Die TelemaxX Telekommunikation GmbH ist fair.digital-zertifizierter Betreiber von fünf Hochsicherheitsrechenzentren in der TechnologieRegion Karlsruhe. Erfolgreich seit 1999 hat sie sich darauf spezialisiert, individuelle Rechenzentrumsflächen, Housing- sowie Managed-Service-Lösungen für die Anforderungen unserer Geschäftskunden zu realisieren – wobei die TelemaxX Cloud sowie die klassischen Telekommunikationsdienste das Gesamtportfolio abrunden.
Die Rechenzentren
Kennzeichnend für die TelemaxX-Rechenzentren ist die sehr hohe Verfügbarkeit. Die gesamte Infrastruktur, wie zum Beispiel die Stromversorgung, Klimatisierung und Internetanbindung, ist redundant aufgebaut und über ein hochsensibles Monitoring-System permanent überwacht. Diese Faktoren ermöglichen das Angebot von Colocation (auch Serverhousing genannt), bei dem Unternehmen ihre Hardware in die Rechenzentren unterbringen. Die Colocation Services der TelemaxX untergliedern sich in die folgenden Servicevarianten: Höheneinheit, Rack und Cage.
Praxisbeispiel: Umzug zu Colocation
Aufgrund des Wachstums und der steigenden Unternehmensgröße stieg bei dem Kunden in diesem Beispiel auch die Beschaffung für Hardware sowie der Aufwand für das eigene IT-Personal. Damit mehr Sicherheit gewährleistet werden kann, entschied sich der Kunde, seine Hardware innerhalb eines Rechenzentrums in Form von Colocation unterzubringen. Im Rahmen der Gespräche fiel die Entscheidung auf 2 plus 1 Racks, in denen die eigenen Server untergebracht werden sollten.
Gemeinsam wurde ein Konzept inklusive der technischen Planung für den Kunden erarbeitet. Innerhalb weiterer Gespräche wurden die Anforderungen evaluiert und ein Angebot an den Kunden versendet. Nach Annahme des Angebots und Vertragsabschluss begann die detaillierte Planung. So konnten alle Anforderungen erfasst werden und die Realisierung innerhalb der Rechenzentrums erfolgen.
Das Managed Service Team plante mit dem Kunden den Umzug in das Rechenzentrum. Vorab wurden die Server-Racks bestellt und im Rechenzentrum aufgebaut. Gemeinsam mit dem Auftraggeber wurden die Server im Rack platziert und mit der entsprechenden Verkabelung ausgestattet. Um eine höhere Sicherheit und Verfügbarkeit durch Georedundanz zu gewährleisten, wurde anschließend ein Backup-System in einem weitere TelemaxX-Rechenzentrum aufgebaut.
Im laufenden Betrieb stellt das Datacenter Maintenance Team die optimale Kühlung sicher und misst den individuellen Stromverbrauch des Unternehmens. Zusätzlich kann der Kunde nach Sicherheitsprüfungen und mit eigenem Schlüssel für die Racks, jederzeit innerhalb des Rechenzentrums Bearbeitungen vornehmen.
Kombination mit der Cloud
Nach dem Umzug in die TelemaxX-Rechenzentren strebte das Unternehmen eine effizientere Arbeitsweise an. In diesem Zusammenhang entstand die Planung für den Einsatz der TelemaxX Cloud als Infrastructure as a Service. Das Konzept beinhaltet die Nutzung von Colocation für kritische Daten und den Einsatz von Rechenressourcen sowie die Auslagerung von unkritischen Daten in die Cloud. Innerhalb dieses Konstruktes werden kritische Daten On-Premises gespeichert und verarbeitet. Zudem wird die DSGVO und weitere Regularien eingehalten. Bei der TelemaxX Cloud handelt es sich um Cloud made in Germany und dieses Kriterium war für den Kunden von entscheidender Bedeutung.
Vom bereits bestehenden Server-Rack des Unternehmens wurde eine Verbindung zur Cloud aufgebaut. Schrittweise begann die Migration und der Kunde erhielt einen eigenen Zugang zu unserem Self-Service-Portal. In diesem können jederzeit weitere Rechenressourcen (vCPU, vRAM und vStorage) erhöht oder gesenkt werden.
Fazit
Die beschriebene enge Zusammenarbeit zeigt, wie wichtig die Unterstützung und somit die gemeinsame technische Planung ist. Mithilfe eines georedundanten Konzepts ist die Verfügbarkeit jederzeit sichergestellt. Neben der Sicherheit kann auch die Skalierbarkeit durch den Einsatz DSGVO-konformer Cloud-Services enorm gesteigert, inklusive der fair.digital-Zertifizierung!
Mehr Informationen zu TelemaxX und den Services finden Sie hier.
fair.digital e.V. begrüßt aktuelle Entscheidungen für mehr Transparenz und das Recht auf informationelle Selbstbestimmung
Karlsruhe 10.02.2022. Das als „Transparency & Consent Framework” (TCF) bekannte Zustimmungs-Popup-System ist auf über 80 Prozent der Webseiten in Europa nicht DSGVO-konform. Zu dieser Entscheidung kommen aktuell die Datenschutzbehörden der Europäischen Union. Auch die Einbindung von dynamischen Webinhalten von Google Fonts ist ohne Einwilligung der Besucher nach einem jüngsten Urteil des Landgerichts München rechtswidrig.
„Große Internetkonzerne bedrohen nach wie vor die digitale Souveränität von Bürgern und Unternehmen in Europa. Als Verein, der sich für den Erhalt der digitalen Grundrechte in Europa einsetzt, begrüßen wir sowohl die Entscheidung der europäischen Datenschutzbehörden als auch das jüngste Gerichtsurteil aus München ganz ausdrücklich, weil es die Grundrechte und -freiheiten von Millionen Bürgern in Europa und Deutschland schützen möchte”, so Martin Hubschneider, Vorsitzender des Vereins fair.digital aus Karlsruhe und Vorstand der CAS Software AG.
„Es kann nicht sein, dass große Internetkonzerne ohne eine wirkliche Zustimmung des Internetnutzers in großem Umfang personenbezogene Daten sammeln können, die womöglich in Profiling-Aktivitäten, Verhaltensprognosen und in eine daraus resultierende Überwachung der Bevölkerung münden. Wir fordern stattdessen Transparenz, Vertrauenswürdigkeit und Fairness beim Umgang mit sensiblen Daten der Bürgerinnen und Bürger”, so Martin Hubschneider weiter.
EU-Datenschutzbehörden stoppen Pop-up-Plage
In der Entscheidung vom 2. Februar 2022 stellen 28 EU-Datenschutzbehörden, angeführt von der belgischen Datenschutzbehörde als führende Aufsichtsbehörde, fest, dass der Branchenverband der Online-Werbebranche “IAB Europe” bei der Verarbeitung personenbezogener Daten im Zusammenhang mit seinem „Transparency and Consent Framework” (TCF) mehrfach gegen die DSGVO verstößt. Demnach sei nicht sichergestellt, dass personenbezogene Daten sicher und vertraulich behandelt werden. So etwa werde die Einwilligung nicht ordnungsgemäß eingeholt und keine Transparenz darüber hergestellt, was mit den Daten der jeweiligen Internetnutzer geschieht. Insgesamt wurden keine Maßnahmen ergriffen, die sicherstellen, dass die Datenverarbeitung im Einklang mit der DSGVO erfolgt.
Landgericht München: Übermittlung der IP-Adresse ohne explizite Zustimmung an Google rechtswidrig
Nach dem Urteil des Gerichts muss eine Webseiten-Betreiberin 100 Euro Schadensersatz entrichten, weil die IP-Adresse eines Nutzers ohne dessen Zustimmung über die Font-Library an Google übermittelt wurde. Die Entscheidung bezieht sich nicht auf Google Fonts, die vom eigenen Server ausgeliefert werden, sondern nur auf jene, die extern über Google-Server bereitgestellt werden. Der Verstoß führe dazu, so das Urteil des Landgerichts, dass der Kläger die Kontrolle über seine persönlichen Daten verliere.
Google Analytics verstößt gegen DSGVO
Sowohl die Entscheidung der europäischen Datenschützer als auch das Urteil des Münchner Landgerichts reiht sich ein in weitere Entscheidungen der jüngsten Vergangenheit. In einer wegweisenden Entscheidung hat die österreichische Datenschutzbehörde nun entschieden, dass die Nutzung von Google Analytics gegen die DSGVO verstößt. Bereits im Jahr 2020 entschied der Europäische Gerichtshof (EuGH), dass die Nutzung von US-Anbietern gegen die DSGVO verstößt, da US-Überwachungsgesetze US-Anbieter wie Google oder Facebook dazu verpflichten, persönliche Daten an US-Behörden zu übermitteln.
Mit der Grundlage des Schrems-II-Urteils aus dem Jahr 2020 reichte das Europäische Zentrum für digitale Rechte (noyb) eine Musterbeschwerde bei der österreichischen Datenschutzbehörde (DSB) ein. Die DSB erklärte Ende Dezember 2021 die Nutzung des Statistikprogramms Google Analytics nun für rechtswidrig, da die Daten-Übermittlung an US-Provider gegen die DSGVO verstößt.
Durch das Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) im Juli 2020 verstößt die Nutzung von US-Anbietern gegen die DSGVO, da das US-Überwachungsgesetz bekannte US-amerikanische Unternehmen wie Google und Facebook nämlich zur Übermittlung persönlicher Daten an US-Behörden verpflichtet. Das Europäische Zentrum für digitale Rechte (noyb) teilt jedoch mit, dass US-Anbieter und EU-Unternehmen die Entscheidung weitgehend ignoriert haben.
Mit der Entscheidung der österreichischen Datenschutzbehörde (DSB) steigt nun jedoch der Druck auf die Anbieter und Unternehmen. Der Kern des Urteils besagt, dass EU-Unternehmen keine US-Cloud-Dienste mehr nutzen dürfen. Für EU-Unternehmen wird also ein Wechsel auf legale Alternativen zu Google Analytics notwendig, die in Europa gehostet werden. Wahlweise müssen US-Gesetze einen besseren Datenschutz bieten oder US-Anbieter ihre Daten außerhalb der Vereinigten Staaten verarbeiten, so das Europäische Zentrum für digitale Rechte (noyb).
Unternehmen, die gegen die DSGVO verstoßen, erwartet normalerweise eine Strafe von bis zu 20 Millionen Euro oder 4 % ihres weltweiten Umsatzes. Da bei dem amtlichen Durchsetzungsverfahren der DSB jedoch keine Anhörung des Beschwerdeführers erfolgte, gibt es keine Informationen darüber, ob eine Strafe verhängt wurde.
Der Beschluss der Europäischen Kommission zur Übermittlung personenbezogener Daten in die USA (Privacy Shield) wurde im Juli 2020 von dem Europäischen Gerichtshof (EuGH) für unwirksam erklärt. Jetzt stehen Unternehmen ohne eine Rechtsgrundlage da, wenn sie US-Cloud-Dienste wie Amazon und Microsoft nutzen.
Ein Blick in die Historie des Privacy Shield
Der österreichische Jurist Maximilian Schrems hat es sich zur Aufgabe gemacht, Datenschutzrechte durchzusetzen. Deswegen beantragte er vor der irischen Datenschutzbehörde, alle Datenübermittlungen von der nationalen Facebook-Tochter an den Mutterkonzern in den USA auszusetzen. Der Erfolg zeigte sich in Form eines Beschlusses des Europäischen Gerichtshofs (EuGH) im Jahr 2020: Der transatlantische “Privacy Shield”, der als Rechtsgrundlage für den Transfer personenbezogener Daten europäischer Bürger in die USA galt, wurde für nichtig erklärt und erhielt den Beinamen “Schrems II-Urteil”. Begründet wurde diese Entscheidung mit den datenschutzrechtlich ungenügenden US-amerikanischen Gesetzen, die beispielweise ihren Sicherheitsbehörden die Überwachung ausländischer Kommunikation gestatten.1
Mit dem Schrems II-Urteil soll der Datentransfer in die USA und andere Drittländer also unterbunden werden. Konkret bedeutet das, dass z.B. Dienstleistungen von Microsoft, Zoom etc. nicht mehr genutzt werden dürfen, wenn diese die Daten auf Servern in den EU-Mitgliedstaaten nicht wirksam vor dem Zugriff der US-Behörden schützen. Zusätzlich wurde vonseiten des Europäischen Gerichthofs festgelegt, dass bei Datenübermittlungen in die USA Standardvertragsklauseln grundsätzlich nicht ausreichen und mit zusätzlich verbindlichen Datenschutzvorschriften gesichert werden müssen. Damit soll für die übermittelten Daten ein gleichwertiges Datenschutzniveau wie in der EU garantieren werden.2
Der heutige Stand: Unternehmen nutzen weiterhin US-Cloud-Dienste
Die Schlüsselrolle für die Durchsetzung des Beschlusses des Europäischen Gerichtshofs (EuGH) tragen die Aufsichtsbehörden. Der rheinland-pfälzische Datenschutzbeauftragte Dieter Kugelmann kündigte schon Mitte 2021 ein schärferes Vorgehen an, um Verstöße in Unternehmen und öffentliche Stellen vorzubeugen und gegebenenfalls mit Bußgeldern zu rügen. Das “Schrems II-Urteil” betreffe als Grundsatzentscheidung nämlich “fast jedes Unternehmen, jede Behörde, Kommune, Schule, Organisation oder Arztpraxis”3. Diese übermitteln die personenbezogenen Daten oftmals unbewusst in Länder außerhalb der EU und müssen daher verstärkt über das Schrems II-Urteil informiert werden, damit sich etwas ändert.
Obwohl Kontrollen der Aufsichtsbehörden anstehen und die Rechtsgrundlage nicht mehr vorhanden ist, nutzen zahlreich deutsche Firmen noch immer US-Cloud-Dienste im täglichen Routinegeschäft. Der Vizepräsident des SPD-Wirtschaftsforums, Matthias Machnig, sagte daher gegenüber dem Handelsblatt: „Ein Hauptanliegen der neuen Bundesregierung muss sein, sich auf europäischer und internationaler Ebene mit Nachdruck für einen rechtssicheren und DSGVO-konformen Datentransfer einzusetzen, der Innovation ermöglicht. Hierzu gehören ein Nachfolgeabkommen für das EU-US-Privacy-Shield sowie regulatorische Übergangslösungen, bis ein neues Abkommen in Kraft treten kann“.4
Auf den ersten Blick scheinen die Datenschutzrechte der EU-Bürger mit dem Urteil gestärkt zu werden. Praktisch ist dies jedoch erst dann der Fall, wenn Unternehmen den Datentransfer auch wirklich einstellen und in Drittländer exportierte Daten vertraglich an europäisches Recht binden. Es wird sich zeigen, welche Schritte von politischer Seite ergriffen werden, um diesen Fall endlich zu bewahrheiten.
Die Initiative JEDER MENSCH der Stiftung Jeder Mensch e.V. hat sich zum Ziel gesetzt, die Charta der Grundrechte der Europäischen Union mit sechs Grundrechten zu erweitern und erneuern.
Die Gründung der Stiftung wurde angetrieben durch das Buch „Jeder Mensch“ von Ferdinand von Schirach, der spätestens nach seinem millionenfach verkauften Roman „Der Fall Collini“ Berühmtheit erlangte. “Die alten Verfassungen Europas kennen auf die enormen Umwälzungen der letzten Jahre keine klaren Antworten.” – Deswegen fokussiert die Initiative Forderungen für eine geschützte Umwelt, Wahrheit in den Äußerungen von Amtsträgern und die Wahrung der universellen Menschenrechte im Kontext der Globalisierung. Dazu kommen neben der Möglichkeit der Erhebung einer Grundrechtsklage bei Verletzung der Charta besonders Themen aus der Digitalen Welt:
In Artikel 2 und 3 wird nach Digitaler Selbstbestimmung und transparenten Algorithmen gefordert, um Entscheidungen selbstständig zu treffen und der Manipulation durch die Ausnutzung von personenbezogenen Daten für personalisierte Werbung zu entgehen.
Die Ergänzung der Grundrechtecharta um diese zeitgemäßen Grundrechte kann nur durch einen Grundrechtekonvent umgesetzt werden, der wiederum von der einfachen Mehrheit der EU-Mitgliedsstaaten einberufen werden kann. Da dies nicht mit der Europäischen Bürgerinitiative möglich ist, hat sich die Initiative das Ziel gesetzt, politischen Druck auf die Mitgliedsstaaten auszuüben – und das mit mindestens einer Million Unterschriften.
Um die Grundsteine unserer Gesellschaft zu modernisieren und Digitale Souveränität zu erlangen, ist jede/r dazu aufgerufen, sich an der Umsetzung dieses Ziels zu beteiligen.Hier können alle Bürgerinnen und Bürger der Europäischen Union die Initiative unterstützen und den Impuls für einen Verfassungskonvent geben.
Seit dem 22. Juni werden Daten von fast 93 Prozent aller LinkedIn-Nutzer in einem Hackerforum zum Verkauf angeboten. Der Blog Restoreprivacy bestätigt nach einer Prüfung einer veröffentlichten Stichprobe der 700 Millionen Nutzerdaten die Authentizität der Daten.
Die angebotenen Nutzerprofile enthalten Informationen wie vollständige Namen, Geschlecht, E-Mail-Adressen, Telefonnummern, Anschriften, persönliche und berufliche Erfahrungen sowie die Benutzernamen anderer Social-Media-Konten. Obwohl in der Stichprobe bisher keine Zugangs- oder Finanzdaten gefunden wurden, können die verfügbaren Informationen für den Zugriffserhalt zu anderen Konten ausgenutzt werden.
Während der Konzern LinkedIn sich selbst noch nicht zu dem Vorfall geäußert hat, warnt Restoreprivacy unter anderem vor Identitätsdiebstählen und Phishing-Angriffen.
Der Bundestag hat das “Gesetz zur Anpassung des Verfassungsschutzrechts” angenommen, mit dem alle deutschen Geheimdienste die Befugnis zum Einsatz des Staatstrojaners für Überwachungszwecke erhalten. Wie netzpolitik.org berichtet, hat die Bundespolizei zudem die Erlaubnis, Staatstrojaner schon präventiv bei Personen einzusetzen, die noch keine Straftat begangen haben.
Trojaner sind vergleichbar mit einer digitalen Wanze, die auf den Endgeräten der Zielpersonen positioniert wird. Unterstützung sollen die Behörden dabei durch Telekommunikationsanbieter erhalten, die den Trojaner zum Beispiel in Downloads einspeisen. Durch die Installation soll den Behörden dann der “Zugriff auf laufende Kommunikation plus die Kommunikation, die vor Installation der Schadsoftware, aber nach Anordnung der Überwachungsmaßnahme stattgefunden hat”1, ermöglicht sein.
Laut dem Bundestag sei diese Anordnung wichtig, um die innere Sicherheit und Abwehr von Cyber-Kriminalität und Terrorismus durch die Anpassung an aktuelle technische Verhältnisse zu verbessern. Der Chaos Computer Club kritisiert unter anderem jedoch, dass für die Installation der Trojaner Sicherheitslücken im Gerät vorliegen müssen. Diese würden für den Einsatz von den Behörden ausgenutzt und blieben aufgrund der Geheimhaltung offen. Somit wäre auch immer ein Angriff durch Cyber-Kriminelle möglich.
I'm back from a week at my mom's house and now I'm getting ads for her toothpaste brand, the brand I've been putting in my mouth for a week. We never talked about this brand or googled it or anything like that.
As a privacy tech worker, let me explain why this is happening. 🧵
In unserem Blog wurde Digitale Souveränität als das Bestimmungsrecht über alle (digital) erfassten persönlichen Daten definiert. Durch die unkritische Hinnahme von umständlich formulierten Nutzungsbedingungen von Anbietern digitaler Systeme betritt man meistens eine Endlosschleife der Ausbeutung, Überwachung und Manipulation. Wie sich diese Methode im Alltag zeigt, macht Robert G. Reeve mit mehreren Twitter-Posts deutlich.
Robert G. Reeve ist selbsternannter Autor, Designer und Datenschutztechniker. In einem Tweed berichtet er davon, wie er nach einem Besuch bei seiner Mutter Werbung für deren genutzte Zahnpasta-Marke anzeigt bekommt, ohne diese je verbal (oder in einem mobilen Endgerät) aufgegriffen zu haben.
Gleich zu Beginn stellt Reeve klar, dass Social-Media-Apps ihre Nutzer aufgrund von günstigeren Alternativen nicht belauschen, um Daten zu sammeln. Denn schon alleine durch die alltäglichen Funktionen häufen sich Daten an, die von den jeweiligen Unternehmen genutzt werden können: “Ihre eindeutige Geräte-ID. Ihr Standort. Ihre Demografie. […] Wann benutze ich meine Rabattkarte im Supermarkt? Jeder Einkauf? Das ist ein Datensatz zum Verkauf”, so Reeve (übersetzt aus dem Englischen).
Durch die Zustimmung der jeweiligen Nutzungs- und Datenschutzbestimmungen ist es Anwendungen auch möglich, Verknüpfungen herzustellen und auszubauen. Reeve macht es folgendermaßen deutlich: “Befindet sich mein Telefon regelmäßig am selben GPS-Standort wie ein anderes Telefon, nehmen sie [Apps] dies zur Kenntnis. Sie [Apps] beginnen mit der Rekonstruktion des Netzes von Menschen, mit denen ich regelmäßig in Kontakt stehe” (übersetzt aus dem Englischen).
Auf Grundlage dieser aggregierten Metadaten werden Anzeigen basierend auf den Interessen der Leute um einen herum angezeigt, mit denen man regelmäßig in Kontakt steht. Bei Reeve ist es mit der Zahnpasta-Marke wohl folgendermaßen abgelaufen:
“So. Sie [Apps] kennen die Zahnpasta meiner Mutter. Sie [Apps] wissen, dass ich bei meiner Mutter war. Sie [Apps] kennen mein Twitter. Jetzt bekomme ich Twitter-Anzeigen für Mamas Zahnpasta. Bei Ihren Daten geht es nicht nur um Sie. Es geht darum, wie sie gegen jede Person verwendet werden können, die Sie kennen, und gegen Personen, die Sie nicht kennen. Um Verhalten unbewusst gestalten.“
Robert G. Reeve (übersetzt aus dem Englischen)
Mit diesem Beispiel wird deutlich, wie persönliche Daten für manipulative Werbezwecke genutzt werden (können). Obwohl es Möglichkeiten gibt, das Tracking von Apps zu blockieren, sollte man diese nicht unbedacht nutzen. Das neuste Update von Apple, das Reeve beispielsweise empfiehlt, blockiert zwar die Möglichkeit des Trackings externer Apps, trackt jedoch selbst weiter, wie Sie hier lesen können.
Man kann an diesem Beispiel festmachen, dass es Anbietern von Smartphones und Apps etc. durch die Analyse von Daten möglich ist, uns zu überwachen und unser Verhalten unbewusst zu gestalten. Denn ist es nicht wahrscheinlicher, dass Sie eine Zahnpasta-Marke kaufen, die Ihre Mutter nutzt und Ihnen als Werbung vorgeschlagen wird? – Meistens ja, und damit bestätigt sich die Philosophie der Datenkraken: Überwachung und Manipulation, womit schrittweise das Bestimmungsrecht über die eigenen Daten verloren geht.
In einem exklusiven Interview erzählen Berno Breitruck, Geschäftsführer der IT-Unternehmensberatung attempto, und Hermann von Brevern, Leiter der Niederlassung Karlsruhe, über die Bedeutung der fair.digital-Werte – nicht nur für das Unternehmen und die Branche, sondern auch für die Gesellschaft.
Welche Werte schätzen Sie selbst an Ihrem eigenen Unternehmen am meisten?
Hermann von Brevern: Besonders inspirierend finde ich die Art, wie wir partnerschaftliche Beziehungen zu unseren Kunden aufbauen, um langfristig einen Wert zu vermitteln. Dazu kommt die Energie unserer Mitarbeiter für Exzellenz und gute Zusammenarbeit. Als Organisation haben wir sehr flache Hierarchien auf kollegialer Ebene, bei denen Vertrauen, Innovation und Professionalität immer im Mittelpunkt stehen. Dadurch schaffen wir gemeinsam ein soziales Umfeld, in dem man gerne arbeitet.
Berno Breitruck: Den Wert des Vertrauens – besonders innerhalb unseres Unternehmens schätze ich am meisten. Das ist Motivation und Verpflichtung der gesamten Geschäftsleitung. Wir möchten unseren Kollegen in jeder Lebensphase eine Heimat geben und eine vertrauensvolle Zusammenarbeit pflegen. Außerdem legen wir großen Wert auf die Weiterbildung und Kompetenzaufbau unserer Mitarbeiter – das ist der größte “Schatz”, den jeder Mitarbeiter für sich und seine Familie sukzessive aufbauen kann.
Innerhalb der attempto probieren Sie auch neue Wege aus und haben eine sogenannte Innovationsmanufaktur. Wie kann man sich diese vorstellen?
Berno Breitruck: Die attempto Innovations-Manufaktur ist ein system-immanenter Bestandteil der attempto. Seit der Gründung des Unternehmens vor 15 Jahren betreiben wir hier aktives Trendscouting und wurden bereits mehrfach für unsere innovativen Ideen und Produkte ausgezeichnet und prämiert. Auch die Erfahrungen aus dem Silicon Valley und China tragen dazu bei, Trends und technologische Möglichkeiten kennenlernen zu können. Dieses Wissen nutzen wir für Technologien, mit denen wir “IT for Good” schaffen und unsere Kunden zeitgemäß und transparent beraten zu können.
Hermann von Brevern: Wir wollen dieses Wissen bei allen Mitarbeitern verankern und sie dabei unterstützen, über den Tageshorizont hinauszudenken. Sie sollen einschätzen können, wofür ihre Tätigkeit wichtig ist, und was aus ihr in Zukunft erwachsen kann. Als Beratungsunternehmen müssen wir diejenigen sein die vorausgehen und auch mal “outside-the-box” denken, um gute und nachhaltige Lösungen zu finden. Nicht umsonst ist “Was morgen zählt” unser Motto, und dafür ist die Innovationsmanufaktur ein wichtiger Treiber.
Welche Innovationen haben Sie in der Innovationsmanufaktur schon herausgebracht?
Hermann von Brevern: Wir haben zum Beispiel schon 2008 die erste Bio-App entwickelt, die seitdem schon mehrfach ausgezeichnet und prämiert wurde. bio123 ist eines der führenden Branchen-Ökosysteme, das Warenwirtschaft, Kassensysteme und Produktdatenbanken vereint. Im Mittelpunkt stehen bei dem Portal die Regionalität und damit einhergehend die Schonung der Umwelt, verantwortungsvoller Konsum und das Schaffen eines Erlebnisses für den Verbraucher, da ein Zugang zu bisher wenig bekannten Produkten ermöglicht wird. Bio- und Regional-Erzeuger können sich kostenlos registrieren und ihr gesamtes Sortiment abbilden. Der Anbieter kann dann direkt mit seinen Kunden in Beziehung und in Kommunikation treten. Letztlich geht es hier auch darum, Menschen zusammen zu bringen.
Berno Breitruck: Ein weiteres Beispiel ist das Stresspräventionstool iCope. Es wurde in Zusammenarbeit mit einer namhaften Universität realisiert, ist klinisch wirksam und wurde bereits in der Praxis erprobt. Das kognitive Tool unterliegt mit seinem Online-Training gängigen Therapiemaßnahmen und soll bei der Verbesserung der Resilienz gegenüber Stresssituationen unterstützen. Das Ziel ist, dass das Tool künftig von Unternehmen und Organisationen ihren Mitarbeitern zur Verfügung gestellt wird, um ihre mentale Gesundheit zu unterstützen. Ebenso wird unser Treeam Portal mit dem persönlich Ökdepot und CO2 Ausgleich auf Basis der Wiederaufforstung der Regenwälder wegweisend. Wir haben bereits einen eigenen attempto-Wald, dem sich andere Unternehmen angeschlossen haben.
Welche Stellung nimmt Datenschutz bei attempto ein?
Berno Breitruck: Datenschutz und Daten-Souveränität genießen höchste Priorität. Unser Bestreben ist es, die Einhaltung des Datenschutzes als Mehrwert in Bezug auf die Plattformökonomie und die Digitalisierung zu verstehen.
Hermann von Brevern: Datenschutz ist ein hohes Gut und gegenwärtig von mehreren Seiten unter großem Druck. Uns ist wichtig, dass Nutzer jederzeit im Blick haben, was mit ihren Daten passiert und die Hoheit über deren Verwendung behalten. Leider ist das im Augenblick nicht unbedingt Standard. Wir wollen hier aber keine Aktivisten sein, sondern Vorbilder. Wir möchten zeigen, wie man auch mit Datensparsamkeit Erfolg haben kann, und hoffen, dass unser Beispiel Andere inspiriert. Aus diesem Grund unterstützen wir Initiativen wie fair.digital, deren Werte wir voll und ganz teilen.
Wie sehen Sie die Rolle und Bedeutung von Datenschutz in der Gesellschaft?
Berno Breitruck: Meine Wahrnehmung ist, dass der persönliche Datenschutz beim Umgang einiger Apps zu leichtfertig ignoriert wird. Die Sorglosigkeit einiger Nutzergruppen beim Umgang mit den eigenen persönlichen Daten ist zum Teil erschreckend. Hier besteht der Auftrag des gegenseitigen Schutzes. Die Gefahr, die von künstlicher Intelligenz in diesem Zusammenhang ausgehen kann, darf nicht unterschätzt werden. Datenschutz und Daten-Souveränität hilft ergänzend auch bei der Unterbindung der monopolistischen Trends, die wir im Moment feststellen. Deswegen ist es für uns eine Verpflichtung, nicht nur Daten zu schützen, sondern auch das Thema Vielfalt und Diversität in der Digitalisierung aufrechtzuerhalten.
Hermann von Brevern: Als diejenigen, die mit Daten umgehen, haben wir eine moralische und rechtliche Verantwortung, der wir gegenüber unseren Nutzern gerecht werden müssen und wollen. Datenschutz ist aus unserer nationalen Historie bedingt als integraler Teil unserer freiheitlich-demokratischen Grundordnung anzusehen. Wie Herr Breitruck schon sagte, ist aber das Verständnis unserer Mitbürger im Bereich des Datenschutzes leider nicht immer ausreichend entwickelt. Deutlich wird dies, wenn zwar bei einem Staatsangebot wie der Corona-App (zu Recht) hoher Wert auf den Schutz der Daten gelegt wird, aber bei kostenlosen Angeboten von Amazon, Google, Facebook und Co. keinerlei Bedenken zur Verwendung der eigenen Daten aufkommen. Aber der Ansatz, nur durch Gesetze die Nutzer vor sich selbst und den Folgen ihrer naiven Freigiebigkeit zu schützen, greift auf die Dauer zu kurz. Es ist entscheidend, dass die Fähigkeit zur Selbstbestimmung und letztlich Mündigkeit der Bürger auf einer gesamtgesellschaftlichen Ebene gefördert wird, um eine nachhaltige Balance in der Verwendung von Daten zu erreichen.
Was hat Sie letztlich zur Beteiligung bei fair.digital angetrieben?
Berno Breitruck: fair.digital ist eine Mittelstandsinitiative – sie hat das Potential einen wichtigen Impuls in der Deutschen und Europäischen IT-Branche zu setzen. Das europäische Ökosystem muss so schnell wie möglich eigene “Werte digitalisieren” und durch eigene Innovationen weltweite Standards etablieren. Martin Hubschneider ist hier ein wichtiger Faktor und wir schätzen dievertrauensvolle Zusammenarbeit sehr.
Hermann von Brevern: Die Ideen von fair.digital sind einfach die Richtigen. Zusätzlich zu der vertrauensvollen Beziehung ist uns wichtig, mit dem Verein und der einhergehenden Selbstverpflichtung ein Signal zum Thema Datenschutz zu setzen. Einzig durch Eigeninitiative werden wir uns nach vorne bewegen und etwas verändern können.
Wie reagieren Ihre Kunden und Partner zu Ihrer Teilnahme bei fair.digital?
Berno Breitruck: Sowohl bei Studierenden mit denen wir in Kontakt stehen, als auch bei Unternehmen in deren Beirat ich bin, wird die fair.digital-Idee sehr positiv aufgenommen. Bei allen ist der Wunsch nach gemeinsamem Handeln angekommen. Wir müssen wieder auf das Spielfeld der internationalen Digitalisierung zurückkommen und dürfen unsere Gesellschaft nicht den Giganten der Branche schutzlos ausliefern.
Hermann von Brevern: Die Produktentwicklung und -zertifizierung macht bei uns als Unternehmensberatung nicht das Hauptgeschäftsfeld aus. Aber wir bringen das Thema an unsere Kunden und Mitarbeiter heran. Auch bei unseren Bewerbern stößt dieser Ansatz auf Interesse und Begeisterung. Denn fair.digital ist ein Teil der Antwort für mehr Digitale Souveränität des Einzelnen und der Gesellschaft.
Weitere Informationen zu dem Unternehmen attempto finden Sie hier.
Am 25. Mai 2021 feiert die Datenschutz-Grundverordnung (DSGVO) ihren dreijährigen Geburtstag. In dem Bericht “Drei Jahre unter der DSGVO” hat die Non-Profit-Organisation Access Now, die sich für die Verteidigung der digitalen Bürgerrechte einsetzt, nun mehrere Haupthindernisse bei der Durchsetzung des Gesetzes untersucht und festgestellt.
1. Das Problem der Auslegung
Gesetze sind in der Regel in abstrakter Rechtssprache verfasst, deren Umsetzung erst nach der Ermittlung der genauen Bedeutung angegangen werden kann. Diese “Ermittlung” ist ein Art von Interpretationsprozess, den man als “Auslegung” bezeichnet.
In Deutschland knüpft man dabei an Friedrich Carl von Savignys System der juristischen Hermeneutik an, die dafür vier Elemente in sich vereint (Schübel-Pfister, 2004, 124 – 132): Während beim grammatischen Element der Auslegung der natürliche Sinn der Worte im unmittelbaren Zusammenhang des Satzes zu ermitteln ist, umfasst die systematische Auslegung den Einbezug naheliegender Gesetze. Die teleologische Auslegung sucht indessen nach dem Sinn und Zweck des Gesetzes, während das historische Element der Auslegung auf die historischen Gründe für die Schaffung einer Norm abzielt.
Nun hat aber jedes Land eigene Formen der Auslegung: Während beispielsweise im angloamerikanischen Raum traditionell der Wortlaut eine größere Rolle bei der Auslegung spielt, umfasst die Interpretation nach französischem Verständnis auch die Lückenfüllung und Rechtsfortbildung (Schübel-Pfister, 2004, 125). Somit ist es möglich, dass Juristen aus anderen Ländern auf unterschiedliche Interpretationen eines Gesetzes kommen. Da bereits der Begriff der Auslegung selbst auslegungsfähig ist, kann selbst der Europäische Gerichtshof, der nach dem Vertrag zur Gründung der Europäischen Gemeinschaft (kurz EGV) ” ‘die Wahrung des Rechts bei der Auslegung und Anwendung’ ” zu sichern hat, zu keinem einheitlichen Ergebnis gelangen (Schübel-Pfister, 2004, 126).
Obwohl die DSGVO Erwägungsgründe sowie Begriffsbestimmungen in Artikel 4 beinhaltet, die zur Unterstützung bei der Auslegung herangezogen werden können, haben auch die Aufsichtsbehörden dieses Problem bemerkt. Laut dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit sind sie daher an der Erarbeitung von “Leitlinien und Empfehlungen für die Auslegung und Umsetzung der neuen Rechtsvorschriften im Europäischen Datenschutzausschuss” (übersetzt aus dem Englischen; GDPR evaluation after two years – Take the opportunity for changes! (2020), The Hamburg Commissioner for Data Protection and Freedom of Information)
2. Das Problem der praktischen Umsetzung
Für die Durchsetzung der Regelungen der DSGVO sind die nationalen Datenschutzbehörden zuständig. Im Zeitraum von Mai 2018 bis März 2021 wurden insgesamt 278.549.188 Euro von den Datenschutzbehörden an Geldbußen und Sanktionen verhängt (Access Now, S. 2) – fast die Hälfte dieser Strafen belief sich gegen Technologieunternehmen und Telekommunikationsbetreiber (Access Now, S. 6).
Neben einer großen Diskrepanz zwischen der Art und Weise, wie Datenschutzbehörden in verschiedenen Mitgliedsstaaten ihre Befugnisse nutzen (Access Now, S. 2), haben die Behörden auch erhebliche Probleme mit der Durchsetzung der DSGVO in grenzüberschreitenden Fällen (Access Now, S. 3). Gründe hierfür sind unter anderem die Verwendung unzureichender Kommunikationsmittel sowie die Unvereinbarkeit nationaler Verfahren (Access Now, S. 3). Letzteres kann beispielsweise dazu führen, dass eine Behörde einen Fall für ungültig erklärt, während eine andere dies nicht tut.
Zusätzlich kommt hinzu, dass sich jeweils die Datenschutzbehörde in dem Land, in dem sich auch die Hauptniederlassung eines Unternehmens befindet, zur “federführenden Behörde” entwickelt und somit für alle Beschwerden im Zusammenhang mit diesem Unternehmen verantwortlich ist (Access Now, S. 13). Ein bekanntes Beispiel hierfür ist das Unternehmen Facebook, das seine Hauptniederlassung in Irland registriert hat und jede Untersuchung gegen das Unternehmen somit von der irischen Datenschutzbehörde geleitet werden muss (Access Now, S. 13). Dieses System führt jedoch meistens zu Überlastungen einzelner Datenschutzbehörden und immer noch zu Unklarheiten darüber, wer einen Fall leiten sollte.
Prof. Dr. Dieter Kugelmannm, seit 2015 Landesbeauftragter für den Datenschutz und die Informationsfreiheit in Rheinland-Pfalz, sagt in einem Interview mit Netzpolitik auch, dass die “größte Baustelle […] in der Tat eine effektive und europaweit einigermaßen harmonisierte Durchsetzung” ist.
Obwohl in Europa mit der DSGVO also eine gute Gesetzesgrundlage für den Datenschutz gegeben ist, muss die Umsetzung der Gesetze noch verbessert werden. Einheitliche Regelungen und Kommunikationskanäle wären wohl ein Anfang. Ebenfalls darf die Ausweitung der Gesetze nicht fehlen, um eine verfestigte Rechtsgrundlage beim Vorgehen gegen Unternehmen zu haben.
