Source: https://www.bfdi.bund.de/bfdi_forum/showthread.php?t=1405
Timestamp: 2017-08-22 17:52:29+00:00

Document:
Smartphones stets unter Kontrolle?
Thema: Smartphones stets unter Kontrolle?
09.07.2010, 11:21 #1
Wer heute einen Mobiltelefonvertrag abschließt oder ein neues Handy kauft, greift immer häufiger zu Modellen, mit denen man nicht nur telefonieren oder Kurznachrichten versenden kann, sondern zu „Smartphones“, die alle möglichen Zusatzleistungen erbringen. Dabei verwenden viele Dienste sog. Standortinformationen.
Die Ermittlung des Standorts mittels Smartphone kann prinzipiell auf dreierlei Weise erfolgen:
- GPS, sofern das Endgerät GPS-fähig ist und GPS aktiviert ist
- WLAN, falls das Endgerät WLAN-Signale empfangen kann
- Cell-ID, durch Auswertung der Funkzelleninformationen.
Die Satellitenortung via GPS setzt voraus, dass das Smartphone mit entsprechender Hardware (GPS-Empfänger) ausgestattet ist. Die GPS-Satelliten strahlen ständig mit kodierten Radiosignalen ihre aktuelle Position und die genaue Uhrzeit aus. Daraus errechnet der GPS-Empfänger die eigene Position. Vorraussetzung für eine solche Ortung ist allerdings, dass eine Verbindung zu den Satelliten hergestellt werden kann, so dass eine GPS-Ortung im geschlossenen Räumen oder im Tunnel grundsätzlich nicht möglich ist. Insofern funktioniert das Handy wie ein Navi in einem Kraftfahrzeug. Die ermittelten Ortungs-Informationen können dann an Diensteanbieter, etwa den Anbieter der Smartphone-Software, übertragen werden.
Die WLAN-Ortung setzt voraus, dass das Smartphone die Signale der umliegenden Hotspots, Firmen- oder Heimnetzwerke (Router) empfangen kann und dem Ortungsdienst die Standorte dieser Netzwerke bekannt sind. Daraus lässt sich anhand von Sendemustern der Standort des Smartphones berechnen. Durch das Scannen der WLANs hat z.B. Google im Rahmen der StreetView-Fahrten die Standorte der Netzwerke erfasst, in einer Datenbank gespeichert und für die Ortung entsprechend aufbereitet. Für die WLAN-Ortung muss sich das Smartphone hier nicht in das entsprechende Netz einwählen; allein die Auswertung der Kenndaten der WLANs und deren Abgleich mit entsprechenden zentralen Datenbanken reicht aus, um den Standort der Smartphones zu erfassen. Nebenbei übermitteln die Smartphones dem Diensteanbieter dabei oft aktuelle Kenndaten umliegender WLANs, so dass die entsprechenden WLAN-Datenbanken entsprechend ergänzt und akualisiert werden können. Der Smartphone-Nutzer wird auf diese Weise – ohne es zu wissen - zum Datenerfasser für die Diensteanbieter.
Die Cell-ID-Ortung erfolgt - vereinfacht - anhand der Funkzellen, die im Mobilfunkempfänger des Smartphones vorliegen. Hierzu werden die Funkzelleninformationen im Smartphone ausgelesen und mit einer Datenbank abgeglichen, in der die (ungefähren) Standorte der Funkzellen verzeichnet sind.
Diese drei Ortungsmethoden fallen allerdings nicht unter das Telekommunikationsgesetz (TKG). weil lediglich die Infrastruktur und Bandbreite des Mobilfunkanbieters genutzt wird, um den Dienst bereitzustellen. Es handelt sich bei den Ortungsdaten hier allerdings nicht um klassische Standortdaten i.S.d. TKG, die entsprechend auch nicht vom Fernmeldegeheimnis geschützt werden.
Im „normalen“ Fall der im TKG geregelten Ortung – die Abfrage erfolgt beim Provider – wird das Endgerät des Endnutzers in einem öffentlichen TK-Dienst lokalisiert. Immerhin hat der Bundestag im letzten Jahr die Regeln für die Verwendung dieser klassischen Standortinformationen aus Mobilfunknetzen deutlich verschärft. Gem. § 98 TKG dürfen Standortdaten nur dann an Dritte übermittelt werden, wenn eine schriftliche Einwilligung vorliegt und eine SMS spätestens nach fünf Ortungen an das betreffende Handy gesandt wird. Über einen entsprechenden habe ich in einem früheren Blog bereits berichtet.
Angesichts der Gefahren einer lückenlosen Registrierung sollten Smartphone-Nutzer einstellbare Ortungsfunktionen nur dann aktivieren, wenn sie wirklich erforderlich sind (mit dem positiven Nebeneffekt längerer Akkulaufzeiten). Die Anbieter sind gehalten, die Nutzer besser darüber zu informieren, welche Standortdaten für welchen Zweck sie erheben und ihnen eine wirklich freiwillige und umfassende Entscheidung über die Ortungsfunktionen des Smartphones einzuräumen. Und der Gesetzgeber muss dafür sorgen, dass die Standortinformationen bei Smartphones genauso gut gesichert werden wie die Ortungsdaten in Telekommunikationsnetzen.
Smart phones always under control?
Bonn/ Berlin, 9 July 2010 The Federal Commissioner of Data Protection - Peter Schaar. The blog.
A person who nowadays concludes a mobile phone contract or buys a new mobile phone chooses more and more often a model which does not only allow to telephone or to send short messages, but he chooses smart phones rendering all kinds of additional services. For this purpose, many services use so-called location information.
In principle, there are three possible ways to trace a location by means of a smart phone:
• GPS, if the terminal is GPS-enabled and if GPS is activated
• WLAN, if the terminal is able to receive WLAN signals
• Cell-ID, by analysing radio cell information
Satellite positioning via GPS requires the smart phone to be equipped with a corresponding hardware (GPS-receiver). By means of coded radio signals GPS-satellites permanently emit their current position and the exact time. From this information, the GPS-receiver calculates its own position. However, such a location requires the possibility to establish a connection with the satellites. That means that in closed rooms or in tunnels, GPS location is principally impossible. Insofar the mobile phone functions like a navigator in a motor vehicle. Then, traced localisation information can be transferred to service providers, for example to the provider of the smart phone software.
WLAN-localisation requires that the smart phone can receive signals of the surrounding hotspots, networks of companies or of private homes (routers) and that the location service knows the locations of these networks. By means of transmission patterns it is possible to calculate the location of the smart phone. By scanning WLANs for example Google has, in connection with Street View tours, registered the locations of the networks, then, Google has stored them in a data base and appropriately prepared them for location. For WLAN-location it is not necessary for the smart phone to dial into the corresponding network; only the analysis of the WLAN’s characteristic data and matching them with the corresponding central data bases is sufficient for capturing the location of the smart phone. Additionally, smart phones often transmit current characteristic data of surrounding WLANs to the service provider so that the corresponding WLAN-data bases can be appropriately supplemented and updated. In this way, the smart phone user will become – without his knowledge – the data collector for service providers.
Cell-ID is located – in a simplified form – by means of radio cells available in the mobile radio receiver of the smart phone. For this purpose information of the radio cells is read in the smart phone and matched with a database in which the (approximate) location of the radio cells is registered.
However, these three methods of location do not come under the Telecommunications Act (TKG) because the infrastructure and the bandwidth of the mobile telephone provider are only used in order to provide the service. In this case, however, location data are not regarded as classical location data in the meaning of the TKG, thus, accordingly, they are also not protected by the secrecy of telecommunications.
In the normal case of the location regulated by the TKG – the data recall is made at the provider – the terminal of the end user is located in a public telecommunication service. Last year, the Bundestag at least clearly tightened the rules on the use of these classical location information from mobile radio networks. According to Sect. 98 TKG it is only allowed to transfer location data to third parties if a written consent has been given and if an SMS will be sent to the respective mobile phone after five locations at the latest. In one of my earlier blogs I have reported about this.
The major problem of the smart phone user is that it is hardly possible or impossible at all to comprehend which location data were collected at which point of time, to whom they were transmitted and how and/or how long they will be stored. In the best case individual service providers ask for consent for transferring location data whereby consent is not only a using requirement at such services for whom such data are really necessary (for example for navigation). An app of the smart phone I used demanded access to location data whose only purpose is to use the smart phone as a torch.
In view of the dangers of a complete registration smart phone users should only activate adjustable location functions if they are really necessary (with the positive side effect of a longer battery life). Service providers are called upon to keep users better informed about which location data they collect for which purpose and to grant them a really voluntary and comprehensive decision about the location function of the smart phone. And the legislator has to make sure that location information of smart phones is as well protected as location data in telecommunications networks.
Geändert von Ulrich Dammann (25.10.2010 um 15:09 Uhr) Grund: English version added - jetzt auch auf englisch
Finde das Thema sehr interessant. Es stellt sich aber folgende Frage: Wenn die Ortung des Smartphones durch GPS, WLAN und CellID nicht unter die Regelungen des TKG fällt, da die Ortung nicht in der Infrastruktur des Mobilfunkanbieters erfolgt, welche Regelungen gelten dann für die Nutzung der so ermittelten Geoposition? Können diese Daten ohne weitere Nachfrage beim Nutzer an die Server des Anbieters einer App übermittelt, dort verarbeitet und gespeichert werden? Oder handelt es sich bei den Ortsdaten um personenbezogene Daten, die auf Basis des Telemediengesetzes nur dann übermittelt, verarbeitet und gespeichert werden dürfen, wenn der Nutzer vorher eindeutig seine Zustimmung erteilt hat?
25.04.2011, 10:59 #3
Leider sind die Fragen von john42 bisher nicht beantwortet worden.
Unter http://newsticker.sueddeutsche.de/list/id/1144018 heißt es u. a. "Diese Speicherung von Standortdaten ohne Kenntnis der Betroffenen wäre nach deutschem Datenschutzrecht sicherlich nicht zulässig", sagte Schaar am Donnerstag der Nachrichtenagentur dpa.
Die konjunktive Form "wäre sicherlich nicht zulässig" lässt Fragen nach der gesetzlichen Grundlage weiterhin offen. Ist das deshalb so schwierig, weil hier zuerst eine Speicherung auf dem Smartphone des Users selbst erfolgt? Muss der bisher ziemlich unbeachtete § 6 c BDSG "Mobile personenbezogene Speicher- und Verarbeitungsmedien" angepasst werden?
26.04.2011, 10:39 #4
Zitat von ewuryba
Im Grunde stellen sich gleich mehrere Fragen, zunächst einmal diejenige nach der Anwendbarkeit des deutschen Datenschutzrechts. Ich sehe sie als gegeben an, da Daten mittels technischer Hilfsmittel (Smartphones) aufgezeichnet werden, die sich im Anwendungsbereich des Gesetzes befinden.
Im konkreten Fall des iPhone wäre das Telekommunikationsgesetz (TKG) wohl nicht anwendbar, da das Unternehmen keinen TK-Dienst erbringt. Evtl. käme als andere bereichsspezifische Rechtsvorschrift das Telmediengesetz (TMG) in Frage. Als Auffangnorm würde ggf. das BDSG anzuwenden sein.
In der TMG-Terminologie würde es sich bei den Standortdaten, die bei der Inanspruchnahme von Diensten aufgezeichnet werden, um "Nutzungsdaten" handeln. Ihre Erhebung und Verwendung (also auch deren Speicherung) wäre gem. § 15 TMG nur zulässig, "soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen", also nicht - wie offenbar vorliegend - auf Dauer und auf Vorrat.
Nach dem BDSG wäre die Zulässigkeit zunächst nach § 28 zu beurteilen. Auch hier sehe ich bisher keinen Rechtfertigungsgrund, zumal schutzwürdige Belange der betroffenen iPhone-Nutzer dem User-Tracking entgegenstehen.
§ 6c BDSG ins Spiel zu bringen, halte ich für eine interessante Idee, die noch ausgelotet werden müsste. Ausgangspunkt wäre dabei die Frage, ob es sich bei einem Smartphone überhaupt um ein "mobiles personenbezogenes Speicher- und Verarbeitungsmedium" handelt.
§ 3 Abs. 10 BDSG definiert solche Medien als "Datenträger,
Soweit diese Definition auf Smartphones zutrifft - wofür einiges spricht - enthält § 6c zusätzliche Anforderungen. Diese ergänzen - verdrängen aber keineswegs - die Regelungen von § 28 BDSG oder § 15 TMG:
"(1) Die Stelle, die ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium ausgibt oder ein Verfahren zur automatisierten Verarbeitung personenbezogener Daten, das ganz oder teilweise auf einem solchen Medium abläuft, auf das Medium aufbringt, ändert oder hierzu bereithält, muss den Betroffenen
(3) Kommunikationsvorgänge, die auf dem Medium eine Datenverarbeitung auslösen, müssen für den Betroffenen eindeutig erkennbar sein."
Das Bayerische Landesamt für Datenschutzaufsicht hat nun zu prüfen, ob die rechtlichen Anforderungen durch Apple eingehalten werden. Auf da Ergebnis darf man gespannt sein.
Das funktioniert nicht nur mit Smartphones, sondern auch mit Telefonen die nur GPRS haben und diese Funktion hat auch jedes nicht Smartphonehandy. Nur der Vollständigkeit halber.
03.06.2011, 16:39 #6
Nur noch sieben Tage: Ist das ok?
03.06.2011, 18:02 #7
Der Grund der Speicherung ist ja nach wie vor nicht benannt, dann sind auch 10 Sekunden zu viel. Kann man es denn jetzt auch komplett selbst abschalten? Können die Daten innerhalb der 7 Tage in andere Datenbanken übertragen werden und ist dann nur dies für den Applenutzer nicht mehr sichtbar?
03.06.2011, 23:07 #8
Nun: so wie ich es lese ist's ein fauler & doch ehrbarer Kompromiss.
Ich denke, dass der Kampf um's Private bereits verloren ist, wenn Bequemlichkeit
und vermeintlich notwendiger Nutzen den Vorrang haben. Und das ist so, auch hier.
Und '1984' erst am Anfang steht: was sollen ein paar Dutzend Offizielle und deren
Gefolgsleute - z.B. hier - ernsthaft erreichen können gegen die eine Wirtschafts-
power, die sich nicht nur in Apple manifestiert?
Gegen Google's streetview noch Protest, bei Microsoft dann fast nix mehr und es
ist halt suuuperpraktisch.
Als nächstes dann Fahrprofile vom Auto und Geolokalisierung, damit man auch sicher
20 Minuten schneller nen kaputten Keilriemen an die Pannestelle bekommt.
Da fällt mir fast nur das Schlagwort des 'Monopolkapitals' aus meiner Jugend ein ...
und die allfällige 'Übersetzung' ins Informationszeitalter, die mich dann in den
Feuilletons ansäuselt.
Der Krimskrams rund um's BSDG zu Apple erscheint mir damit eher wie die "Wahrung
des Gesichts", mehr nicht. Ehrbar, aber fürchterlich im Ergebniss.
haderner, gefrustet & altmodisch
Programmfehler. Das ich nicht lache. Wisst Ihr wie lange es dauert, bis eine neue Software das Licht der Welt erblickt? Das war von Anfang an genau so gewollt, wie es umgesetzt wurde und hätte wenigstens ein kräftiges Bußgeld setzen müssen, welches den finanziellen geschätzten Vorteil deutlich überstiegen hätte. Das mit Apple ist doch ein Freibrief an alle anderen. Versuch es doch erst mal und wenn Du erwischt wirst, dann hole das Bestmöglich für Dich heraus, denn der EU Datenschutz hat stumpfe Zähne.
Gibt es jmd unter euch der Programme dafür benutzt???
Von RoccoBS2 im Forum Datensicherheit, TOM, IT für den Datenschutz
Letzter Beitrag: 08.07.2010, 15:12
Fällt der Hausmüll in einer Wohnanlage unter den Datenschutz?
Von nemesis2004 im Forum FORUM DER DATENSCHUTZBEAUFTRAGTEN
Letzter Beitrag: 18.06.2010, 08:09
User organisieren Kontrolle
Letzter Beitrag: 14.06.2010, 10:19
Verbot ohne Kontrolle?
Von Arashi im Forum Private und betriebliche E-Mail- und Internetnutzung
Kontrolle der Zeiterfassung und des Einzelverbindungsnachweises
Von perle5 im Forum Arbeitnehmerdatenschutz
Letzter Beitrag: 16.10.2009, 09:00

References: § 98
 § 6
 § 15
 § 28

§ 6

§ 3
 § 6
 § 28
 § 15