Schlagwort-Archive: Datenschutz

Offene Kontaktlisten

Das Thema „offene Kontaktlisten“ scheint ein Dauerbrenner zu sein. So richtig durchgestartet ist das Thema in der Pandemie-Situation. In verschiedenen Bundesländern werden Gästelisten in Restaurants geführt. Frisöre, Kosmetikstudios und andere Einrichtungen sind auch in der Pflicht.

Jedoch ist sind offene Kontaktlisten keine neue Erscheinung. Bei Weiterbildungen, bei Veranstaltungen, im Elternabend gehen Listen herum. Die Teilnehmer* innen sollen ihre Daten eintragen oder schlimmer noch, umfangreiche Daten kontrollieren/korrigieren.

Es war nur eine Frage der Zeit, dass Bußgelder verhängt werden. Die Aufsicht führende Behörde in Hamburg hat die Verfahren zur Gäste- und Besucherdokumentation kontrolliert, Verbesserungsvorschläge unterbreitet und die Ergebnisse kommuniziert. Offensichtlich hat das nicht ausgereicht. Jetzt wurden auch Bußgelder verhängt.

Ich finde das gut so. Eben weil das Thema „offene Kontaktlisten“ in unterschiedlichen Ausprägungen ein Dauerbrenner ist. Ich habe schon zwei Mal die Lokalität wechseln müssen, weil man mit einer Liste ankam, in der ich meine Kontaktdaten erfassen sollte.

Digitale Kompentenzen, Datenschutz und die Erfordernisse des Arbeitsmarktes

Es ist Sommer, es sind Ferien und eigentlich sollte man nicht über diese Themen nachdenken müssen. Aber … ich sehe ein Foto in der Wirtschaftswoche mit einem Overheadprojektor (Polylux). Mein Freund/Kollege und ich, wir planen die feierliche Verbrennung aller Overheadprojektoren im Innenhof der Schule. Allerdings wollen wir damit warten, bis wir den Digitalpakt umgesetzt haben. Soviel zum Thema „Sommer, Ferien und nicht an die Arbeit denken“.

Beginnen wir mal mit dem Datenschutz. In der Süddeutschen las ich heute ein schönes Interview mit Peter Hense, Rechtsanwalt aus Leipzig und auf Fragen des Datenschutzes spezialisiert. Ich habe Peter Hense auf dem Datenschutztag 2020 in Berlin erlebt. Dort hat er bereits seine Position zum Thema Videokonferenztools deutlich gemacht. Im Interview bleibt er bei seiner auf dem Datenschutztag geäußerten Position. Nur weil die Kultusministerien der Länder in den vergangenen Jahren gepennt haben, es keine Pläne für digitalen Unterricht gibt, werden Tools wie Microsoft Teams und Zoom geduldet. Was das für Schülerinnen und Schüler bedeuten kann, wird weggeschwiegen.

Dann kommt mir heute noch ein Artikel in der Wirtschaftswoche unter. „Prähistorische Digitalkenntnisse gefährden den Arbeitsmarkt von morgen“ Zum wiederholten Mal werden grundlegende Reformen der Lehrpläne gefordert. SuS müssen besser auf die digitalen Erfordernisse der Arbeitswelt vorbereitet werden. Wir gefährden seit Jahren den Standort Deutschland. Das Problem ist längst bekannt, jedoch getan hat sich nix. Eine dritte Leseempfehlung kommt hinzu. Das Deutsche Schulportal hat sich mit der Frage auseinander gesetzt, welche digitalen Kompetenzen eigentlich SuS mitbringen. Die Antwort ist ernüchternd und doch vorhersehbar: Kaum praxisrelevante.

Was also ist das Fazit? In den letzten Wochen wurde viel gesagt und geschrieben zu den Defiziten von Lehrerinnen und Lehrern. Weniger gesagt wurde zu den Defiziten on SuS. Auch darüber muss gesprochen werden. Genau so muss über Infrastruktur gesprochen werden. Wie werden Schulen ausgestattet? Wie werden LuL befähigt, Technik zu nutzen, Methoden anzupassen? Die Partizipation am Digitalpakt erfordert (zumindest im Freistaat Sachsen) ein Medienbildungskonzept für Lehrpersonen. Es geht nicht einfach darum, Technik anzuschaffen ohne Sinn und Verstand – hauptsache haben. Das ist ein völlig falsches Konzept. Es geht um Fragen wie „Wo liegen Bezugspunkte in den Lehrplänen?“, „An welchen Stellen des Unterrichtens zeigen sich Vorteile bei der Digitalisierung?“ usw.

Wenn wir über mangelnde digitale Kompetenzen bei SuS sowie bei LuL sprechen, dann müssen wir zwangsläufig auch über Datenschutz sprechen. Sätze wie „Über Datenschutz können wir nachdenken, wenn Zeit dafür ist! Jetzt muss ich erst mal Unterricht absichern.“, „Ich weiß, dass es so was wie Datenschutz gibt, aber der interessiert mich gerade recht wenig!“… Ich könnte seitenweise weiter Beispiele liefern. Datenschutz als geltendes Recht anerkennen und umsetzen können zählt für mich zu den Basiskompetenzen. Wie will ich informationelle Selbstbestimmung als Gut vermitteln, wenn ich selbst keinen Bezug zum Datenschutz habe?

Mein Appell lautet also: Macht Euch kompetent! Macht Eure SuS kompetent! Seid Vorbilder!

Die Berliner Landesbeauftragte bleibt auf Konfrontationskurs

Die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Berlin, Maja Smoltczyk, hat im Streit mit Microsoft und Zoom nachgelegt. In der heute (03.07.2020) veröffentlichten Handlungshilfe „Hinweise für Berliner Verantwortliche zu Anbietern von Videokonferenz-Diensten“ gibt es ein Ampelsystem zur Kennzeichnung von Diensten, die aus datenschutzrechtlicher Sicht geeignet oder eben auch nicht geeignet sind. Skype, Skype Business und Zoom sind weiterhin mit rot als nicht geeignet gekennzeichnet. Gleiches gilt übrigens auch für Microsoft Teams.

Die Nutzung dieser Dienste geht als weiter mit dem Risiko eines Datenschutzverstoßes einher, der bußgeldbewehrt ist. Die Begründungen, warum einzelne Anbieter so bewertet wurden, finden sich im Abschnitt „Anmerkungen zu den einzelnen Anbietern“ am Ende des Dokuments. Im Grunde geht es um die rechtswidrige Nutzung von Teilnehmerdaten und um unklare Verarbeitungsvorgänge.

Datenschutz, Schulen und Videokonferenzen

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit BW veröffentlichte am 24. Juni 2020 eine Pressemitteilung zum Thema Zoom im Besonderen und Videokonferenzen im schulischen Umfeld im Allgemeinen.

Er erkannte an, dass Zoom nach allen bisher geäußerten Kritikpunkten reagiert und nachgebessert hat.

Interessant an der Pressemitteilung finde ich folgende Stelle:

Die Corona-Warn-App

Installieren oder nicht installieren? Das scheint die Frage der Woche zu sein. Dabei schlagen die Wellen ziemlich hoch. Ich will hier weiß Gott niemanden bekehren oder belehren.

Was wissen wir denn? Wir wissen, dass der Quellcode der App öffentlich zugänglich ist. Gleiches gilt für die Dokumentation der App. (Quelle) Ich konnte bisher noch keinen Bericht von bild.de über heise.de bis zu netzpolitik.org finden, der sich generell negativ zur App äußert.

Beschäftigt man sich mit den Maßnahmen zur Pseudonymisierung so kann man feststellen, dass hier hohe Maßstäbe angelegt wurden. In vielen populär gehaltenen Texten wird das Thema sehr knapp dargestellt. Die App erzeugt zunächst einen zufälligen Schlüssel auf dem Smartphone – einen TEK (Temporary Exposure Key). Dieser Schlüssel ändert sich alle 24 Stunden und wird nach 14 Tagen gelöscht und anschließend komplett neu angelegt.

Aus dem TEK wird alle 10 bis 20 Minuten ein 128-Bit-Schlüssel generiert, der RPI (Rolling Proximity Identifier).

Jetzt sendet das Smartphone etwa 4 bis 5 mal pro Sekunde den RPI via Bluetooth Low Energy (BLE) in die Gegend. BLE ist ein Standard, der technisch auf älteren Geräten nicht verfügbar ist. Hier hat man wohl abgewogen: Akku sparen und Reichweite einschränken (BLE) oder Akku belasten bei höherer Reichweite (Bluetooth Klasse 1, 2 oder 3).

Alle 5 Minuten lauscht gleichzeitig das Smartphone in der Gegend herum und sammelt RPIs anderer Geräte. 5 Minuten beträgt die durchschnittliche Expositionszeit, in der es zu einer erfolgreichen Infektion kommen kann.

An diesem Punkt sollte vielleicht erwähnt werden, was die App nicht tut. Die auf dem Smartphone generierten Schlüssel verlassen das Gerät zunächst einmal nicht. Eine Geolokalisation findet nicht statt. Also weder die App noch der Server, auf dem Infektionen erfasst werden können, kennen den Aufenthaltsort des Smartphones.

Und was passiert nun im Infektionsfall? Wir erinnern uns: Smartphones, die sich begegnen, tauschen ihre RPIs miteinander aus, wenn die Begegnung länger als 5 Minuten dauert. Wird nun ein Nutzer der App positiv auf eine Corona-Infektion getestet, so kann er frei entscheiden, ob dieser Fakt weiter verfolgt werden soll. Also auf freiwilliger Basis kann nun der TEK des Smartphones auf einen zentralen Server geladen werden. Der TEK lässt keinen Rückschluss auf das Smartphone des Nutzers zu.

Auf dem zentralen Server muss nun noch der Infektionsfall über einen QR-Code (deshalb benötigt die App Zugriff auf die Kamera) oder über eine PIN (nicht alle Labore können QR-Codes erzeugen) autorisiert werden. Wäre diese Sicherheitsschwelle nicht eingebaut, könnte man ja „fröhliches Infektionswellen lostreten“ spielen.

Nun kann die App die Liste aller aktuell als „infiziert“ gemeldeten TEKs vom zentralen Server laden. Noch immer wissen wir nicht, welches Smartphone, also welche Person, sich hinter den TEKs verbirgt. Aus den TEKs werden nun nur noch die RPIs berechnet. Die Liste der RPIs wird mit der lokal gespeicherten Liste der „Begegnungszentrum-RPIs“ verglichen. Liegt eine nÜbereinstimmung vor. Wird eine Warnung ausgegeben. Und noch immer ist unbekannt, wer wo und wann zu einem Infektionsrisiko für den App-Nutzer wurde.

Nun kann man trotzdem den Aluhut aufsetzen, an allem zweifeln und die App nicht nutzen. Das ist ok, weil das gesamte Verfahren ist freiwillig. Wir sind hier weder in Ungarn, noch in Südkorea oder in China.

Wer es gerne etwas kürzer, dafür aber mit Bilderchen haben möchte, kann gerne hier die Zusammenfassung lesen.

Das Ding mit den Videokonferenzen

Seit Beginn der Corona-Pandemie wird die Diskussion geführt, welches Videokonferenz-System sicher und datenschutzgerecht ist und welches das nicht ist.

Es geistern Tools wie Microsoft Teams, Skype, Zoom, Jitsi, Big Blue Button, Webex und noch viele weitere durch die Gegend.

Zu Beginn dieser Phase war Zoom mit der App ganz dolle böse. Die App gab Daten weiter. Das Problem wurde dann behoben. Da war Zoom zunächst einmal ein ganz gut geeignetes Tool. Die Daten allerdings liegen in den USA.

Wie soll man denn nun vorgehen, wenn es um die Bewertung von Hilfsmitteln im Hinblick auf das Thema Datenschutz geht?

Wer ist die verantwortliche Stelle?

Datenschutz gilt ausdrücklich nicht im Privaten (Art. 2 Abs. 2 lit. c DS-GVO). Also als Privatperson kann ich jedes Tool nutzen, das mir gerade über den Weg läuft. Gestalte ich als Lehrperson meinen Unterricht, kommuniziere ich mit Kunden, mit Patienten usw., dann ist mein Arbeitgeber die verantwortliche Stelle und die DS-GVO kommt zur Anwendung.

Werden überhaupt personenbezogene Daten erhoben, gespeichert, verarbeitet oder weitergegeben?

In einem Zustand der völligen Anonymität muss Datenschutz nicht berücksichtigt werden. Sobald aber die genutzten Daten einer natürlichen Person zugeordnet werden können, sieht das anders aus. Bei Videokonferenzen fallen Transportdaten (IP-Adressen, ev. Mail-Adressen, Autorisierungsangaben…) an. Mindestens IP- und Mail-Adresse lassen eine Identifizierung zu. Bei den Inhaltsdaten kommen Videodaten ins Spiel, wenn die Kamera genutzt wird. Textangaben werden vielleicht im Chat erhoben.

Auf welche Rechtsgrundlagen kann sich die verantwortliche Stelle beziehen?

Schön isses immer, wenn es eine gesetzliche Grundlage für die Datennutzung gibt. Da fällt mir keine ein, die bei Videokonferenzen herangezogen werden könnte.

Hat man in weiser Voraussicht entsprechende Formulierungen in Verträgen stehen, dann kann man sich auf Vertragserfüllung als Ausnahmetatbestand berufen. Das können Schulen z. B. im Schul- oder im Ausbildungsvertrag regeln. Vielleicht ist auch die Schulordnung ein geeigneter Platz.

Dann gäbe es noch die Einwilligung. Eine Einwilligung muss freiwillig erfolgen und sie muss dokumentiert sein. Außerdem ist sie jederzeit widerrufbar. Die Einwilligung ist also wenig geeignet, Unterricht in Zeiten der Pandemie mit Videokonferenztools zu gestalten.

Bleibt das besondere Interesse der verarbeitenden Stelle. Das allerdings ist ein Leichtgewicht-Argument. Nur wenn es absolut keine datenschutzgerechten Alternativen gibt, kann ich vielleicht das besonderes Interesse ins Feld schicken.

Mein Fazit zu diesem Punkt: Wer nicht in der Glaskugel die Pandemie hat heraufziehen sehen und vorsorglich seine Verträge vor Vertragsschluss angepasst hat, steht doof da, zumindest was die Nutzung von Videokonferenzen und einiger anderer Online-Tools betrifft.

Wie kann man nun sauber aus diesem Dilemma heraus kommen?

Wie bereits gezeigt: Vertragserfüllung ist die beste Lösung. Auf diese werden sich aber viele verantwortliche Stellen nicht berufen können. Die Einwilligung ist blöd. Was mache ich mit den SuS, die nicht einwilligen?

Schritt 1: Eigener Server – Beim eigenen Videokonferenz-Server verlassen die Daten nicht die verantwortliche Stelle. Eine Weitergabe der Daten nach außen oder gar in ein unsicheres Drittland (z. B. USA) kommt nun nicht mehr vor.

Schritt 2: Auswahl einer geeigneten Software – Die Lizenzform Open Source garantiert ein beachtliches Maß an Transparenz. Wenn dann dann noch die Plattform technik- und softwareneutral genutzt werden kann, ist schon mal viel gewonnen. Ich zwinge die Nutzer nicht, eine App zu installieren, wenn das Meeting auch im Web-Browser läuft.

Schritt 3: Minimierung der genutzten personenbezogenen Daten – Wenn keine Anmeldung zu einem Meeting mit einer Webadresse erforderlich ist, fällt diese Datenkategorie schon mal weg. Treten die SuS mit ausgeschalteter Kamera dem Meeting bei, ist auch diese Hürde ausgeräumt. Da der Chat innerhalb der verantwortlichen Stelle bleibt und zum Ende des Meetings gelöscht wird, ist das Thema auch kein wirkliches Thema mehr. Heikel bleiben Aufzeichnungen der Meetings. Aber die können ja untersagt werden.

Wenn man diesen Punkten Beachtung schenkt, dann sieht das Leichtgewicht „Besonderes Interesse der verantwortlichen Stelle nach Risikoabwägung“ plötzlich gar nicht mehr wie ein Leichtgewicht aus. Vielmehr eröffnet sich hiermit die Möglichkeit, Videokonferenzen datenschutzkonform durchzuführen.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit schreibt zum Thema in ihrer „Checkliste für die Durchführung von Videokonferenzen während der Kontaktbeschränkungen“ vom 22. Mai 2020:

Aktualisiert – Leitlinien zur Einwilligung in Nutzung von Websites

Am 5. Mai 2020 aktualisierte der Europäische Datenschutzausschuss (EDSA) die Leitlinien. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit Prof. Ulrich Kelber ist Mitglied des EDSA. Er begrüßte die Änderungen.

Ausgangslage

Immer noch existieren Websites, die durch geeignete Maßnahmen den Nutzern Tracking unterjubeln.

Leitlinien

Ein Cookie-Wall ist eine Maßnahme, die das Nutzen einer Website ohne Cookie-Einwilligung unmöglich macht. Die Leitlinien erlauben Cookie-Walls nur noch, wenn eine Nutzungsalternative, beispielsweise als Bezahldienst, existiert.

Zweiter wichtiger Fakt: Die Nutzung einer Website stellt keine Einwilligung dar. Das ist an sich nicht neu. Bisher galt bereits, dass eine Einwilligung immer durch einen aktiven Akt erklärt werden muss.

Ihr Datenschutzbeauftragter – Blog

Guten Tag und herzlich willkommen in meinem Datenschutz-Blog.

Spätestens seit dem 25. Mai 2018, dem Tag, an dem die Datenschutz-Grundverordnung der Europäischen Union in Kraft trat, ist das Thema Datenschutz zu einem festen Begleiter geworden.

Ich greife verschiedene Themen auf und stelle sie hier vor. Bei Fragen kann ich unter ulf.tschech@ihrdatenschutzbeauftragter.info kontaktiert werden.

Datenschutz in Zeiten von Digitalisierung und Digitalität

Der Bundesbeauftragte für Datenschutz und Informationsfreiheit Ulrich Kelber gab in dieser Woche eine Stellungnahme zur Datenstrategie der Bundesregierung ab.

Bereits sein Einstieg regt zum Nachdenken an: „eine Datenstrategie innerhalb einer Digitalisierungsstrategie muss zwingend eine klare Linie beim Datenschutz beinhalten. Datenschutz ist in Europa von den Grundrechten abgeleitet und nicht optional.“ Datenschutzmaßnahmen sind in der Europäischen Union eben keine nette Nebensächlichkeit. Sie sind grundlegend. Das vergessen wir zu leicht. Hinterfragen wir wirklich immer unser Tun unter diesem Gesichtspunkt? Wie gehe ich mit Schülerdaten, mit Patienten- oder mit Kundendaten um? Sensibilisiere ich mein Umfeld zu Fragen des Datenschutzes?

„Bereits heute sind Daten nicht mehr auf ein paar Informationen über unsere Person beschränkt. Sie ermöglichen ein vollständiges Abbild des Menschen, seiner Familie und Freunde, seiner Ausbildung und Arbeit, seiner Hobbys, Krankheiten, Vorlieben und Schwächen, seines täglichen Bewegungsradius, seine Einkäufe, seine politischen und religiösen Einstellungen, seines Gemütszustands usw. Das ist angesichts der Verschränkung des digitalen und des nicht-digitalen Lebens von herausragender Bedeutung. heute sind Daten nicht mehr auf ein paar Informationen über unsere Person beschränkt. Sie ermöglichen ein vollständiges Abbild des Menschen, seiner Familie und Freunde, seiner Ausbildung und Arbeit, seiner Hobbys, Krankheiten, Vorlieben und Schwächen, seines täglichen Bewegungsradius, seine Einkäufe, seine politischen und religiösen Einstellungen, seines Gemütszustands usw. Das ist angesichts der Verschränkung des digitalen und des nicht-digitalen Lebens von herausragender Bedeutung.“

Stellungnahme des Bundesbeauftragten Ulrich Kelber

Zu oft wird Datenschutz als Hemmnis in Digitalisierungsprozessen gesehen. Dieser Logik folgend müsste das gesamte Silicon Valley in Aufruhr sein. Hat doch gerade erst Kalifornien in einem Alleingang ein Datenschutzrecht beschlossen, das in einigen Punkten schärfer eingreift, als die DS-GVO. Haben wir verzweifelte Aufschreie gehört? Droht eine gigantische Abwanderung von Konzernen aus Kalifornien? Nichts der Gleichen passiert.

Datenschutz und Informationsfreiheit müssen m. E. stärker im Unterricht eine Rolle spielen. Lehrer haben eine Vorbildfunktion auch unter diesen Gesichtspunkten. Wenn wir unsere Daten zu schätzen wissen, dann können wir auch den Schutz unserer Daten würdigen.

Bemerkenswertes Bußgeld

Der Bundesbeauftragte für Datenschutz und informationelle Selbstbestimmung hat gegenüber der 1&1 Telecom GmbH ein Bußgeld in Höhe von 9.550.000 Euro verhängt. Die Telefonhotline von 1&1 gab umfangreiche Auskünfte zu Kundendaten. Eine Identifikation erfolgte lediglich über Name und Geburtsdatum. Obwohl sich 1&1 einsichtig zeigte und Maßnahmen ergriff („…bitte halten Sie ab sofort immer Ihre persönliche 1&1 Service-PIN sowie zusätzlich Ihre 1&1 Rufnummer oder Ihre 1&1 Vertragsnummer bereit, wenn Sie bei uns anrufen. So kann der telefonische Kundenservice Sie als Vertragspartner identifizieren.“ aus der Kunden-E-Mail), fiel das Bußgeld doch bemerkenswert hoch aus.

Der Bundesbeauftragte dazu:

Datenschutz ist Grundrechtsschutz. Die ausgesprochenen Geldbußen sind ein klares Zeichen, dass wir diesen Grundrechtsschutz durchsetzen werden.“ (https://www.bfdi.bund.de/SiteGlobals/Modules/Buehne/DE/Startseite/Pressemitteilung_Link/HP_Text_Pressemitteilung.html)