trennung von personenbezogenen Daten. Hiermit kann die Vertraulichkeit ebenso wie die Rechte Betroffener durch vollständige und getrennte Auskünfte bzw. Löschungen gewährleistet werden.
Bei der Frage, welche personenbezogenen Daten zu welchem Zweck an welchem Ort gespeichert werden, ist immer zunächst an die Gewährleistung der Rechtmäßigkeit der Verarbeitung zu denken und die Rechtsgrundlagen für die verschiedenen Verarbeitungen zu definieren und zu dokumentieren. Wenn die Rechtsgrundlage z.B. die Einwilligung ist, sollte technisch sichergestellt sein, dass eine Verarbeitung auch erst nach dokumentierter Einwilligung der betroffenen Person einsetzt. Hieran knüpft denklogisch die Implementierung eines Löschkonzepts an.
Schon frühzeitig sollte sich ein Plattform-Entwickler auch Gedanken darüber machen, ob er oder ein anderer die personenbezogenen Daten auf der Plattform als Verantwortlicher verarbeitet. Verarbeitet er personenbezogene Daten im Auftrag seiner Kunden, dann wird er regelmäßig Auftragsverarbeiter i.S.d. Art. 28 DSGVO sein und einen entsprechenden Vertrag abschließen müssen. In einem solchen Fall sollte auch sichergestellt werden, dass die Plattform mandantenfähig ist. Das heißt, dass die Plattform für verschiedene Kunden voneinander getrennt bereitgestellt werden kann.
Nicht zuletzt sollte eine Plattform über ein Berechtigungskonzept verfügen und die nötigen Voraussetzungen geschaffen werden, um ggf. dem Wunsch auf Datenübertragung nachkommen zu können.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Privacy by Design: Wie wird die Plattform datenschutzkonform?.
Die Anonymisierung von personenbezogenen Daten ist immer noch ein Dauerbrenner im Datenschutzrecht. Was muss man hierbei beachten, wenn dies im Einklang mit den gesetzlichen Vorschriften geschehen soll? Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat dazu ein Positionspapier veröffentlicht. Wir haben uns das einmal angeschaut.
Warum ist das mit dem Anonymisieren eigentlich so wichtig? Der Grund dafür ist ganz einfach: Anonymisierte Daten können – das ergibt sich bereits aus dem Wortsinn – keiner natürlichen Person zugeordnet werden. Solche Daten weisen also keinen Personenbezug auf und unterfallen daher nicht den datenschutzrechtlichen Vorschriften. Obwohl die Unterscheidung also elementar für die Beurteilung datenschutzrechtlicher Sachverhalte ist, finden sich in der DSGVO praktisch keine Regelungen oder Definitionen, was unter anonymen Daten zu verstehen ist.
Lediglich in Erwägungsgrund 26 wird auf anonymisierte Daten Bezug genommen. Danach sollen die datenschutzrechtlichen Grundsätze nicht gelten
„für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann“.
Die Pseudonymisierung ist hingegen ausdrücklich in der DSGVO definiert. Gemäß Art 4 Nr. 5 DSGVO fällt darunter
„die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“.
Anonymisierung nach Stand der Technik
Ist das ein Versehen vom europäischen Gesetzgeber gewesen? Handelt es sich hier um eine ungewollte Regelungslücke, die nun anderweitig geschlossen werden muss? Nein, denn dieser scheinbare Widerspruch lässt sich recht gut auflösen. Der Vorgang der Anonymisierung ist ein hochkomplexer Prozess, der für den Verantwortlichen einen hohen Aufwand bedeutet. Hinzu kommt, dass sich eine valide Anonymisierung stets am neuesten Stand der Technik zu orientieren hat.
Aber was ist der Stand der Technik? Was heute noch gilt, kann morgen schon veraltet sein. Der Stand der Technik definiert sich immer wieder neu. Es wäre daher nicht sinnvoll gewesen, feste Voraussetzungen für die Anonymisierung zu definieren in dem sicheren Wissen, dass diese in absehbarer Zeit überholt sein werden. So hat man zwar weniger Rechtssicherheit im engeren Sinne. Bei der Beurteilung, ob eine Anonymisierung tatsächlich valide ist, können der Verantwortliche, aber auch die jeweilige Aufsichtsbehörde deutlich flexibler agieren.
Ein dauerhafter Prozess
Aus diesen Gründen kann es auch keine „absolute“ Anonymisierung von Daten geben. Theoretisch wird es immer die Möglichkeit geben, dass man die Anonymisierung, und sei es erst in der Zukunft, rückgängig machen kann. Das BfDI stellt in dem Positionspapier auch heraus, dass diese Absolutheit auch gar nicht notwendig ist. Es sei in der Regel ausreichend, dass eine
„Re-Identifizierung praktisch nicht durchführbar ist, weil der Personenbezug nur mit einem unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft wiederhergestellt werden kann“.
Dies deckt sich auch mit den Vorgaben von Erwägungsgrund 26 zur DSGVO. Danach müssen bei der Beurteilung einer Anonymisierung alle verfügbaren Mittel ausgeschöpft worden sein. Zudem sind neben den technischen Möglichkeiten auch Zeit- und Kostenfaktoren, welche man zur Wiederherstellung aufwenden müsste, zu berücksichtigen. Das BfDI weist daher ausdrücklich darauf hin, dass der Verantwortliche die Validität der Anonymisierung dauerhaft zu überprüfen hat.
Anonymisierung ist eine Verarbeitung
Der BfDI vertritt die Auffassung, dass es sich bei der Anonymisierung um eine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO handelt. Konkret wird der Vorgang auf den Begriff der „Veränderung“ gestützt. Dies ist konsequent, da die Daten durch die Anonymisierung ihren Personenbezug verlieren und somit tatsächlich eine Änderung eintritt. Dies muss dann erst Recht gelten, wenn es sich, wie hier, um eine rechtlich ganz entscheidende Wesensänderung der Daten handelt.
Die DSGVO geht von einem sehr umfassenden Begriff der Verarbeitung aus. Bei praktischer Anwendung kann jede Tätigkeit mit personenbezogenen Daten unter das „Verarbeiten“ im Sinne des Art. 4 Nr. 2 DSGVO gefasst werden. Das BfDI nimmt daher an, dass zumindest stets ein „Verwenden“ der Daten vorliegt, auch wenn im Einzelfall kein „Verändern“ zutreffend sein sollte.
Ohne Rechtsgrundlage geht es nicht
Eine Datenverarbeitung bedarf stets einer Rechtsgrundlage! Dies sollte inzwischen selbstverständlich sein. Fraglich ist allerdings, welche Rechtsgrundlagen in Betracht kommen. Auch dazu hat sich der BfDI seine Gedanken gemacht. Grundsätzlich kommen sämtliche Rechtsgrundlagen aus Art. 6 DSGVO in Betracht. Vor allem die folgenden sind hierbei besonders interessant:
Das Zweckbindungsgebot aus Art. 5 Abs. 1 lit. b) DSGVO bestimmt, dass personenbezogene Daten nur einem bestimmten Zweck verarbeitet werden dürfen. Die Vorschrift des Art. 6 Abs. 4 DSGVO greift dieses Gebot dahingehend auf, dass eine Weiterverarbeitung mit dem ursprünglichen Zweck vereinbar sein muss. Streng genommen stellt Art. 6 Abs. 4 daher keine eigene Rechtsgrundlage dar, sondern ist stets im Zusammenhang mit der ursprünglichen Rechtsgrundlage zu nennen.
Wann die Weiterverarbeitung mit dem Ausgangszweck vereinbar ist, wird in Abs. 4 beispielhaft aufgeführt. Im Hinblick auf eine Anonymisierung erscheint dies insbesondere deswegen interessant, weil Unternehmen diese Daten, auch wenn sie dann keinen Personenbezug mehr aufweisen, auf andere Weise verwenden können, zum Beispiel zu statistischen Zwecken. Das BfDI hat hier folgende Leitlinien entwickelt:
Zwischen der Anonymisierung und einer beispielsweise bezweckten Optimierung der Dienstleistungen muss eine hinreichende Verbindung mit dem ursprünglichen Zweck der Begründung und der inhaltlichen Ausgestaltung des Vertragsverhältnisses im Sinne des Art. 6 Abs. 4 Buchst. a) DSGVO bestehen.
Dies ist regelmäßig erfüllt, wenn sowohl die Erhebung der Daten als auch deren Anonymisierung zum Zweck der Optimierung der Dienstleistungen das Vertragsverhältnis zwischen Unternehmen und Kunde betrifft.
Mit Blick auf die Art der personenbezogenen Daten ist gemäß Art. 6 Abs. 4 Buchst. c) DSGVO der Umstand in die Abwägung einzubeziehen, ob es sich bei den Daten um besonders sensible Daten handelt.
Etwaige Folgen der mit der Anonymisierung verbundenen Weiterverarbeitung für die betroffenen Personen (Art. 6 Abs. 4 Buchst. d) DSGVO), die die Annahme einer Inkompatibilität der Weiterverarbeitung nahelegen würden, dürfen nicht ersichtlich sein.
Angesichts der Tatsache, dass Verschlüsselung und Pseudonymisierung ausreichende Garantien gemäß Art. 6 Abs. 4 Buchst. e) DSGVO sein können, muss dies ebenso für die Anonymisierung gelten.
Hier kommt es wie oft auf die Abwägung im Einzelfall an. Entscheidend dürfte in vielen Fällen sein, ob es sich möglicherweise um sensible Daten im Sinne des Art. 9 DSGVO handelt oder welche Folgen die Anonymisierung für die betroffenen Personen haben könnte.
Daten löschen als rechtliche Verpflichtung
Art. 17 DSGVO beinhaltet das sogenannte „Recht auf Vergessenwerden“, um welches in der Vergangenheit schon vielfach gestritten worden war. Das soll hier aber nicht das Thema sein. Aus datenschutzrechtlicher Sicht ist nämlich ebenfalls sehr wichtig, ob und inwiefern das Anonymisieren von Daten mit dem Löschen von Daten gleichgesetzt werden kann. Auch hierzu werden durchaus unterschiedliche Meinungen vertreten. Nach Ansicht des BfDI kann eine Anonymisierung durchaus ein Löschen im Sinne des Art. 17 Abs. 1 lit. a) DSGVO darstellen. Nach dieser Vorschrift sind Daten immer dann zu löschen, wenn die personenbezogenen Daten für die Zwecke, für die sie erhoben oder in anderer Weise verarbeitet wurden, nicht mehr notwendig sind. So kann man dann eine rechtliche Verpflichtung im Sinne des Art. 6 Abs. 1 lit. c) DSGVO erfüllen.
Sobald eine valide Anonymisierung vorgenommen worden ist, haben die Daten ihren Personenbezug verloren. Die Grundsätze des Datenschutzrechts aus Art. 5 DSGVO sind dann nicht mehr anwendbar. In dem Fall kann dann keine weitere Verpflichtung mehr für den Verantwortlichen bestehen, die Daten anderweitig zu verändern. Zwar gibt es immer zumindest die theoretische Möglichkeit zur De-Anonymisierung, allerdings dürfte im Regelfall auch das eigentliche Löschen von Daten nicht zu einer völligen Nichtwiederherstellbarkeit führen. Insofern sind die Sachverhalte durchaus vergleichbar. Das BfDI kommt hier zu einer pragmatischen Lösung, welche die Interessen aller Beteiligten noch am meisten berücksichtigt.
Datenschutz-Folgenabschätzung notwendig
Der BfDI kommt darüber hinaus zu dem Ergebnis, dass vor einer Anonymisierung in der Regel eine Datenschutz-Folgenabschätzung gemäß Art. 35 Abs. 1 DSGVO durchzuführen ist, da es sich meist um eine Verarbeitung in großem Umfang handeln dürfte. Zumindest soll aber das Kriterium „neue Technologien“ zutreffend sein.
Hier stellt sich aber die Frage, ob dies wirklich praxisnah ist. Nicht nur der Anonymisierungsvorgang an sich, sondern auch die Durchführung einer Datenschutz-Folgenabschätzung ist mit einem nicht unerheblichen Aufwand für den Verantwortlichen verbunden. Hier besteht die Gefahr, dass Verantwortliche den Gesamtaufwand einschließlich der Kosten scheuen und im Einzelfall ihren Pflichten aus Art. 17 Abs. 1 DSGVO nicht nachkommen. Die Aufsichtsbehörden sollten daher bei der Überwachung der Umsetzung besonderes Augenmaß walten lassen.
Im Ergebnis lässt sich festhalten, dass die Ausführungen des BfDI inhaltlich zwar nur wenig neue Erkenntnisse beinhalten. Allerdings bietet das Positionspapier dennoch einen Mehrwert dahingehend, dass es den aktuellen Stand zu einer der wichtigsten Thematiken im Datenschutzrecht aufbereitet und zu sinnvollen und gut vertretbaren Lösungen kommt. Für den Bereich der Anonymisierung dürfte das Positionspapier zumindest zu einer erhöhten Rechtssicherheit führen.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Anonymisierung von Daten – Der BfDI informiert.
Noch nicht lange ist es her, da hat der Skandal um den Kindesmissbrauch in Münster ganz Deutschland erschüttert. Nun fordert die Innenministerkonferenz Konsequenzen digitaler Art: Eine Vorratsdatenspeicherung müsse her – wen interessiert schon Datenschutz?
Nicht schon wieder! Dass Politiker regelmäßig für Kopfzerbrechen und Unverständnis (nicht nur) in der Datenschutzwelt sorgen, ist bekannt. Neuester Anlass: Die im Rahmen einer Konferenz in Erfurt letzten Freitag versammelten Innenminister und –senatoren der Länder sowie des Bundes kamen zu dem Entschluss, erneut eine Vorratsdatenspeicherung anzustreben. Eine genauere Analyse zeigt, wie unter dem Deckmantel des Kampfes gegen sexuellen Kindesmissbrauch und Kinderpornografie reinster politischer Aktionismus betrieben wird – unüberlegt, vorschnell und mithilfe eines Rundumschlags gegen Bürgerinnen und Bürger, deren Datenschutz Politikern eigentlich am Herzen liegen sollte.
Münster ist überall
Seitdem der schwere sexuelle Missbrauchsfall in Münster bekannt wurde, herrscht Entsetzen – wie konnten die Täter so lange unentdeckt Kinder quälen und einschlägiges Material im Darknet vertreiben? Aus Sicht von Politikern könne eine Vorratsdatenspeicherung derartige Straftaten künftig verhindern. Dass diese nicht ohne Grund umstritten ist, spielt anscheinend keine Rolle mehr. So müsse laut Bundesfamilienministerin Franziska Giffey (SPD) zur Aufklärung von Kindesmissbrauch jetzt „alles, was nötig und möglich ist“, geprüft und getan werden:
„Wenn die Vorratsdatenspeicherung ein Punkt ist, der dazu gehört, dann müssen wir uns den ansehen und dann müssen wir das auch machen.“
Kindesmissbrauch ist abscheulich. Doch heiligt der Zweck jedes dafür ergriffene Mittel?
Anlasslos, jederzeit, allumfassend
Kaum jemand würde es gutheißen, wenn Einsicht in sein Tagebuch genommen würde. Verständlich, die darin geäußerten Träume, Wünsche und Sehnsüchte sind ja privat. Die Online-Welt spiegelt diese jedoch wider: Welche Videos man guckt, welche Gegenstände man shoppt, mit wem man sich austauscht – all das wird in einer Art digitalem Tagebuch gespeichert. Wer sich im Internet bewegt, hinterlässt nun einmal Spuren. Das alles geschieht bereits jetzt – mithilfe von Tracking, Cookies und beim Speichern durch Ihren Provider.
Die Vorratsdatenspeicherung ermöglicht ein Anreichern Ihres digitalen Tagebuches um immer mehr Informationen. Irgendwann ist im Zweifel jeder Aspekt Ihrer Persönlichkeit darin abgebildet. Dieses Profil ist Gold wert, jedes Werbeunternehmen wäre neidisch. Aber auch Hacker dürften sich nach dem riesigen Datenschatz verzehren, den Provider infolge der massenhaften Speicherung von Daten auf Vorrat anzulegen hätten. Datenschutz? Keine Chance: Gespeichert würde absolut alles, anlasslos, andauernd – je nach Ausgestaltung und (böser) Absicht. Ganz schön angsteinflößend.
Einmal Fuß gefasst…
Kein Grund zur Beunruhigung: Mecklenburg-Vorpommerns Innenminister Lorenz Caffier (CDU) könne sich vorstellen,
„dass die Vorratsdatenspeicherung zunächst auf den Bereich Kinderpornografie beschränkt wird.“
Also halb so wild? Nein. Wie das Wörtchen „zunächst“ zeigt, ist eine umfassendere Vorratsdatenspeicherung geplant – nur versucht man zuallererst den Fuß in die Tür zu bekommen. Dann kann man damit beginnen, Überwachungsmaßnahmen Schritt für Schritt salonfähiger zu machen. Und irgendwann ist es zu spät.
Eine Beschränkung auf Fälle von Kindesmissbrauch wirft aber auch rein praktische Fragen auf: Wenn lediglich Daten von derartigen Sexualstraftätern auf Vorrat gespeichert würden, müsste dann nicht der Provider schon wissen, dass bei dieser und jener Person strafwürdiger Inhalt anfällt? Ginge damit nicht die Forderung nach Vorratsdatenspeicherung für Missbrauchstäter und Konsumenten von Kinderpornografie einher mit der Verpflichtung der Provider, sämtliche Daten auf derartige Inhalte auszuwerten? Müssten Ermittlungsbehörden den Provider dann nicht auch über möglicherweise verdächtige Personen informieren, vielleicht sogar in einem noch sehr frühen Ermittlungsstadium oder gar rein präventiv?
Klar wäre es denkbar, „zunächst“ nur Daten einschlägiger Websites auf Vorrat zu speichern, um länger auf diese zugreifen zu können. Liegt es aber hier nicht vielleicht eher am mangelnden Personal, an Inkompetenz und der langsamen Behördenarbeit, dass nicht rechtzeitig gegen pädophile Straftäter bzw. Websitebetreiber vorgegangen wird?
So verständlich es auch ist, Kinderpornografie endlich Einhalt gebieten zu wollen – viele Straftäter wüssten sich trotz Vorratsdatenspeicherung zu schützen. Auch im Falle des Kindesmissbrauchs in Münster war es so – die elektronischen Geräte des Hauptverdächtigen waren derart verschlüsselt, dass die Ermittler diese lange nicht entsperren konnten. Aber auch Betreiber von Kinderpornografie-Seiten dürften auf Schutz ihrer Konsumenten bedacht sein. Im Zweifel entlohnen sie ihre IT-Fachkräfte besser als der Staat.
Und wieder: Totschlagargumente
Viele Datenschutzlaien hierzulande sind sich sicher: Wer die Vorratsdatenspeicherung ablehne, schütze Kriminelle – Datenschutz sei ja im Übrigen Täterschutz! Solche Aussagen hören wir öfter und ganz ehrlich, langsam haben wir sie satt. Der Datenschutz zielt nicht darauf ab, irgendwelche Straftäter zu schützen, sondern die 99 Prozent, die sich nichts zuschulden kommen haben lassen, davor zu bewahren, von vorne bis hinten ausgespäht zu werden.
Dass in manchen Fällen auch Straftäter von Datenschutz profitieren, lässt sich nicht verhindern – das ist jedoch kein Grund, die Grundrechte aller auszuschalten!
An dieser Stelle lasse ich den NRW-Innenminister Herbert Reul zu Wort kommen:
„Es muss doch möglich sein, aus diesen ideologischen Kriegen von Vorratsdatenspeicherung ja oder nein rauszukommen und einfach mal zu sagen, dann machen wir es eben für den Kinderschutz.“
So ist das also: Der Kinderschutz wird nur vorgeschoben, um die leidige Diskussion um die Vorratsdatenspeicherung ein für alle Mal zu beenden – mit einem für die CDU und SPD befriedigenden Ergebnis. Politiker wissen, wie man der Bevölkerung unangenehme Sachverhalte am besten verkauft. Man muss sie nur ins richtige Licht rücken. Massenüberwachung zwecks Massenüberwachung klingt halt nicht so toll. Wer ist schon ernsthaft gegen den Schutz der Schwächsten unserer Gesellschaft? Keiner. Kritiker der Vorratsdatenspeicherung setzen sich dem Vorwurf aus, die Täter den Opfern vorzuziehen.
Was viele Politiker dabei übersehen: Sie degradieren Kinder zum Objekt, nutzen sie als Mittel zum Zweck, sei es aus Unwissenheit oder Machtgier. Dass der fehlenden Vorratsdatenspeicherung dazu noch die Schuld am unentdeckten Kindesmissbrauch zugeschoben wird, kommt manchen ganz gelegen, lenkt dies doch vom Behördenversagen – und damit auch dem der eigenen Politik – in Münster ab.
Die Odyssee der Vorratsdatenspeicherung
Das Hin und Her beim Thema Vorratsdatenspeicherung beschäftigt Politik, Datenschützer und Gerichte bereits seit 2006 – ein Ende ist nicht in Sicht.
EU-Richtlinie und erstes Gesetz
Die im Jahr 2006 erlassene EU-Richtlinie zur sechsmonatigen, anlasslosen Speicherung aller Telefon-, E-Mail- und Internetverkehrsdaten auf Vorrat wurde mit Urteil des EuGH vom 08. April 2014 rückwirkend für ungültig erklärt. Diese hatte in einem besonders großen Ausmaß und mit besonderer Schwere in EU-Grundrechte eingegriffen.
Das auf Grundlage der Richtlinie geschaffene erste Vorratsdatenspeicherungsgesetz Deutschlands wurde durch das Bundesverfassungsgericht mit Urteil vom 02. März 2010 für verfassungswidrig erklärt. Eine verfassungsgemäße Ausgestaltung der Vorratsdatenspeicherung sei zwar möglich, unterliege allerdings sehr strengen Anforderungen. Neben einem hohen Standard an Datensicherheit und hinreichender Transparenz erfordere eine verfassungsgemäße Ausgestaltung ein effektives Rechtsschutzsystem und klare gesetzliche Regelungen zum Umfang der Datenverwendung. Dabei müssten vorsorglich anlasslose Datenspeicherungen grundsätzlich die Ausnahme bleiben. Die Speicherung auf Vorrat dürfe zudem nicht zu einer Rekonstruierbarkeit praktisch aller Aktivitäten der Bürger führen. Ob das die Bundesregierung interessiert?
Zumindest gab diese nicht auf: Mit dem am 11. Dezember 2015 in Kraft getretenen zweiten Vorratsdatenspeicherungsgesetz wagte sie einen neuen Versuch. Darin steht, dass Standortdaten nunmehr vier Wochen und alle übrigen Verkehrsdaten zehn Wochen gespeichert werden sollten. E-Mail-Daten speichere man nicht mehr. Da sich weiterhin aussagekräftige Bewegungsprofile erstellen ließen, sind auch gegen dieses Gesetz mehrere Verfassungsbeschwerden anhängig. Immer noch.
Derzeit ist die Vorratsdatenspeicherung mehr oder weniger ausgesetzt – fast alle Telekommunikationsanbieter sehen von einer derartigen Speicherung ab. Wieso? Mit Beschluss vom 22. Juni 2017 entschied das Oberverwaltungsgericht Münster im Rahmen eines einstweiligen Rechtsschutzverfahrens, dass der Provider Spacenet vorläufig nicht speichern müsse. Der Grund: Die Speicherpflicht könnte potentiell nicht mit der EU-Grundrechtecharta vereinbar sein. Erst Ende 2016 hatte der EuGH seine Position aus 2014 bestätigt.
Die Bundesnetzagentur gab infolge des Oberverwaltungsgerichtsbeschlusses bekannt, bis zu einer abschließenden Klärung im Hauptsacheverfahren TK-Anbieter, die der Speicherpflicht nicht bereits ab dem 01. Juli 2017 nachkamen, nicht aufsichtsrechtlich zur Rechenschaft ziehen zu wollen.
Am 25. September 2019 entschied das Bundesverfassungsgericht, dem EuGH im Rahmen eines Vorabentscheidungsverfahrens zu konsultieren. Vielleicht weiß der ja mehr. Es bleibt spannend…
Auf Wählerfang
Die Forderung nach einer erneuten Vorratsdatenspeicherung ist juristisch mehr als wackelig und unausgegoren – wieso keimt dieser Vorschlag dann immer wieder auf? Ganz einfach: Ob die massenhafte Datenspeicherung auf Vorrat umgesetzt werden kann oder nicht, ist aus Politikersicht nicht entscheidend! Um Wählerfang zu betreiben, reicht der bloße Anschein aus, gegen Kindesmissbrauch vorzugehen. Ob man die Maßnahmen überhaupt je verwirklicht, ist zweitrangig. Im Zweifel prüft das sowieso keiner.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Vorratsdatenspeicherung im Kampf gegen Kindesmissbrauch?.
Veröffentlicht am 26. Juni 2020 30. Juni 2020
Mittlerweile gibt es viele Möglichkeiten, um Passwörter zu knacken und somit an die geschützten Daten zu kommen. Umso wichtiger ist es, zusätzlich zur Einrichtung von Passwortrichtlinien, Maßnahmen zur Steigerung der Sicherheit zu treffen. Wie diese aussehen können und was Salt und Pepper mit dem Schützen Ihrer Daten zu tun haben, verrät der folgende Beitrag.
Passwörter beschäftigen die Datenschutzaufsichtsbehörden
In seinem letzten Tätigkeitsbericht informierte das bayrische Landesamt für Datenschutzaufsicht (BayLDA), dass man aufgrund vermehrter Meldungen von Datenpannen Websitebetreiber kontrollierte, inwieweit diese angemessen mit den Passwörtern ihrer Nutzer umgehen.
„Obwohl wir ausschließlich Websites von größeren Unternehmen, zum Teil börsennotierte Großkonzerne, hinsichtlich längst bekannter Sicherheitsanforderungen untersuchten, mussten wir feststellen, dass zahlreiche Defizite vorhanden waren. Die getroffenen Sicherheitsmaßnahmen mussten oft als unzureichend eingestuft werden. [….] Da das Ergebnis so ernüchternd ausfiel, werden wir auch weiter aktive Kontrollen im Cybersicherheitsumfeld durchführen und bei Verstößen unser Potential aus dem Maßnahmenkatalog ausschöpfen.“
Und auch das erste Bußgeld einer deutsche Aufsichtsbehörde in Höhe von 20.000 € erging, weil unverschlüsselt und ungehashte Passwörter bei einem Hackerangriff entwendet wurden und später im Netz auftauchten. Unternehmen können daher sogar rechtlich verpflichte sein, Maßnahmen zur Steigerung der Sicherheit von Passwörter zu treffen. Aufgrund des risikobasierten Ansatzes des Art. 32 DSGVO ist dies immer eine Frage des Einzelfalls. Dafür sollte dem Verantwortlichen aber auch bekannt sein, welche Risiken bestehen.
Wie werden Passwörter verschlüsselt?
Passwörter werden mit kryptografischen Hashfunktionen verschlüsselt. Häufig bekannte Beispielalgorithmen sind MD5, SHA-1 und SHA-256. Hashfunktionen reduzieren zunächst nur Zeichenketten beliebiger Länge (unterschiedliche Passwörter) auf Zeichen fester Länge. (z.B. 128 Bit bei MD5 = 32 Zeichen)
Der Hashwert ist das Ergebnis, welches durch eine Hashfunktion berechnet wurde. Oft wird der Hashwert als eine hexadezimale Zeichenkette codiert d.h. der Hashwert besteht aus einer Zahlen- und Buchstaben-Kombination zwischen 0 und 9 sowie A bis F. Ein Beispiel für einen MD5 Hash könnte wie folgt aussehen:
a3cba2e1ba1e3b5c3b5aad87a4329075
Ein winzig kleiner Unterschied in einer Zeichenfolge erzeugt einen völlig unterschiedlichen Hashwert. Zum Beispiel, wenn ein Buchstabe klein- anstatt großgeschrieben wird. Das ist enorm wichtig, da man sonst leicht auf Passwörter schließen könnte, wenn ein festgelegtes Zeichen für einen bestimmten Buchstaben steht, wie es bei der klassischen monoalphabetischen Verschlüsselung der Fall ist.
Am Beispiel des Windows-Logins
Die Datenbank speichert Passwörter nicht direkt, sondern hasht sie beim Anlegen eines Kontos. Dabei speichert sie diesen Hash mit den Benutzerdaten zusammen. Bei Anmeldung eines Benutzers wird sein dabei eingegebenes Passwort gehasht und mit dem gespeicherten Hash verglichen, um den Benutzer zu authentifizieren. Der Systemdienst lsass.exe (Local Security Authority Subsystem Service) ist für das Durchsetzen der Sicherheitsrichtlinien auf den Windows-Systemen zuständig. Er überprüft die Benutzerinformation sowohl bei einer lokalen Anmeldung an einer Workstation als auch bei einer Anmeldung an einem Server. Nun stellt sich allerdings die Frage: Ist das absolut sicher?
Nein, denn…
Brute Force, Passwort-Wörterbücher und Rainbowtables
Ein Brute-Force-Angriff versucht durch wahlloses Ausprobieren von Zeichenkombinationen Passwörter oder Schlüssel herauszufinden. Dabei ist dieser Vorgang meistens vollständig automatisiert, sodass der Rechner mehrere Passwortkombinationen pro Sekunde durchprobiert. Dies geht allerdings nur, wenn im System keine feste Anzahl an möglichen Fehlversuchen festgelegt ist. Je höher die Rechengeschwindigkeit, desto mehr Passwörter pro Sekunde probiert der Rechner aus. So schaffen moderne, schnelle Rechner bis zu 2 Billionen Passwörter pro Sekunde. Je länger die Passwörter sind, desto länger braucht eine Brute Force-Attacke für das Knacken.
Bei einem Wörterbuchangriff versucht der Angreifer mit Hilfe von elektronischen Wörterbüchern Passwörter zu erraten. Das ist häufig mit Erfolg gekrönt, weil viele User bekannte Wörter für ihre Passwörter verwenden. Um Wörterbuchangriffe zu erschweren, wurden Passwort-Policies eingeführt, die zusätzlich Sonderzeichen und Zahlen bei der Festlegung von Passwörtern verlangen.
Die Rainbowtable, zu Deutsch Regenbogentabelle, ermöglicht die Suche nach der ursprünglichen Zeichenfolge (in der Regel ein Passwort) für einen gegebenen Hashwert. Genau wie Passwortwörterbücher, findet man diese vorgefertigten Tabellen im Internet. In diesen, teilweise mehrere Hundert Gigabyte großen Dateien, liegen passend zum verwendeten Verschlüsselungsalgorithmus Passwörter zusammen mit ihren Hashwerten. Allerdings nicht komplett: Stattdessen erzeugt man Ketten, sog. Chains, aus der sich die eigentlichen Werte leicht berechnen lassen und reduziert so den Speicherbedarf der immer noch sehr großen Tabellen.
Möchte man nun ein Passwort anhand eines bekannten Hashwertes ermitteln, durchsucht man zunächst die Liste nach dem vorliegenden Hashwert. Findet man ihn im Anfang oder im Ende einer Kette, ist das Passwort relativ schnell gefunden, denn nun braucht man nur die Wiederholungen der Kette nachzuvollziehen. Ist der Hashwert nicht vorzufinden, folgt eine sogenannte Reduktionsfunktion. Nun reduziert und hasht man den zu knackenden Hashwert immer wieder nach den gleichen Regeln. Durch dieses Verfahren sind alte Algorithmen wie MD5 und SH1 unbrauchbar geworden.
Hier kommt Salt und Pepper ins Spiel
Durch eine Hinzugabe von Salt und Pepper lassen sich Daten schützen. Das Salt erschwert das Entschlüsselns durch Regenbogentabellen. Wenn ein Nutzer ein Passwort festlegt, erstellt das System zusätzlich dazu einen zufälligen Wert, das Salt. Dieser Wert fließt zusammen mit dem Passwort in die Hashfunktion und erzeugt einen anderen Wert. Das Salt und der Hashwert liegen gemeinsam in der Datenbank. Der zufällig vergebene Hashwert des Salts ist nicht in den Regenbogentabellen eingetragen und erschwert somit die Suche nach dem ursprünglichen Passwort erheblich.
Der Pepper erschwert wiederum den Angriff mit Brute Force oder Passwort-Wörterbüchern. Auch Pepper ist eine zufällige Zeichenfolge, die zusammen mit dem Passwort in den Hashwert einfließt. Anders als beim Salt, speichert die Datenbank den Pepper nicht zusammen mit den Login-Daten. Den Pepper bewahrt man getrennt und an einem möglichst sicheren Ort auf. Salt und Pepper haben somit viel mit dem Schützen Ihrer Daten zu tun – sie verhindern das Knacken von Passwörter zwar nicht, erschweren es jedoch erheblich.
Passwortsicherheit: Ein Thema für IT-Sicherheit und Datenschutz
Beim Thema Passwortsicherheit ist sich das BSI einig – als erster Grundsatz zur Steigerung der Sicherheit gilt immer noch: Komplexe Passwörter verwenden! Daneben gibt das BayLDA die folgende Empfehlung als Best-Practice:
Mindestlänge von 10 Zeichen bei hoher Zeichenkomplexität
Bei geringerer Passwortkomplexität Erhöhung der Mindestlänge (20 Zeichen)
Speicherung mit geeigneten gesalzenen Hashverfahren
Zudem sollte die Verifizierung mittels Zwei-Faktor-Authentifizierung in Betracht gezogen werden. Unternehmen sollten regelmäßig ihren Umgang mit Passwörtern überprüfen und das Risiko evaluieren. So wurde bspw. kürzlich das Gesetz gegen Hass im Netz verabschiedet, welches es Sicherheitsbehörden erlaubt, sich von Telemedienanbieter die Passwörter von Nutzern herausgeben zu lassen. Es ist daher nicht unwahrscheinlich, dass die Datenschutzaufsichtsbehörden hier in Zukunft noch genauer hinschauen werden.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Passwörter hashen: Sicherer mit Salt and Pepper.
Nach etwas mehr als zwei Jahren DSGVO, hat die EU-Kommission gestern erstmalig einen Bericht veröffentlich, welcher die Anwendung und Auswirkungen der DSGVO untersucht. Neben kleineren und größeren Erfolgen der DSGVO, werden auch Schwachstellen aufgedeckt und Änderungsvorschläge unterbreitet.
Die EU-Kommission kommt ihrer Berichtspflicht nach
Fast am Ende der DSGVO ist geregelt, dass die EU-Kommission zunächst bis zum 25 Mai 2020 und danach alle vier Jahre dem Europäischen Parlament und dem Rat einen Bericht über die Bewertung und Überprüfung der DSGVO vorzulegen hat (vgl. Art. 97 DSGVO). Etwas verspätet kommt die EU-Kommission nun dieser Pflicht nach. Durch die Berichtspflicht der EU-Kommission wird eine zusätzliche Kontrollinstanz geschaffen, um die Wirkungsweise der DSGVO zu überprüfen.
Positive Bilanz trotz reichlich Handlungsbedarf
Im Großen und Ganzen zieht die EU-Kommission eine positive Bilanz. Die DSGVO habe ihr Ziel erreicht das Recht des Einzelnen auf informationelle Selbstbestimmung zu stärken und gleichzeitig weiterhin den freien Verkehr von personenbezogenen Daten zu garantieren.
Dennoch wird eingeräumt, dass es noch viele Bereiche gibt, welche verbessert werden müssen. Zudem ist zu berücksichtigen, dass nach zwei Jahren es für einige Bereich noch nicht möglich ist eine umfassende Evaluierung vorzunehmen.
Die wesentlichen Ergebnisse der EU-Kommission
Die EU-Kommission beleuchtet in ihrem Bericht die Wirkungsweise der DSGVO für folgenden Bereiche:
Die Aufgaben der Aufsichtsbehörde
Zunächst wird festgestellt, dass sich der One-Stop-Shop Mechanismus bewährt hat und hierdurch bereits einige grenzüberschreitende Fälle bewältigt wurden. Dennoch müssen in der Zukunft die Aufsichtsbehörden enger zusammenarbeiten und bspw. gemeinsame Untersuchungen vornehmen, um so auch die Harmonisierung der DSGVO zu stärken. Hierbei wird z.B. auch eine Vereinheitlichung der verfahrensrechtlichen Gestaltungen angesprochen. Zudem betont die EU-Kommission wie wichtig es ist, dass die Aufsichtsbehörden genügend Ressourcen zur Verfügung gestellt werden, um ihre tragende Rolle bei der Durchsetzung der DSGVO erfüllen zu können. Insbesondere der Aufsichtsbehörde in Luxemburg und Irland sind hierbei von großer Bedeutung, weil dort viel Tech-Unternehmen angesiedelt seien.
Nationale Regelungen zum Datenschutz
Durch die in der DSGVO verankerten Öffnungsklauseln sind die Mitgliedsstaaten angehalten einige Bereiche selbst zu regulieren oder zumindest die Regelungen der DSGVO zu präzisieren. Bis auf Slowenien, sind dem alle Mitgliedsstaaten nachgekommen. Bei grenzüberschreitender Verarbeitung stellen mitunter unterschiedliche nationale Reglungen eine gewisse Herausforderung für den Verantwortlichen dar. So beispielsweise bei der Festlegung des Alters für die Einwilligung von Kindern für Dienste der Informationsgesellschaft.
Sensibilität für Datenschutz wächst
Wie bereits von vielen Seiten schon festgestellt, bestätigt auch die EU-Kommission, dass das Bewusstsein für Datenschutz gestiegen ist. Nach einer Studie haben 69 % der EU Bevölkerung über 16 Jahre bereits von der DSGVO gehört. Viele Betroffene machen von ihren Rechten Gebrauch. Daneben rückt auch bei Drittländern verstärkt das Thema Datenschutz in den Fokus, wobei die DSGVO als Vorbild diene.
DSGVO als Herausforderung für bestimmte Bereiche
Gerade für kleinere und mittlere Unternehmen (KMU) wird anerkannt, dass die DSGVO teilweise eine Herausforderung darstellt. Auf Grund des risikobasierten Ansatzes der Verordnung lassen sich aber allein auf die Größe von Unternehmen keine Ausnahmen von der DSGVO stützen. Vielmehr sei es die Pflicht der Aufsichtsbehörden für diese Unternehmensgruppe weiter Hilfestellungen anzubieten. Auch in Hinblick auf neue Technologien (z.B. KI oder Blockchain) stellen die Anwendung der bewährten Prinzipien der DSGVO eine Herausforderung dar.
Die EU-Kommission ist bemüht mit Drittländern in den Dialog zu treten, um zu prüfen, ob diesen Ländern durch Erlass eines Angemessenheitsbeschlusses ein angemessenes Datenschutzniveau bestätigt werden kann. Für das Vereinigte Königreich wird gerade aufgrund des Brexits eine solche „Angemessenheits-Untersuchung“ ausgeführt. Daneben sollen die erlassenen Angemessenheitsbeschlüsse regelmäßig überprüft werden. Zudem werden die bereits in der Kritik stehenden EU-Standarddatenschutzklauseln, ein weiterer Mechanismus für Drittländer um ein angemessenes Datenschutzniveau zu garantieren, überarbeitet.
Weiterer Handlungsbedarf besteht
Ziel ist es künftig die Harmonisierung des Datenschutzes voranzutreiben und somit den Bedürfnissen der Einzelnen und der Unternehmen Rechnung zu tragen. Neben den bereits oben genannten Verbesserungsvorschlägen der EU-Kommission, wird im Bericht u.a. noch aufgeführt, dass eine „Datenschutzakademie“ von der EU-Kommission eingerichtet wird. Hierdurch soll eine Plattform für einen Austausch zwischen der europäischen sowie den Datenschutzbehörden der EU-Länder geschaffen werden.
Bezüglich konkreter Gesetzesänderungen ist die EU-Kommission noch zögerlich und führt nur aus, dass unter Beachtung von weiterer Rechtsprechung mögliche Änderungen von DSGVO Normen zu prüfen sind. Ein Änderungsbedarf sieht die EU-Kommission insbesondere in Hinblick auf die Pflicht zur Führung von Verarbeitungsverzeichnissen für KMU unter bestimmten Voraussetzungen und bzgl. einer Harmonisierung des Mindestalters für Kindern im Rahmen von Art. 8 DSGVO.
Auswirkungen des Berichts
Gerade in Hinblick auf die rasanten technischen Entwicklungen ist es sinnvoll, wenn die Wirksamkeit der DSGVO regelmäßig evaluiert wird. Dies hat nicht zuletzt die Erfahrung der Vergangenheit gezeigt, denn neben mangelnder Harmonisierung, war auch die Kluft zwischen technischer Entwicklungen und Regelungen der DS-RL (95/46/EG) groß.
Die Berichterstattung der EU-Kommission ist somit ein wichtiger Beitrag, um im ersten Schritt Anregung zu Änderungen und Verbesserungen zu geben, die dann von europäischen Rat und dem Parlament umgesetzt werden müssen. Wichtig ist, dass hier spezifische Änderungen genannt werden, aus welchen sich klare Handlungen ableiten. Zum Teil ist dies der Kommission gelungen, inwieweit diese nun ausgebaut werden, liegt an den einzelnen Akteuren.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Erster Bericht der EU-Kommission zur DSGVO.
Rechte & Pflichten: Polizei & Straftaten filmen, Personenkontrolle, u.v.m.
Die Randale in Stuttgart lässt mehr als eine Frage offen. Dabei dürften datenschutzrechtliche Probleme nicht unbedingt ganz oben auf der Liste stehen. Da der Datenschutz aber besonders seit Inkrafttreten der DSGVO immer wieder in der öffentlichen Diskussion als Sündenbock herhalten muss, aus aktuellem Anlass vorab ein paar Klarstellungen.
Personenkontrollen durch die Polizei: Dürfen die das (einfach so) und welche Daten muss ich preisgeben?
Nun, „einfach so“, also aus reiner Willkür, natürlich nicht. Allerdings mag der Grund für die Kontrolle nicht offensichtlich für die kontrollierte Person sein. Fragen Sie also nach dem Grund. Die Polizei kann grundsätzlich sowohl repressiv, also aufgrund des Verdachts einer Straftat, oder präventiv, also Straftaten vorbeugend handeln. Bei einer Identitätsfeststellung aufgrund des Verdachts einer Straftat sind die Regelungen deutschlandweit einheitlich: Rechtsgrundlage ist § 163b Abs. 1 StPO
Polizeirecht dagegen ist Ländersache. Die Voraussetzungen für Personenkontrollen ohne konkreten Straftatverdacht können daher von Bundesland zu Bundesland etwas variieren. Selbstverständlich gilt aber stets auch bei rein präventivem Vorgehen der Polizei ein Willkürverbot. Daher muss die präventive Maßnahme der Polizei stets der Gefahrenabwehr dienen. Es muss also eine Gefahr für ein Rechtsgut bestehen. Eine solche präventive Maßnahme zum Zweck der Gefahrenabwehr kann z.B. ein Platzverweis oder auch die Feststellung der Personalien sein. Bei einer rein präventiven Maßnahme darf die Polizei daher den Namen, Geburtstag und -ort, die Wohnan­schrift und die Staats­angehörigkeit erfragen. Nach dem Personalausweis darf ebenfalls gefragt werden. Sie als Betroffener trifft aber keine Pflicht, diesen ständig bei sich zu führen. Fragen zu Ihrer Person sollten Sie wahrheitsgemäß beantworten, da Falschangaben eine Ordnungswidrigkeit darstellen.
Bei einer Personenkontrolle ist der Betroffene über diese Angaben zur eigenen Person hinaus regelmäßig nicht zu Auskünften verpflichtet. Weitere Fragen der Polizei müssen Sie also nicht beantworten.
Übrigens sind Sie nicht verpflichtet, sich gegenüber anderen Personen wie Kaufhausdetektiven, Sicherheitspersonal oder Fahrkartenkontrolleuren „auszuweisen“.
Darf ich als Privatperson Straftaten mit dem Handy filmen?
Smartphones sind allgegenwärtig, deswegen ist die Kamera schnell zur Hand, wenn ich in der Öffentlichkeit eine (evtl. vermeintliche) Straftat sehe. Ist das Anfertigen einer Aufnahme zulässig?
Vorweg: Wer filmt, wie eine andere Person Opfer einer Straftat wird und dem Opfer nicht zur Hilfe kommt, kann wegen unterlassener Hilfeleistung nach § 323c StGB bestraft werden. In einer Notsituation sind Sie zur Hilfeleistung verpflichtet. Eine Notsituation besteht, wenn eine erhebliche Gefahr für andere Personen oder Sachen besteht, z.B. ein Betrunkener auf der Straße niedergeschlagen wird oder wenn auf sonst wehrlose Personen eingeprügelt oder getreten wird. Die Hilfeleistung ist erforderlich, wenn sich die Person nicht selbst helfen kann oder keine anderweitige Hilfe vorhanden ist. Die Hilfeleistung muss Ihnen allerdings zumutbar sein. Dies ist der Fall, wenn für Sie als Helfendem selbst keine erhebliche Gefahr besteht. Ob dies der Fall ist, müssen Sie selbst vor Ort einschätzen.
Gleiches gilt, wenn Sie beim Filmen Rettungskräften im Weg stehen. Dies kann als unterlassene Hilfeleistung und als Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen (§ 201a StGB) geahndet werden. Auf unseren Blogbeitrag zu Unfallgaffern sei hier empfehlend verwiesen.
Unerlaubtes Filmen stellt einen Eingriff in die Persönlichkeitsrechte der betroffenen Person dar. Das Recht am eigenen Bild ist ein Teil des Allgemeinen Persönlichkeitsrechts, das jeder Person zusteht. Sinn und Zweck ist der Schutz der Privat- und Intimsphäre. Das kann es ja in unserem Beispielsfall, wenn eine Gefahr für ein Rechtsgut besteht aber doch nicht sein, meinen Sie? Ja, richtig. Angenommen, Sie können ohne erhebliche Eigengefährdung nicht eingreifen, könnten aber schnell ein Foto der Täter machen. Hierdurch kann der oder die Täter ggf. erkannt und die Ermittlungstätigkeit von Polizei und Staatsanwaltschaft erleichtert werden. Es gibt also einen konkreten Anlass für das Foto und die Videoaufnahme. Zwar hat natürlich auch ein Täter schutzwürdige Interessen, diese treten in diesem Fall aber zurück. Aus diesem Grund dürfen Sie die Aufnahmen dann auch der Polizei übergeben.
Darf ich die Filme hinterher posten?
Nein. Stellen Sie diese Aufnahmen nicht ins Internet, posten Sie sie nicht auf Facebook und teilen Sie sie nicht in der WhatsApp-Gruppe. Private Fahndungsaufrufe sind unzulässig. Es gibt Hinweisportale der Polizei, bei denen Sie Aufnahmen ggf. sogar anonym hochladen können. Oder Sie gehen direkt mit den Bildern zur Wache.
Darf ich die Polizei fotografieren oder filmen?
Polizeiliche Einsätze zu filmen und zu fotografieren, ist grundsätzlich zulässig. Nach §§ 22, 23 Kunsturhebergesetz (KUG) i.V.m. § 33 KUG macht man sich aber strafbar, wenn Sie die Bilder ohne Einwilligung der Abgebildeten verbreiten oder öffentlich zur Schau stellt.
Da in diesem Zusammenhang bereits des Öfteren eine Verletzung der Vertraulichkeit des Wortes nach § 201 Abs. 1 StGB von Seiten der Polizei geltend gemacht wurde, ist zu Bedenken, ob eine Tonaufnahme gerechtfertigt sein kann oder eher nicht erforderlich ist. Mehr Informationen hierzu finden Sie in unserem Blogbeitrag „AG München: Strafbarkeit der Videoaufnahme einer Polizeikontrolle„.
Was darf die Polizei in sozialen Netzwerken?
Derzeit kursieren zahlreiche Videos und Fotos aus der Nacht von Samstag auf Sonntag in sozialen Netzwerken. Laut Pressemeldungen ist die Polizei bereits dabei, diese Aufnahmen zu sammeln und auszuwerten. Ist dies rechtlich zulässig?
Grundsätzlich darf die Polizei auch in sozialen Netzwerken ermitteln, soweit es öffentlich zugängliche Profile betrifft:
„Eine Kenntnisnahme öffentlich zugänglicher Informationen ist dem Staat grundsätzlich nicht verwehrt. Dies gilt auch dann, wenn auf diese Weise im Einzelfall personenbezogene Informationen erhoben werden können (…). Daher liegt kein Eingriff in das allgemeine Persönlichkeitsrecht vor, wenn eine staatliche Stelle im Internet verfügbare Kommunikationsinhalte erhebt, die sich an jedermann oder zumindest an einen nicht weiter abgegrenzten Personenkreis richten. So liegt es etwa, wenn die Behörde eine allgemein zugängliche Webseite im World Wide Web aufruft, eine jedem Interessierten offen stehende Mailingliste abonniert oder einen offenen Chat beobachtet.
Ein Eingriff in das Recht auf informationelle Selbstbestimmung kann allerdings gegeben sein, wenn Informationen, die durch die Sichtung allgemein zugänglicher Inhalte gewonnen wurden, gezielt zusammengetragen, gespeichert und gegebenenfalls unter Hinzuziehung weiterer Daten ausgewertet werden und sich daraus eine besondere Gefahrenlage für die Persönlichkeit des Betroffenen ergibt. Hierfür bedarf es einer Ermächtigungsgrundlage.“
BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07
Wenn die Polizei also lediglich im Internet offen verfügbare oder für einen nicht weiter abgegrenzten Personenkreis gerichtete Informationen – wie zum Beispiel auf YouTube für jeden freigegebene Videos – abruft, benötigt sie für diese Ermittlungstätigkeiten keine spezielle Ermächtigungsgrundlage. Die jeweiligen Aufgabenzuweisungen der landesrechtlichen Polizeigesetze reichen hier aus.
Problematisch wird es erst, wenn gezielt Profile erstellt werden oder die Polizei zum Beispiel mittels Tarnidentität ermittelt und das schutzwürdige Vertrauen eines Betroffenen ausnutzt.
Die einfache Antwort ist selten die richtige
Wir sehen – die Phrase des Datenschutzrechts als „Täterschutzrecht“ verfängt nicht. Datenschutz bezieht sich im vorliegenden auf die grundlegenden Freiheitsrechte der Bürger im demokratischen Rechtsstaat. Daher können Sicherheitsmaßnahmen, die den Datenschutz berühren, nie ohne den Bezug auf die Freiheitsrechte diskutiert werden. Man muss sein Vorgehen begründen können. Diesen Aufwand sollte uns unser Rechtsstaat wert sein.
Pünktlich zum Ende des zweiten Quartals, und somit noch vor einem möglichen Sommerloch, gibt es wieder etwas Neues in Sachen Facebook. Dieses Mal geht es um einen länger schwelenden Konflikt zwischen dem Social-Media-Riesen und dem Bundeskartellamt (BKartA). Vorläufiger Höhepunkt ist nun eine Entscheidung des Bundesgerichtshofs (BGH).
Im Februar 2019 flatterte bei Facebook ein Briefumschlag ein. Darin befand sich eine Verbotsverfügung von einem Bundesamt. Böse Zungen würden behaupten, dass das ja nichts Ungewöhnliches ist. Ungewöhnlich – und somit interessant – war aber, dass es sich dabei um eine Verbotsverfügung vom Bundeskartellamt handelte. Darin hatte die Behörde Einwände dagegen erhoben, wie Facebook Daten über Personen aus Anwendungen von Drittanbietern – einschließlich WhatsApp und Instagram – zusammenführt und Personen, die keine Konten haben, über Facebook-„Gefällt mir“ oder „Teilen“-Buttons online verfolgt. Gleiches gelte auch für das Sammeln von Daten von Websites Dritter und deren Zuweisung an Facebook. Ohne eine solche Zustimmung müsste Facebook das Sammeln und Verknüpfen von Daten erheblich einschränken.
Gegen die Verbotsverfügung ging Facebook gerichtlich vor. Die Sache wurde dem Oberlandesgericht Düsseldorf vorgelegt, das Zweifel an der Rechtmäßigkeit der Verfügung äußerte. Es ordnete daher die Aussetzung der Verfügung an und legte die Sache dem BGH vor (Beschl.v. 26.08.2019, Az. VI-Kart 1/19 (V)).
Wieso überhaupt das Bundeskartellamt?
Diese Frage mag sich so mancher Leser wohl stellen. Auch Datenschützer kommen nicht um diese Frage herum. Das BKartA, wie der Name es schon nahelegt, ist nämlich eine Wettbewerbsbehörde und hat von Hause aus wenig mit Datenschutz zu tun. Auf der eigenen Webseite definiert es seine eigene Tätigkeit wie folgt:
„Aufgabe des Bundeskartellamtes ist in erster Linie die Anwendung und Durchsetzung des GWB und damit der Schutz des Wettbewerbs in Deutschland. (…):
die Überprüfung der Vergabe öffentlicher Aufträge des Bundes
Verbraucherschutz“
Das Bundeskartellamt ist, um es auf den Punkt zu bringen, der Hüter des fairen Wettbewerbs im deutschen Marktsystem. Datenschutz steht da eigentlich nicht auf dem Plan.
Das Monopol Facebook
In einer freien Marktwirtschaft ist es das Zusammenspiel von Angebot und Nachfrage, das darüber entscheidet, welche Waren und Dienstleistungen zu welchen Preisen und Qualitäten ausgetauscht werden. Der Wettbewerb führt zu Auswahl- und Ausweichmöglichkeiten, was Kunden oder Lieferanten erfreut und für einen lebhaften Markt sorgt. Bei Facebook ist das BKartA jetzt eingeschritten, weil Facebook seinen Nutzern keine Wahl lässt. Wer dabei sein will, muss zustimmen, dass das Unternehmen Daten sammelt und zusammenführt.
Für die obersten Wettbewerbshüter fehlt es am Merkmal der Freiwilligkeit. Damit ist dies auch nicht im Sinne der DSGVO, die eine ausdrückliche Zustimmung verlangt. Jeder Internetnutzer kennt das, wenn er gefragt wird, ob Cookies gesetzt werden dürfen. Aus Sicht des Kartellamtes missbraucht Facebook seine überragende Stellung am Markt, denn Nutzer können praktisch nicht auf Alternativen ausweichen.
Der BGH gibt dem BKartA recht
Der Bundesgerichtshof hat, überraschend deutlich, die Aussetzungsanordnung des OLG Düsseldorf aufgehoben. Der zuständige Senat am BGH stützt somit die Auffassung des Bundeskartellamts. Er begründet seine Entscheidung damit, dass es keine ernsthaften Zweifel gäbe, dass Facebook in Deutschland eine marktbeherrschende Stellung innehabe und dass es die vom Kartellamt verbotenen Geschäftsbedingungen missbraucht habe.
„Facebook muss den Nutzern die Möglichkeit geben, weniger über sich selbst preiszugeben – vor allem das, was sie außerhalb von Facebook preisgeben“,
so der vorsitzende Richter Meier-Beck.
Der vorliegende Fall zeigt wie das Datenschutzrecht sich mit anderen Rechtsgebieten verzahnen lässt. Als Einfallstor in den Datenschutz dient hier das Kartell- und Wettbewerbsrecht. Dabei geht es einerseits um eine rechtlich hochinteressante aber gleichzeitig komplexe juristische Fragestellung, deren Beantwortung weitreichendere Auswirkungen haben kann. Denn Deutschland ist das erste Land, das untersucht, ob die Datenmarktbeherrschung ein kartellrechtliches Problem darstellt. Im Bereich des Kartellrechts betritt man somit totales Neuland.
Was heißt das für den Nutzer?
Anderseits ist es auch aus Sicht der Nichtjuristen ein interessanter Fall. Facebook ist im Alltag dauerhaft gegenwärtig und die Verarbeitung von Daten wird immer umfassender. Eine Einschränkung der Datenverarbeitung von Facebook wird für jeden spürbar. Nur wie wird es Facebook umsetzen? Ein technischer Ansatz wäre möglich. So könnte auf die Verarbeitung in dem oben genannten Maße gänzlich verzichtet werden. Das würde aber dem Geschäftsmodell zuwiderlaufen und würde Facebook eine große Einnahmequelle verwehren. Der Weg über einen rechtlichen Ansatz ginge nur über eine nunmehr datenschutzrechtlich konforme Einwilligung.
Aber auch hier würden sich neue Probleme stellen. Während bei neuen Nutzeranmeldungen unproblematisch eine entsprechende Einwilligung eingeholt werden kann, sieht es bei bereits registrierten Nutzern schwieriger aus. Was passiert nämlich, wenn ein Nutzer seine Einwilligung nachträglich nicht erteilt? Folgerichtig müsste Facebook die Daten löschen. Hier könnte eine Menge Arbeit auf das Unternehmen zukommen, denn bei der Masse an Nutzern wird es sicherlich nicht nur bei vereinzelten Verweigerungen bleiben.
Auch wenn die Entscheidung des BGH nur einen Etappensieg darstellt, weil Facebook gegen das Kartellamt weiter vor Gericht in Düsseldorf klagen kann. Dennoch ist es wegen der problematischen Umsetzung ein schwerer Schlag, denn bis zur Entscheidung im Klageverfahren muss das Verbot eingehalten werden. Ein spannender nächster Akt steht uns wohl bevor.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: BGH schränkt Datenverarbeitung durch Facebook ein.
Veröffentlicht am 20. Juni 2020 25. Juni 2020
Die datenschutzrechtlichen Aufsichtsbehörden in Deutschland haben eine Vielzahl verschiedener gesetzlich verankerter Aufgaben und Befugnisse, die in diesem Beitrag aufgezeigt werden.
Europäische und nationale Datenschutzaufsichtsbehörden
Neben den nationalen Datenschutzaufsichtsbehörden gibt es auch die europäische Datenschutzaufsichtsbehörde, die aus der Artitel-29-Datenschutzgruppe hervorgegangen ist und mit eigener Rechtspersönlichkeit „sui generis“ gem. Art. 68 Abs. 1 DSGVO ausgestattet ist. Mitglied dieser europäischen Datenschutzaufsichtsbehörde ist gem. Art. 68 Abs. 3 DSGVO der Leiter der nationalen Aufsichtsbehörde. Im Falle der Bundesrepublik Deutschland ist der Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) gem. § 17 Abs. 1 S. 1 BDSG Teil dieser Aufsichtsbehörde und vertritt nach dort den Standpunkt aller deutscher Aufsichtsbehörden.
Die europäische Datenschutzaufsichtsbehörde trifft rechtsverbindliche Entscheidungen, deren Umsetzung den nationalen Aufsichtsbehörden obliegt. Sie handelt dabei weisungsfrei und unabhängig. Um die einheitliche Umsetzung der datenschutzrechtlichen Vorgaben auf europäischer Ebene zu erreichen, steht ihr auch die verbindliche Aufsicht über alle Aufsichtsbehörden der Mitgliedsstaaten zu.
Nationale Datenschutzaufsichtsbehörden in Deutschland
Jedes Bundesland hat gem. § 40 BDSG eine Landesdatenschutzbeauftragten, d.h. es gibt insgesamt 16 Landesdatenschutzbeauftragte in Deutschland. Diese sind grundsätzlich sowohl für öffentliche als auch nicht-öffentliche Stellen (d.h. Unternehmen) gleichermaßen zuständig.
Anders verhält es sich in Bayern, wo es zu dem Landesdatenschutzbeauftragten, der für öffentliche Landesstellen zuständig ist, noch die Landesaufsichtsbehörde für nicht öffentliche Stellen (Unternehmen) gibt.
Berücksichtigt man noch den Bundesbeauftragten für Datenschutz und Informationsfreiheit gibt es insgesamt 18 Aufsichtsbehörden in Deutschland (16x Landesdatenschutzbeauftragte, 1x BfDI und 1x BayLDA). Näheres hierzu inklusive Kontaktdaten zu den einzelnen Aufsichtsbehörden haben wir in diesem Artikel dargestellt: Datenschutzbeauftragte von Bund und Ländern
Stellung der nationalen Datenschutzaufsichtsbehörden
Die Stellung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit manifestiert sich in § 18 BDSG, wohingegen sich die Stellung der nationalen Aufsichtsbehörden, also der 16 Landesdatenschutzbeauftragten und des BayLDA, aus Art. 52 DSGVO ergibt. Letztere handeln unabhängig und weisungsfrei, ohne direkte oder indirekte Beeinflussung von außen, um eine einheitliche Anwendung der DSGVO herbeizuführen und deren Umsetzung zu überwachen und die Zusammenarbeit der Aufsichtsbehörden untereinander zu gewährleisten.
Grundsätzlich sind die nationalen Aufsichtsbehörden nur im Hoheitsgebiet ihres Mitgliedsstaates nach Art. 55 Abs. 1 DSGVO. Bei Grenzüberschreitenden Datenverarbeitungen gibt es jedoch die Möglichkeit einer federführende Aufsichtsbehörde gem. Art. 56 DSGVO i.V.m. Art. 60 DSGVO, die von der örtlich zuständigen Aufsichtsbehörde zu unterrichten ist. Als federführende Aufsichtsbehörde kommt die Aufsichtsbehörde (One Stop Shop) in Betracht, in deren Zuständigkeitsbereich sich die Hauptniederlassung oder die einzige Niederlassung des Verantwortlichen befindet.
Zu beachten ist jedoch, dass eine Übertragung der Zuständigkeit auf die federführende Aufsichtsbehörde dann nicht in Frage kommt, wenn der Verantwortliche die Daten nach
Art. 6 Abs. 1 S. 1 c DSGVO zur Erfüllung einer rechtlichen Verpflichtung erforderlich verarbeitet oder nach
Art. 6 Abs. 1 S. 1 e DSGVO zur Erfüllung einer Aufgabe im öffentlichen Interesse erforderlich verarbeitet wird oder in Ausübung öffentlicher Gewalt erfolgt.
Aufgabenkatalog der nationalen Datenschutzaufsichtsbehörden
Ein umfangreicher Aufgabenkatalog, den die deutschen Datenschutzaufsichtsbehörden in ihrem jeweiligen Hoheitsgebiet zwingend zu erfüllen haben, findet sich in Art. 57 DSGVO. Daneben existiert
noch der Verweis aus Art. 57 Abs. 1 lit. v DSGVO „der jede sonstige Aufgabe im Zusammenhang mit personenbezogenen Daten“ als Aufgabe miteinbezieht
sowie die Öffnungsklauseln für die Mitgliedsstaaten für Aufgabenzuweisungen aufgrund nationaler Gesetze.
Mit diesen gesetzlichen Regelungen hat die DSGVO die Aufgaben der Datenschutzaufsichtsbehörde ausgeweitet.
Unterteilung der Aufgaben nach Interessensgruppen
Die Aufgaben, die die Datenschutzaufsichtsbehörde nach der DSGVO und den Erwägungsgründen EG 123 sowie EG 132 wahrnehmen muss, bestehen gegenüber verschiedenen Interessensgruppen
nationalen Parlamenten, Regierungen, Behörden inkl. anderer Aufsichtsbehörden
den Auftragsverarbeitern
Hauptaufgaben der Datenschutzaufsichtsbehörde
Zu den elementaren Aufgaben der Datenschutzaufsichtsbehörde zählen
die Bearbeitung von Anfragen und Beschwerden der Betroffenen in Art. 57 Abs. 1 lit. e, f DSGVO
die Untersuchung über die Durchführung der DSGVO (Art. 57 Abs. 1 lit h DSGVO) anzustellen
die Durchführung der DSGVO zu überwachen und durchzusetzen
die Verantwortlichen für die Verpflichtungen aus der DSGVO zu sensibilisieren.
Zu den weiteren Aufgaben zählen unter anderem
die Black- und Whitelisten für die Datenschutz-Folgenabschätzung
die Prüfung von Zertifizierungen und deren Erteilung
die Festlegung von Kriterien für den internationalen Datenverkehr
die Festlegung von Standardvertragsklauseln
Befugnisse der nationalen Datenschutzaufsichtsbehörden
Um diese Aufgaben erfüllen zu können und das Ziel, die Schaffung eines gleichwertigen Datenschutzniveaus innerhalb der EU mittels eines einheitlichen Vollzugsrahmens zu erreichen (s. EG 123, EG 129) , behält sie zum einen die Entwicklungen der Informations-/Kommunikationstechnologie in der Unternehmenspraxis im Auge und wird in Art. 58 DSGVO mit einem umfangreichen Befugniskatalog ausgestattet, um die Überwachung und Durchsetzung der DSGVO zu erreichen. Die Befugnisse lassen sich in folgende Kategorien unterteilen:
Untersuchungsbefugnisse Art. 58 Abs. 1 DSGVO (mit und ohne Anlass)
Abhilfebefugnisse Art. 58 Abs. 2 DSGVO
Genehmigungsbefugnisse und beratende Befugnisse Art. 58 Abs. 3 DSGVO
Geldbußen zur Durchsetzung von Befugnissen
Daneben gibt es noch die Möglichkeit der Geldbußen nach Art. 83 DSGVO. Insbesondere verdeutlicht Art. 83 Abs. 2 DSGVO i.V.m. Art. 58 Abs. 2 DSGVO, dass die Aufsichtsbehörde ihre Befugnisse mittels verhängter Geldbußen nachhaltig durchsetzen kann. Es steht der Datenschutzaufsichtsbehörde frei, die Geldbuße anstelle einer Abhilfemaßnahme oder zusätzlich hierzu, zu verhängen. Die Geldbuße soll vor allem wirksam, verhältnismäßig und abschreckend sein, wie sich aus dem DSK: Modell zur Berechnung von DSGVO Bußgeldern ergibt.
Für den Verantwortlichen von wesentlicher datenschutzrechtlicher Bedeutung ist in der täglichen Praxis die Beratungsfunktion der Datenschutzaufsichtsbehörde. Nicht nur die Höhe der möglichen Geldbußen auch das Verlangen vieler, sich rechtstreu zu verhalten, veranlasst Verantwortliche Hilfe bei den Behörden hinsichtlich der Behandlung gewisser Sachverhalten zu erlangen. Inwieweit die Beratung des Verantwortlichen in der Tat zu den Befugnissen der Datenschutzaufsichtsbehörde zählt, wird in einem nachfolgenden Artikel behandelt.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Aufgaben und Befugnisse der Datenschutzaufsichtsbehörde.

References: § 38
 § 40

Art. 58
 Art. 58

Art. 57

§ 40
 Art. 58
 Art. 39
 Art. 39
 Art. 39
 § 4
 Art. 39
 Art. 57
 Art. 39
 § 40
 Art. 3
 Art. 25
 Art. 25
 Art. 32
 Art. 25
 Art. 25
 Art. 28
 Art. 4
 Art. 4
 Art. 6
 Art. 5
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 9

Art. 17
 Art. 17
 Art. 6
 Art. 5
 Art. 35
 Art. 17
 EuGH 
 EuGH 
 EuGH 
 Art. 32
 Art. 97
 Art. 8
 § 163
 § 323
 § 33
 § 201
 BGH 
 BGH 
 BGH 
 BGH 
 BGH 
sui generis
 Art. 68
 Art. 68
 § 17
 § 40
 § 18
 Art. 52
 Art. 55
 Art. 56
 Art. 60

Art. 6

Art. 6
 Art. 57
 Art. 57
 Art. 57
 Art. 58
 Art. 58
 Art. 58
 Art. 58
 Art. 83
 Art. 83
 Art. 58