Datenschutz – Ein kurzer historischer Überblick

Eine Art des Datenschutzes wurde in einigen Berufsständen schon ohne eine Festlegung im Gesetzesbuch praktiziert. Zu den bekanntesten Beispielen gehören dabei die Schweigepflicht zwischen medizinischem Personal und Patienten, sowie der Austausch von Anwälten und ihren Mandanten. Doch wie und wann hat sich der Datenschutz juristisch verfestigt?

“That the individual shall have full protection in person and in property is a principle as old as the common law […]” (deutsch: “Dass der Einzelne in Person und Eigentum vollen Schutz haben soll, ist ein Grundsatz, der so alt ist wie das Gewohnheitsrecht”)

Samuel D. Warren, Louis D. Brandeis
“The Right to Privacy” (1890). Harvard Law Review, V. IV, No. 5

So steht es schon im Jahr 1890 in der von Samuel D. Warren und Louis D. Brandeis verfassten “Right to Privacy” geschrieben, einem der einflussreichsten Essays der US-amerikanischen Geschichte. Wesentliche Prinzipien des Datenschutzes, die in dem Essay vorkommen, wurden jedoch erst im Jahr 1974 bei der Verabschiedung des “Privacy Act” durchgesetzt.

Betrachten wir jedoch einmal die andere Seite des Ozeans: Europa und Deutschland

  • Im Jahr 1953 wurde mit Artikel 8 der Europäischen Menschenrechtskonvention (EMRK) eine der ersten rechtlichen Schutzmaßnahmen für personenbezogene Daten kodifiziert und somit das Recht auf die Achtung des Privat- und Familienlebens eingeführt.
  • In den 1960er Jahren wurde der Bedriff “Datenschutz” als Übersetzung für das englische “Privacy” eingeführt.
  • Im Jahr 1970 verabschiedete Hessen dann das weltweit erste Datenschutzgesetz, das von Spiros Simitis, dem “Vater des Datenschutzes” verfasst wurde. Aus heutiger Sicht erscheinen damalige Freiheiten wie z.B. die Verarbeitung von personenbezogenen Daten ohne Rechtsgrundlage und ohne Einwilligung der betroffenen Personen inakzeptabel.
  • Sieben Jahre später (1977) folgte dann das deutsche Bundesdatenschutzgesetz (BDSG), durch das unter anderem Datenschutzbeauftragte eingeführt wurden.
  • Im Jahr 1981 waren dann endlich auch Landesdatenschutzgesetze für alle Bundesländer beschlossen.
  • Nach dem Volkszählungsurteil des Bundesverfassungsgerichts im Jahr 1983 wurden die bisherigen Datenschutzgesetze als nicht genügend für die verfassungsrechtlichen Anforderungen angesehen. Es wurde ein “Recht auf informationelle Selbstbestimmung” abgeleitet, welches man allgemeiner als den “Schutz des Persönlichkeitsrechts bei der Verarbeitung personenbezogener Daten” formulieren kann.
  • Durch die explosionsartige Verbreitung von Computern in den 80er/90er Jahren wurden die nicht ausreichenden Regelungen in Europa deutlich. Daher wurde im Jahr 1995 die EU-Datenschutzrichtlinie in Kraft gesetzt, die auch Regeln für das Versenden von Daten außerhalb der EU festlegte. Damals wurden die US-amerikanischen Datenschutzgesetze beispielsweise noch als ausreichend für den Schutz personenbezogener Daten angesehen.
  • Durch die Einführung der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) im Jahr 2018 wurden Aktualisierungen und Abänderungen vorgenommen. Als Änderungen traten zum Beispiel ein, dass Drittländer den DSGVO-Vorgaben unterliegen, Personen ihre Einwilligung zu einzelnen Datenverarbeitungsvorgängen geben müssen und diese auch jederzeit und unbegründet widerrufen können und dass Geldbußen auf Unternehmen zukommen, die gegen die Datenschutzgrundverordnung verstoßen.
  • Im Jahr 2020 wurde die Übermittlung personenbezogener Daten in die USA (Privacy Shield) von dem Europäischen Gerichtshof (EuGH) für unwirksam erklärt.

Es fällt auf, dass in einer kurzen Zeitperiode vergleichsweise viele Modernisierungen des Datenschutzes im juristischen Bereich unternommen worden. Doch wichtig ist, dass die Gesetze auch immer wieder aktualisiert und an neue Technologien angepasst werden, während man gleichzeitig Unternehmen und andere öffentliche Stellen auf deren Einhaltung überprüft, um die persönlichen Daten jedes Menschen sowie die individuelle und gesellschaftliche Digitale Souveränität zu schützen.

Warum fair.digital mit Hosting bei US-Anbietern nicht möglich ist

Eine Frage, die wir häufig erhalten, lautet: “Ist eine Zertifizierung mit fair.digital auch möglich, wenn die Lösung bei Hosting-Unternehmen aus den USA betrieben wird?” In diesem Beitrag erklären wir, warum wir dies zum derzeitigen Zeitpunkt verneinen müssen.

Das Siegelkriterium “Die EU-DSGVO wird gemäß geltender Rechtsprechung unterstützt”

Das erste fair.digital-Kriterium erfordert, dass Cloud-Lösung in der EU gehostet werden müssen. Nun könnte man meinen, dass die fair.digital-Kriterien erfüllt sind, wenn man eine Lösung z.B. bei Amazon Web Services (AWS) in einem Rechenzentrum in Europa betreibt. Warum ist dies zu kurz gegriffen?

Das Siegelkriterium “Datenhoheit”

Eine weitere zentrale Anforderung von fair.digital besagt: “Eine Weitergabe von Nutzerdaten erfolgt nur mit expliziter Zustimmung.” Mit diesem Kriterium soll sichergestellt werden, dass die Nutzer die Hoheit über ihre Daten behalten und selbst entscheiden können, ob und wie diese genutzt werden können. Genau dies kann beim Betrieb bei US-Hostern nicht erfüllt werden – selbst wenn sich die Data Center in Europa befinden. Der Grund hierfür ist der sogenannte “Cloud Act”.

Der Cloud Act

Aktuell geltendes US-Recht verpflichtet in den USA ansässigen Unternehmen über den “Cloud Act” dazu, US-Behörden auch Zugriff auf Daten, die bei ausländischen Konzerngesellschaften liegen, zu gewähren. Konkret könnte z.B. das FBI Amazon dazu zwingen, Daten einzusehen, die auf AWS-Rechenzentren in Europa gespeichert sind. Diese Zugriffsmöglichkeit der US-Dienste auf Nutzerdaten steht damit offensichtlich im Widerspruch zu dem Siegelkriterium “Datenhoheit”.

Wiederholte Anfragen an den Datenschutzbeauftragten

In seiner Bewertung richtet sich der Verein fair.digital e.V. stets nach geltendem Recht. Daher ist es uns wichtig, fortlaufend Anfragen an die zuständigen deutschen Behörden zu stellen, welche Einschätzung hinsichtlich des Cloud Act sie derzeit vertreten. Die letzte Anfrage fand 2022 statt. Die Antwort des Bayerisches Landesamt für Datenschutzaufsicht lautete:

“Zur Ehrlichkeit gehört es aber auch zu sagen, dass es Szenarien von Übermittlungen personenbezogener Daten in die USA gibt, bei denen möglicherweise keine rechtskonformen Lösungen gemessen am EU-Datenschutzrecht möglich sind – hier sind vor allem Fälle in den Blick zu nehmen, in denen der Datenempfänger dem US-Gesetz FISA 702 unterliegt und aber gleichzeitig Zugriff (für die Funktionalität der Daten) auf (aus der EU übermittelte) personenbezogene Daten im Klartext benötigt – denn in diesen Fällen sind die Daten den Zugriffsrechten von US-Behörden nach FISA 702 unterworfen, und gemäß Aussage des Europäischen Gerichtshofs im Schrems-II-Urteil sind diese Zugriffsrechte gemessen am EU-Datenhschutzrecht in ihrem Ausmaß und wegen Fehlen von Rechtsschutz für EU-Bürger datenschutzrechtlich nicht akzeptabel.”

Es wird also nicht ausgeschlossen, dass Drittländer Zugang auf Daten erhalten können. Sollte sich an dieser Bewertung zukünftig etwas ändern bzw. der Cloud Act angepasst werden, wird auch fair.digital seine entsprechend aktualisieren.

Migrationsmöglichkeiten

Gemäß Datenschutzbeauftragten wäre ein Lösungsansatz, europäische Dienstleister zwischenzuschalten, sodass sich der US-Anbieter selbst aus seinem Rechenzentrum “aussperrt”. Dann würden Anfragen von US-Behörden ins Leere laufen. Ein solches Modell wurde z.B. von Microsoft und der Telekom umgesetzt und wäre auch fair.digital-verträglich.

Alternativ gibt es natürlich auch die Möglichkeit, eine fair.digital-Zertifizierung zu erhalten, indem man auf US-Hosting verzichtet. In Europa gibt es durchaus Anbieter, die ähnliches Hyperscaling ermöglichen. Einige unserer Vereinsmitglieder können bei der Migration nach Europa helfen. Sprechen Sie uns gerne an!

Definition „Algorithmus“: Was sind Algorithmen?

Algorithmen bezeichnen einen abstrakten Begriff, mit dem man immer mal wieder in der digitalen Welt, Mathematik und Informatik zusammentrifft. Doch was genau stellen diese Algorithmen dar? Und inwiefern hängen sie mit unserem individuellen Verhalten und unserer Digitalen Souveränität zusammen?

Der Begriff “Algorithmus” ist abgeleitet von dem aus der Bagdader Schule stammenden arabischen Mathematiker Al-Chwarizmi (lebte um 800 n.Chr.), dessen Name latinisiert zu “Algorismus” wurde. (Barth, 2013, S. 13f).  

Nach heutigem Verständnis versteht man unter einem Algorithmus ein automatisiertes und endliches Verfahren, das gegebene Eingabeinformationen nach genau definierten Schritten und unmissverständlichen Anweisungen umformt, um damit ein bestimmtes Ziel zu erreichen (Barth, 2013, S. 8). Einfach ausgedrückt sind Algorithmen “nichts anderes als Schritt-für-Schritt-Anleitungen, um ein (mathematisches) Problem strukturiert zu lösen” (Martini, 2019, S. 17).

Für die digitale Anwendung muss ein Algorithmus in einer für den Computer verständlichen Programmiersprache (wie zum Beispiel Java oder Phyton) verfasst sein (Barth, 2013, S. 16-18).

Mehr zu dem Einfluss von Algorithmen

Algorithmen werden von Menschen geschrieben und sind dem entsprechend erstmal nur so intelligent, wie ihre Schöpfer selbst (Barth, 2013, S. 16). Im Vergleich zu uns Menschen können Algorithmen jedoch rasend schnell “lernen” (Barth, 2013, S. 16), indem sie große Datenmengen (sogenannte Big Data) auswerten, Zusammenhänge zwischen Informationen herstellen und in einen Kontext setzen, mit dem sie dann ihr Verhalten anpassen (Martini, 2019, S. 4, S. 21). Auf Grundlage ihrer Erfahrungen sind moderne Anwendungen also in der Lage, sich selbsttätig über ihre Anfangskonfiguration hinaus weiterzuentwickeln (Martini, 2019, S. 19).

Algorithmen begegnen uns überall im Alltag: In der Schule wird man oft schon mit dem Gauß-Algorithmus zur Lösung von linearen Gleichungssystemen konfrontiert (Barth, 2013, S. 7). Ansonsten berechnen Algorithmen auch die Aktienkurse, regulieren Flusskraftwerke sowie die Ampelphasen, und sind allgegenwärtig in der Online-Welt. Einer der bekanntesten Algorithmen ist wohl der Page-Rank-Algorithmus von Google, der die Reihenfolge der Suchanzeigen bestimmt.

“Ohne Algorithmen würde die Welt, so wie wir sie heute kennen, zusammenbrechen.”

Armin P. Barth, 2013, S. 7

Nochmals wichtig hervorzuheben ist der Fakt, dass Algorithmen auf Grundlage von Daten arbeiten. Bei den meisten Online-Diensten wie Sozialen Netzwerken oder digitalen Einkaufsportalen bestehen diese Daten aus persönliche Informationen, die es einem Unternehmen wie Facebook zum Beispiel möglich machen, suizidgefährdete Personen zu erkennen (Martini, 2019, S. 5).  

Aufgrund der Analyse von personenbezogenen Daten werden Algorithmen immer spezifischer: Da sie davon ausgehen, dass sich vergangenes Verhalten wiederholt, steuern sie auf Grundlage unserer bisherigen Entscheidungen den Zugriff auf Wissen (Martini, 2019, S. 4). Konkret bedeutet das, dass sie beispielsweise Anzeigen auf Sozialen Medien und beim Online-Shopping selektieren (Martini, 2019, S. 4).

Algorithmen sind die “Schleusenwärter des Wissens” (Bächle, 2015, S. 22) und werden “immer stärker zu einer zentralen Steuerungsressource der digitalisierten Gesellschaft” (Martini, 2019, S. 4). Die Gefahr von Algorithmen besteht auch in der Intransparenz: Meistens wissen wir nicht, welche Daten ein Algorithmus genau verwendet und nach welchen Faktoren sie analysiert werden. Für unsere Digitale Souveränität ist es daher wichtig, dass man reflektiert mit digitalen Angeboten umgeht und sich vermehrt der Nutzung von datensparenden Alternativen zuwendet, die unter anderem von fair.digital ausgezeichnet werden.

Quellen:

  • Barth, A. P. (2013). Algorithmik für Einsteiger. Für Studierende, Lehrer und Schüler in den Fächern Mathematik und Informatik, (2. Auflage). Springer Spektrum. DOI: https://doi.org/10.1007/978-3-658-02282-2
  • Bächle, T. C. (2015). Mythos Algorithmus. Die Fabrikation des computerisierbaren Menschen. Springer VS. DOI: https://doi.org/10.1007/978-3-658-07627-6
  • Martini, M. (2019). Blackbox Algorithmus – Grundfragen einer Regulierung Künstlicher Intelligenz. Springer Verlag. DOI: https://doi.org/10.1007/978-3-662-59010-2

Die Realität des Gläsernen Bürgers

George Orwell verdeutlichte schon in seinem Werk “1984” welche Gefahr von einem übermächtigen staatlichen Überwachungsapparat ausgeht. Die Entstehung eines daraus resultierenden Gläsernen Bürgers, also einer Person, deren Informationen alle bekannt sind, ist gerade in der heutigen Zeit allgegenwärtig.

Orwells Kritik am Staat als Überwachungsinstanz ist in unserem Zeitalter schon als rückständig zu bezeichnen. Obwohl Regierungen viele Informationen über ihre Bürger besitzen und auch immer mehr Zugriff auf Daten fordern (siehe z.B. Wiesner, 2021, S. 27) – gerade in Zeiten wie der Corona Pandemie – gibt es dominantere Überwachungsapparate, denen man Beachtung schenken muss. Zu diesen gehören die nichtstaatlichen (privatwirtschaftlichen) Akteure, die mithilfe der existenten Unmengen an technischen Möglichkeiten in die privatesten Lebensbereiche eindringen können (Mühlichen, 2018. S. 41).

“Unternehmen und nicht mehr die Staaten sind in den freien Demokratien der Welt die eigentliche Gefahr für den Datenschutz. Sie stellen die größte unmittelbare Herausforderung für den Datenschutz dar.”

Michael Sandel, 2016

Um sich wirtschaftlich behaupten zu können, versuchen Unternehmen immer mehr über ihre Kunden zu erfahren und ihr (Kauf-)Verhalten zu beeinflussen. Insbesondere Konzerne wie Google, Facebook, Apple, Amazon und Microsoft stellen sich im Zuge dieser Überwachung als dominierende Mächte mit einem weiten Wirkungsbereich heraus (Mühlichen, 2018. S. 42). Durch Verfahren wie “Microtargeting” werden durch sie und andere Unternehmen Benutzerprofile genau erforscht und gezielt Einflussnahmen organisiert (Wiesner, 2021, S. 75). Das US-Reiseunternehmen Orbitz bot beispielsweise durch Informationen über das genutzte Endgerät Apple-Nutzern teurere Hotelzimmer an, da diese Untersuchungen nach mehr bereit waren auszugeben als Windows-User (Wiesner, 2021, S. 72).

Mitunter das größte Problem stellt hier das Ungleichgewicht zwischen den Konzernen und Betroffenen dar, da diese “in der Regel keine Ahnung haben, welche Daten über sie gesammelt, geschweige denn, welche Schlüsse daraus gezogen wurden” (Wiesner, 2021, S. 38). Fitnessarmbänder können die Bewegungsdaten zum Beispiel nicht nur an das eigene Handy senden, sondern vielleicht auch unbemerkt an die Krankenkasse, die daraufhin die Vertragskonditionen anpassen kann (Wiesner, 2021, S. 56).

Wo Überwachung früher noch mit gesellschaftlichem Widerstand bekämpft wurde (wie z.B. bei der geplanten Volkszählung 1983 in Westdeutschland, siehe Mühlichen, 2018. S. 30), redet man sich heutzutage aus dem Ergreifen von Maßnahmen heraus. “Ich habe nichts zu verbergen” ist wohl die am meisten verbreitete Ausrede, warum Privatheit unwichtig sei (Wiesner, 2021, S. 45). Dazu gesellen sich Aussagen wie “Ich habe nichts Unrechtes getan, das ich verbergen muss”. Dies impliziert jedoch, dass Privatheit das Verbergen von Unrecht zum Ziel hat (Wiesner, 2021, S. 46).

Dem ist nicht so: Journalisten müssen ihre Quellen schützen können und Anwälte mithilfe einer sicheren Kommunikationsquelle ihre Klienten verteidigen (Wiesner, 2021, S. 77). Durch fehlende Angebote, die solch eine Datensicherheit gewährleisten, ist dies nicht möglich. Die Preisgabe von Informationen kann durch die Einflussnahme der jeweiligen Anbieter neben finanziellen Konsequenzen auch Risiken wie soziale Diskriminierung für uns bergen. Barbara Wiesner macht es als Professorin für Datensicherheitstechnik an einem Fall deutlich: “Ein Beispiel für eine solche Diskriminierung findet man bei Facebook und Instagram. Lange Zeit konnten dort Werbetreibende ihre Anzeigen auf bestimmte Nationalitäten oder kulturelle Hintergründe zuschneiden. Das führte dazu, dass in den USA Afroamerikaner und Hispanics von Anzeigen für Jobs und Wohnungen ausgeschlossen wurden” (Wiesner, 2021, S. 74).

Der Verhaltensforscher Robert Epstein belegt auch, dass Suchalgorithmen von Google mit wachsendem Einfluss die Gewinner von Wahlen bestimmen (Wiesner, 2021, S. 82). Somit hat die Überwachung durch Konzerne auch einen Einfluss auf der politischen Ebene, die in Demokratien allein den Bürgern überlassen sein muss. Da die Überwachung in Form der Datensammlung auf den ersten Blick keine Folgen für uns zu haben scheint, kann man bei dieser Art des Gläsernen Bürgers von einer “mangelnden Spürbarkeit von Überwachung” sprechen (Wiesner, 2021, S. 47).

Wir müssen uns im Klaren sein, dass der Gläserne Bürger schon existiert. Im Grunde gibt jeder Mensch, der das Internet nutzt, seine Daten weiter. Und es geschieht mehr mit unseren Daten, als wir begreifen möchten. Es gilt daher, “ein Bewusstsein für das Vorhandensein dieser Datensammlungen und deren Risiken zu schaffen” (Wiesner, 2021, S. 60). Zudem muss jetzt und zukünftig die Sicherheit von Angeboten fokussiert werden, um nicht die Möglichkeiten eines freien, demokratischen, selbstbestimmten Lebens zu unterminieren.

Quellen:

  • Mühlichen, A. (2018). Privatheit im Zeitalter vernetzter Systeme. Eine empirische Studie. Verlag Barbara Budrich.
  • Wiesner, B. (2021). Private Daten. Unsere Spuren in der digitalen Welt. Transcript Verlag.

“Ich sehe dich” – Biometrische Überwachung im Alltag

Es sind dystopische Szenen, die in manchen actionreichen Filmen eine bedeutende Rolle spielen: Zahlreiche private Aufnahmegeräte in Restaurants, Dutzende an Ampeln befestigte Straßenkameras, und zig 360°-Kameras an Straßenkreuzungen. Im Fokus solcher Filme ist beispielsweise ein Protagonist, der vor korrupten Polizeibeamten fliehen muss. Eine unmögliche Tat bei einer solchen biometrischen Überwachung. – Obwohl solch eine Allzeit-Beobachtung durch Kameras im öffentlichen Raum erst einmal nur eine fiktionale Szenerie darzustellen scheint, hat eine Untersuchung von Amnesty International ihre Realitätsnähe offenbart, die auch von anderen Organisationen Beachtung und Kritik findet.

Machen wir einen Abstecher nach New York City, der Weltstadt an der Ostküste der Vereinigten Staaten: Die Kreuzungen der Stadteile Manhattan, Bronx und Brooklyn machen dort fast die Hälfte der Kreuzungen in der gesamten Stadt aus. Und alleine in diesem Gebiet stehen der New Yorker Polizei (NYPD) mehr als 15.000 Kameras zur Verfügung, die zur Gesichtserkennung genutzt werden können. Aufgespürt wurden diese Kameras durch eine Untersuchung von Amnesty International im Mai 2021. Tausenden Freiwilligen wurden dabei Google Street View-Bilder gestellt, auf denen sie Kameras auf den New Yorker Kreuzungen kartografieren sollten, von denen manche hochaufgelöste Aufnahmen bis zu einer Entfernung von 200 Metern aufzeichnen können.1

Das NYPD behauptet, das Videomaterial nicht standardmäßig zur Erfassung von Personen zu nutzen2. Amnesty berichtet jedoch, dass das NYPD alleine im Jahr 2019 in 11.000 Fällen die Gesichtserkennungstechnologie eingesetzt haben soll1. Mutmaßlich soll beispielsweise auch bei den Protesten zu Black Lives Matter ein Demonstrant über das Kamera-Netzwerk identifiziert worden sein3. Nicht überraschend daher, dass die Non-Profit-Organisation die Nutzung der Gesichtserkennung als Bedrohung für die Menschenrechte ansieht und dabei inhaltlich auch von anderen Organisationen unterstützt wird:

  • In einem offenen Brief fordern unter anderem über 175 namhafte zivilgesellschaftliche Organisationen, Wissenschaftler und Aktivisten ein weltweites Verbot von biometrischer Überwachung im öffentlichen Raum. Zu der biometrischen Überwachung zählen die Verfasser alle Technologien, die anhand des Gesichtes, der Stimme, des persönlichen Auftretens oder anderer biometrischer Kennzeichen Identifikationen und somit eine gezielte Massenüberwachung ermöglichen. Im Brief kommt deutlich hervor, dass diese Technologien ein Risiko für die Menschenrechte darstellen, einschließlich der Rechte auf Privatsphäre und Datenschutz, sowie das Recht auf freie Meinungsäußerung und Versammlungsfreiheit.4
  • Auch in Europa wird die Kritik auf politischer Ebene laut: Der Europäische Datenschutzbeauftragte (EDPS) und der Europäische Datenschutzausschuss (EDPB) fordern in einer gemeinsamen Stellungnahme ein generelles Verbot des Einsatzes von künstlichen Intelligenzen zur automatisierten Erkennung menschlicher Merkmale in öffentlich zugänglichen Räumen.5 Andrea Jelinek, die Voritzende des EDPB, und Wojciech Wiewiórowski vom EDPS heben hervor:

“Der Einsatz von biometrischer Fernidentifikation in öffentlich zugänglichen Räumen bedeutet das Ende der Anonymität an diesen Orten.”

Andrea Jelinek & Wojciech Wiewiórowski (aus dem Englischen übersetzt) 5
  • Grundsätzlich will auch die Europäische Kommission “alle Arten biometrischer Fernidentifizierungssysteme” im öffentlichen Raum bis auf wenige Ausnahmen für die Zwecke der Strafverfolgung verbieten. Die Ausnahmen sieht die Kommission in Anwendungen, die “unbedingt erforderlich” sind, um potenzielle Opfer von Straftaten zu finden oder eine terroristische Bedrohung abzuwenden. Auch die Verfolgung schwerer Straftaten nach einem nötigen Beschluss einer zuständigen Justizbehörde soll möglich sein.6

Es lässt sich also festhalten, dass eine standardmäßige biometrische Überwachung im Alltag einen Angriff auf die Datenschutz- und Freiheitsrechte eines jeden Individuums darstellt. Entscheidend ist in dem Falle daher ein festgeschriebenes Verbot der generellen Überwachung – mit Ausnahme von juristisch festgelegten Suchen im Zuge von Strafverfolgungen. Und das am besten so schnell wie möglich.

Zustimmungs-Pop-ups verstoßen gegen Datenschutzgrundverordnung / Google Fonts auf Webseiten rechtswidrig

fair.digital e.V. begrüßt aktuelle Entscheidungen für mehr Transparenz und das Recht auf informationelle Selbstbestimmung

Karlsruhe 10.02.2022. Das als „Transparency & Consent Framework” (TCF) bekannte Zustimmungs-Popup-System ist auf über 80 Prozent der Webseiten in Europa nicht DSGVO-konform. Zu dieser Entscheidung kommen aktuell die Datenschutzbehörden der Europäischen Union. Auch die Einbindung von dynamischen Webinhalten von Google Fonts ist ohne Einwilligung der Besucher nach einem jüngsten Urteil des Landgerichts München rechtswidrig.

„Große Internetkonzerne bedrohen nach wie vor die digitale Souveränität von Bürgern und Unternehmen in Europa. Als Verein, der sich für den Erhalt der digitalen Grundrechte in Europa einsetzt, begrüßen wir sowohl die Entscheidung der europäischen Datenschutzbehörden als auch das jüngste Gerichtsurteil aus München ganz ausdrücklich, weil es die Grundrechte und -freiheiten von Millionen Bürgern in Europa und Deutschland schützen möchte”, so Martin Hubschneider, Vorsitzender des Vereins fair.digital aus Karlsruhe und Vorstand der CAS Software AG.

„Es kann nicht sein, dass große Internetkonzerne ohne eine wirkliche Zustimmung des Internetnutzers in großem Umfang personenbezogene Daten sammeln können, die womöglich in Profiling-Aktivitäten, Verhaltensprognosen und in eine daraus resultierende Überwachung der Bevölkerung münden. Wir fordern stattdessen Transparenz, Vertrauenswürdigkeit und Fairness beim Umgang mit sensiblen Daten der Bürgerinnen und Bürger”, so Martin Hubschneider weiter.

EU-Datenschutzbehörden stoppen Pop-up-Plage
In der Entscheidung vom 2. Februar 2022 stellen 28 EU-Datenschutzbehörden, angeführt von der belgischen Datenschutzbehörde als führende Aufsichtsbehörde, fest, dass der Branchenverband der Online-Werbebranche “IAB Europe” bei der Verarbeitung personenbezogener Daten im Zusammenhang mit seinem „Transparency and Consent Framework” (TCF) mehrfach gegen die DSGVO verstößt. Demnach sei nicht sichergestellt, dass personenbezogene Daten sicher und vertraulich behandelt werden. So etwa werde die Einwilligung nicht ordnungsgemäß eingeholt und keine Transparenz darüber hergestellt, was mit den Daten der jeweiligen Internetnutzer geschieht. Insgesamt wurden keine Maßnahmen ergriffen, die sicherstellen, dass die Datenverarbeitung im Einklang mit der DSGVO erfolgt.

Landgericht München: Übermittlung der IP-Adresse ohne explizite Zustimmung an Google rechtswidrig
Nach dem Urteil des Gerichts muss eine Webseiten-Betreiberin 100 Euro Schadensersatz entrichten, weil die IP-Adresse eines Nutzers ohne dessen Zustimmung über die Font-Library an Google übermittelt wurde. Die Entscheidung bezieht sich nicht auf Google Fonts, die vom eigenen Server ausgeliefert werden, sondern nur auf jene, die extern über Google-Server bereitgestellt werden. Der Verstoß führe dazu, so das Urteil des Landgerichts, dass der Kläger die Kontrolle über seine persönlichen Daten verliere.

Google Analytics verstößt gegen DSGVO
Sowohl die Entscheidung der europäischen Datenschützer als auch das Urteil des Münchner Landgerichts reiht sich ein in weitere Entscheidungen der jüngsten Vergangenheit. In einer wegweisenden Entscheidung hat die österreichische Datenschutzbehörde nun entschieden, dass die Nutzung von Google Analytics gegen die DSGVO verstößt. Bereits im Jahr 2020 entschied der Europäische Gerichtshof (EuGH), dass die Nutzung von US-Anbietern gegen die DSGVO verstößt, da US-Überwachungsgesetze US-Anbieter wie Google oder Facebook dazu verpflichten, persönliche Daten an US-Behörden zu übermitteln.

Google Analytics als DSGVO-widrig erklärt

 

Mit der Grundlage des Schrems-II-Urteils aus dem Jahr 2020 reichte das Europäische Zentrum für digitale Rechte (noyb) eine Musterbeschwerde bei der österreichischen Datenschutzbehörde (DSB) ein. Die DSB erklärte Ende Dezember 2021 die Nutzung des Statistikprogramms Google Analytics nun für rechtswidrig, da die Daten-Übermittlung an US-Provider gegen die DSGVO verstößt.

Durch das Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) im Juli 2020 verstößt die Nutzung von US-Anbietern gegen die DSGVO, da das US-Überwachungsgesetz bekannte US-amerikanische Unternehmen wie Google und Facebook nämlich zur Übermittlung persönlicher Daten an US-Behörden verpflichtet. Das Europäische Zentrum für digitale Rechte (noyb) teilt jedoch mit, dass US-Anbieter und EU-Unternehmen die Entscheidung weitgehend ignoriert haben.

Mit der Entscheidung der österreichischen Datenschutzbehörde (DSB) steigt nun jedoch der Druck auf die Anbieter und Unternehmen. Der Kern des Urteils besagt, dass EU-Unternehmen keine US-Cloud-Dienste mehr nutzen dürfen. Für EU-Unternehmen wird also ein Wechsel auf legale Alternativen zu Google Analytics notwendig, die in Europa gehostet werden. Wahlweise müssen US-Gesetze einen besseren Datenschutz bieten oder US-Anbieter ihre Daten außerhalb der Vereinigten Staaten verarbeiten, so das Europäische Zentrum für digitale Rechte (noyb).

Unternehmen, die gegen die DSGVO verstoßen, erwartet normalerweise eine Strafe von bis zu 20 Millionen Euro oder 4 % ihres weltweiten Umsatzes. Da bei dem amtlichen Durchsetzungsverfahren der DSB jedoch keine Anhörung des Beschwerdeführers erfolgte, gibt es keine Informationen darüber, ob eine Strafe verhängt wurde.

In unserem Beitrag “US-Cloud-Dienste: Fehlende Rechtsgrundlage in der EU” erfahren Sie mehr über die historische Entwicklung der Gesetzeslage. Weiterführendes Infos gibt es unter: https://noyb.eu/de/oesterr-dsb-eu-us-datenuebermittlung-google-analytics-illegal

US-Cloud-Dienste: Fehlende Rechtsgrundlage in der EU

Der Beschluss der Europäischen Kommission zur Übermittlung personenbezogener Daten in die USA (Privacy Shield) wurde im Juli 2020 von dem Europäischen Gerichtshof (EuGH) für unwirksam erklärt. Jetzt stehen Unternehmen ohne eine Rechtsgrundlage da, wenn sie US-Cloud-Dienste wie Amazon und Microsoft nutzen. 

Ein Blick in die Historie des Privacy Shield

 

Der österreichische Jurist Maximilian Schrems hat es sich zur Aufgabe gemacht, Datenschutzrechte durchzusetzen. Deswegen beantragte er vor der irischen Datenschutzbehörde, alle Datenübermittlungen von der nationalen Facebook-Tochter an den Mutterkonzern in den USA auszusetzen. Der Erfolg zeigte sich in Form eines Beschlusses des Europäischen Gerichtshofs (EuGH) im Jahr 2020: Der transatlantische “Privacy Shield”, der als Rechtsgrundlage für den Transfer personenbezogener Daten europäischer Bürger in die USA galt, wurde für nichtig erklärt und erhielt den Beinamen “Schrems II-Urteil”. Begründet wurde diese Entscheidung mit den datenschutzrechtlich ungenügenden US-amerikanischen Gesetzen, die beispielweise ihren Sicherheitsbehörden die Überwachung ausländischer Kommunikation gestatten.1

Mit dem Schrems II-Urteil soll der Datentransfer in die USA und andere Drittländer also unterbunden werden. Konkret bedeutet das, dass z.B. Dienstleistungen von Microsoft, Zoom etc. nicht mehr genutzt werden dürfen, wenn diese die Daten auf Servern in den EU-Mitgliedstaaten nicht wirksam vor dem Zugriff der US-Behörden schützen. Zusätzlich wurde vonseiten des Europäischen Gerichthofs festgelegt, dass bei Datenübermittlungen in die USA Standardvertragsklauseln grundsätzlich nicht ausreichen und mit zusätzlich verbindlichen Datenschutzvorschriften gesichert werden müssen. Damit soll für die übermittelten Daten ein gleichwertiges Datenschutzniveau wie in der EU garantieren werden.2

 

 

Die Schlüsselrolle für die Durchsetzung des Beschlusses des Europäischen Gerichtshofs (EuGH) tragen die Aufsichtsbehörden. Der rheinland-pfälzische Datenschutzbeauftragte Dieter Kugelmann kündigte schon Mitte 2021 ein schärferes Vorgehen an, um Verstöße in Unternehmen und öffentliche Stellen vorzubeugen und gegebenenfalls mit Bußgeldern zu rügen. Das “Schrems II-Urteil” betreffe als Grundsatzentscheidung nämlich “fast jedes Unternehmen, jede Behörde, Kommune, Schule, Organisation oder Arztpraxis”3. Diese übermitteln die personenbezogenen Daten oftmals unbewusst in Länder außerhalb der EU und müssen daher verstärkt über das Schrems II-Urteil informiert werden, damit sich etwas ändert. 

Quellen:

Die neuen Gewinner im Spotlight: “BigBrotherAwards” für Google & Co.

Die BigBrotherAwards setzen Firmen, Organisationen und Personen in das Scheinwerferlicht der Öffentlichkeit – und das eher wider Willens. Die Preisträger zeichnen sich nämlich dadurch aus, dass sie “in besonderer Weise und nachhaltig die Privatsphäre von Menschen beeinträchtigen sowie persönliche Daten verkaufen oder gegen ursprüngliche Interessen verwenden” und somit Schlagzeilen über sich selbst ungerne sehen.1 

Die deutsche Jury, bestehend aus Vertretern von unabhängigen Organisationen wie der “Deutschen Vereinigung für Datenschutz (DVD)” und dem “Chaos Computer Club (CCC)”, hat Mitte Juni die BigBrotherAwards 2021 verliehen. Hier ein Überblick über einige der Preisträger:

  • In der Kategorie Hochschulen bekam die KI-basierte Prüfungssoftware und das gleichnamige Unternehmen “Proctorio” den Award. Die Software kann unter anderem durch den notwendigen Zugriff auf die Videokamera die Blicke von Prüflingen erkennen, die auf einen Täuschungsversuch hindeuten, und dann automatisch Alarm schlagen. In der Erklärung heißt es unter anderem, dass mit dieser Software nicht nur ein Eingriff in die Integrität der privaten Geräte der Studierenden erfolgt, sondern auch der Stresspegel erhöht wird, da das Verhalten von einer KI bewertet wird.
  • Den BigBrotherAward in der Kategorie Gesundheit bekam die Firma “Doctolib” in Berlin, die sich auf die Vermittlung von Arztterminen über ihre Plattform spezialisiert hat – wofür unter anderem der Zugriff auf den gesamten im Arztinformationssystem gespeicherten Patientenstammdatensatz gewährt werden muss. Diese Daten werden von “Doctolib” laut der Ausführung unter Missachtung der Vertraulichkeitsverpflichtung verarbeitet und auch im Rahmen kommerzieller Marketingzwecke genutzt, was in Anbetracht der sensiblen Gesundheitsdaten besonders bedenklich ist.
  • Das Technologieunternehmen “Google” erhielt den BigBrotherAward in der neuen Kategorie “Was mich wirklich wütend macht”. Kritisiert werden unter anderem die allseits bekannten Cookie-Banner, die Nutzer auf Webseiten über die Art der Speicherung von Daten hinweisen und ihre Zustimmung oder Ablehnung einholen müssen. Durch irreführende Designs geben diese Cookie-Banner die Möglichkeit zur Ablehnung jedoch erst nach einem frustrierenden Klick-Marathon preis und verleiten somit zu einem Klick auf den “Akzeptieren”-Button.  

Das Problem mit den Cookie-Bannern

Durch diese irreführenden Banner verstoßen viele Unternehmen gegen die DSGVO, die eine einfache Auswahl zwischen “Ja” und “Nein” verlangt. Der Verein noyb, der sich der Durchsetzung des Datenschutzes innerhalb der Europäischen Union verschrieben hat, möchte nun aktiv dagegen vorgehen. Gemeinsam mit dem “Sustainable Computig Lab (CSL)” der Wirtschaftsuniversität Wien haben sie das “Advanced Data Protection Control (ADPC)” genannte Konzept entwickelt, das ein einheitliches und simples Pop-Up im Browser für die Datenschutz-Anfragen der einzelnen Webseiten generieren soll.  

Zusätzlich prüft das juristische Team von noyb mithilfe einer Software verschiedene Arten von rechtswidrigen Cookie-Bannern. Das System generiert automatisch eine DSGVO-Beschwerde und leitet das Unternehmen zu einer Änderung des Cookie-Banners an. “Wenn ein Unternehmen seine Einstellungen nicht innerhalb eines Monats ändert, wird noyb die Beschwerde bei der zuständigen Behörde einbringen, die ein Bußgeld von bis zu 20 Millionen Euro verhängen kann”, so berichtet der Verein.

Durch die Schaffung von Öffentlichkeit und einem aktiven Vorgehen kann eine Umänderung von Unternehmenskonzepten angestoßen werden, die die Digitale Souveränität des Einzelnen und der Gesellschaft verletzten. Der Verein “fair.digital” möchte als Orientierungshilfe dabei unterstützen, Risiken und Möglichkeiten aufzuzeigen, um eine selbstbestimmte Lebensweise innerhalb der digitalen Welt zu etablieren.

Fehlender Datenschutz bei Social-Media- und Cloud-Anbietern

Die Folgen des Falls des “Privacy Shield”: Wie sich nun Cloud-Dienste von Amazon und Microsoft einer Untersuchung unterziehen müssen und Bundesministerien kein Facebook mehr nutzen dürfen.

Das Schrems-II-Urteil des Europäischen Gerichtshofes hat das “Privacy Shield” im Juli 2020 für ungültig erklärt. Demnach bietet die USA kein der Europäischen Datenschutzgrundverordnung (DSGVO) angemessenes Schutzniveau für personenbezogene Daten und muss unter strengere Anforderungen gestellt werden.  

  • Der Europäische Datenschutzbeauftragte (EDSB) Wojciech Wiewiórowski hat in diesem Zuge eine Untersuchung gegen die in der USA ansässigen Cloud-Dienste AWS von Amazon und Azure von Microsoft eingeleitet. Zusätzlich soll die Konformität von Microsoft Office 365 mit den Datenschutzgesetzen geprüft werden. Im Hintergrund der Untersuchung steht das Wissen über die rechtliche Befugnis der US-Behörden, Zugang zu ausländischen Serverinformationen von nationalen Speicheranbietern zu bekommen. Um dem Risiko einer Überwachung durch die US-amerikanischen Behörden zu entgehen, müssen also DSGVO-konforme Schutzmaßnahmen für den Datentransfer zu den Cloud-Anbietern getroffen werden.1
  • Eine Forderung des Bundesbeauftragten für den Datenschutz, Ulrich Kelber, liegt im gleichen Interessensbereich wie die des Europäischen Datenschutzbeauftragten. An einem Rundschreiben an die Bundesministerien und -Behörden appelliert er für das Abschalten von den für die Öffentlichkeitsarbeit genutzten Facebook-Fanpages, da diese keinen datenschutzkonformen Betrieb möglich machen. Ebenfalls wird den Ministerien und Behörden die Empfehlung ausgesprochen, datenschutzrechtlich defizitäre Apps wie Instagram, TikTok und Clubhouse nicht auf dienstlichen Geräten zu nutzen.2