Source: https://www.it-sec.de/ger/Aktuelles-Termine/it.sec-blog/(tag)/Privacy%20Shield
Timestamp: 2019-05-26 00:51:53
Document Index: 97875918

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'Art. 4', 'EuG', 'EuG']

Facebook & Cambridge Analytica – Fortsetzung
Tags: Datenschutzgrundverordnung , DSGVO , Facebook , Privacy by Default , Privacy by Design , Privacy Shield , Profiling
Bei unserem letzten Beitrag zum Thema Facebook & Cambridge Analytica ging man noch von ca. 50 Millionen betroffenen Facebook-Nutzern aus, deren Daten missbräuchlich verwendet wurden, mittlerweile ist die Zahl auf 87 Millionen Nutzern gestiegen. Die Daten von bis zu 310.000 Nutzern in Deutschland wurden verwendet, und das, wo nach Angaben von Facebook gerade einmal 65 deutsche Nutzer die installierte App auch genutzt hatten.
Wie das funktioniert? Die Datenschutzeinstellungen bei Facebook machen es möglich. Sobald „Freunde“ und „Freunde von Freunden“ die eigenen Informationen sehen können, greift das typische Schneeballsystem und die Verbreitung von (vermeintlich vertraulichen) Informationen steigt exponentiell. In dem Moment, wo anderen Programmen erlaubt wird, auf Facebook-Informationen zuzugreifen, wird die Gefahr noch größer, dass Daten unkontrolliert verteilt werden.
Die zuständige Ministerin ist empört: Es müsse geprüft werden, ob die Maßnahmen der DSGVO ausreichen, um die Intransparenz der sozialen Netzwerke einzudämmen und Facebook solle die Funktion seiner Algorithmen offenlegen https://katarina-barley.de/wp-content/uploads/E33.pdf. Diesbezüglich habe Facebook bereits eine „wohlwollende“ Prüfung zugesagt.
Nun muss man sich klarmachen: Facebook wird weiterhin die Daten seiner Nutzer als Einnahmequelle benötigen. Die Einführung eines Bezahlmodells ist nach eigenen Angaben keinesfalls geplant. Dass Facebook in diesem Zusammenhang die Grundlage seines Geschäftsmodells, also die Funktionsweise seiner Algorithmen freiwillig „wohlwollend“ offenlegt, scheint in diesem Zusammenhang eher unwahrscheinlich. Ohne behördlichen Zwang ist nicht davon auszugehen, dass ein Unternehmen derartige Geschäftsgeheimnisse freiwillig veröffentlicht.
Zwar ist die Einführung der DSGVO und die damit vorgegebenen Standardeinstellungen „Privacy by Design“ und „Privacy by Default“ ein guter Ansatz, europaweit für eine Eindämmung des unkontrollierten Datenaustauschs zu sorgen. Ob die Behörden den Willen und nicht zuletzt überhaupt das Personal haben, die Einhaltung dieser Vorgaben auch nachzuhalten, bleibt abzuwarten.
Facebook hat als erste Maßnahme den Zugriff anderer Apps auf die eigene Plattform zunächst gestoppt, so dass der Login mittels Facebook-Benutzerprofil bei fremden Anbietern vorerst nicht mehr möglich ist. Allerdings hat jede von Facebook freigegebene App von Fremdanbietern grundsätzlich die Möglichkeit, auf verschiedene Facebook-Schnittstellen zuzugreifen. Nun muss in jedem einzelnen Fall überprüft werden, ob der Zugriff auf diese Schnittstelle überhaupt notwendig ist oder ob ggfs. eine entsprechende Einwilligung seitens des jeweiligen Nutzers vorliegt. Eine Einwilligung muss informiert aufgrund klarer vorheriger Information erfolgen, so will es die DSGVO.
Ob diese Prüfung durch Facebook tatsächlich bis zum 25. Mai 2018, wenn die DSGVO anzuwendendes Recht in der gesamten EU ist, abgeschlossen sein wird und wie mit nachträglichen Änderungen in Nutzungsbedingungen oder in Zweckbestimmungen umgegangen wird – sei es im Text, sei es in der technischen Umsetzung, werden wir beobachten. Bis dahin - und auch generell für die Zukunft - sollte sich der Verbraucher bei Preisgabe von Daten im Rahmen der Nutzung von derartigen Diensten immer wieder bewusst machen, dass er bei der Nutzung von „kostenlosen“ Angeboten selbst das Produkt ist – und nicht etwa Kunde.
EuGH prüft Anwendbarkeit der Standardvertragsklauseln für Datenübermittlungen in die USA
Tags: Aufsichtsbehörde , Datenschutzgrundverordnung , Datenübermittlung in Drittstaaten , Drittstaat ohne angemessenes Datenschutzniveau , DSGVO , EuGH , Facebook , Irland , Privacy Shield , Standardvertragsklauseln , USA
Im Kontext des Safe Harbor-Urteils des EuGH vom 06.10.2015 stellten die Aufsichtsbehörden ebenso die Zulässigkeit des alternativen Rechtsinstruments der Standardvertragsklauseln für Datenübermittlungen in die USA in Frage. Da die derzeitige Gesetzeslage in den USA den Sicherheitsbehörden eine grundrechtswidrige Massenüberwachung erlaube, kann der Datenimporteur eben gerade nicht garantieren, dass er seines Wissens keinen Gesetzen unterliegt, die ihm die Befolgung der Anweisungen des Datenexporteurs und die Einhaltung seiner vertraglichen Pflichten unmöglich machen bzw. sich nachteilig auf die Garantien und Pflichten auswirken, die die Klauseln bieten sollen (vgl. Klausel 5 der Standardvertragsklauseln).
Die Aufsichtsbehörden haben daher gemäß den Beschlüssen der EU-Kommission, die im Annex die Standardvertragsklauseln enthalten, die Möglichkeit, Datenübermittlungen in die USA auf Grundlage von Standardvertragsklauseln per verwaltungsrechtlicher Anordnung zu verbieten (vgl. Art. 4 Abs. 1 lit. a) des Beschlusses 2010/87/EU). Max Schrems hatte die irische Aufsichtsbehörde mittels einer Beschwerde darauf verwiesen.
Daraufhin hatte die Aufsichtsbehörde die rechtliche Prüfung der Wirksamkeit der Standardvertragsklauseln an den irischen High Court weitergeleitet. Dieser legte die Frage zur Gültigkeit der Standardvertragsklauseln als Grundlage für Datenübermittlungen in Drittstaaten dem EuGH zur Entscheidung vor.
Es bleibt abzuwarten, wie das Urteil des EuGHs ausfallen wird. Sollte er entscheiden, dass eine Datenübermittlung nicht rechtssicher auf der Grundlage der Standardvertragsklauseln möglich ist, könnte dies die Beauftragung von Dienstleistern in den USA aufgrund der damit verbundenen Datenübermittlungen erheblich erschweren. Denn bei weitem nicht alle US-Unternehmen sind Privacy Shield-zertifiziert.
Insbesondere, wäre dann zu klären, ob die Klauseln dennoch einbezogen werden können, wenn aus den USA zwar auf Daten zugegriffen wird, die Daten dort selbst aber nicht physisch gespeichert werden, sondern in der EU verbleiben (z.B. bei Fernwartungsdienstleistungen). Ein US-Berufungsgericht urteilte unlängst, dass Unternehmen den amerikanischen Sicherheitsbehörden auf deren Anforderung hin den Zugang zu Servern in der EU verweigern dürfen, und hatte damit die Gesetzeslage in den USA etwas abgemildert.