Das soziale Netzwerk Instagram des Meta-Konzerns ist in der Türkei nur noch über VPN-Verbindungen erreichbar, berichten tagesschau.de und Der Standard.
Wie der türkische Cyberrechtsaktivist Yaman Akdeniz auf der Plattform X schrieb, sei der Grund „die nationale Sicherheit und der Schutz der öffentlichen Ordnung“.
Zuvor hatte Instagram Beileidsbekundungen aus der Türkei zur Tötung von Hamas-Führer Ismail Haniyya gelöscht.
Der scheidende Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Prof. Ulrich Kelber, hat mal wieder etwas veröffentlicht. Natürlich tut er das nicht selbst. Das tut seine Behörde. Ein kurzer Abriss zum Datenschutz ist in einem kleinen pdf zusammengestellt.
Am 6. Juli 2024 endet die Amtszeit von Prof. Ulrich Kelber als Bundesbeauftragter für den Datenschutz und die Informationsfreiheit. Selten habe ich ein Ausscheiden eines Politikers aus seinem Amt so bedauert, wie in diesem Fall. Leider viel zu selten treffen Kompetenz, Durchsetzungswille, internationale Vernetzung und nationale Einbindung in politische Entscheidungsprozesse aufeinander.
Ich habe Prof. Kelber als Redner zu Datenschutzfragen erlebt. Bei ihm wäre ich gern Student. Sein persönlicher Rückblick auf eine über fünfjährige Amtszeit ist hier nachzulesen.
Worin bestehen seine und die Leistungen der von ihm bisher geleiteten Behörde? Er treibt Digitalisierung in Deutschland voran. Zeitgemäße Kommunikationsformen, digitale Aktenführung oder Cell Broadcasting als Warnmöglichkeit in Extremsituationen wurden voran gebracht.
Die Schaffung eines einheitlichen Datenschutzniveaus und die permanente Überprüfung der gesetzlichen Grundlagen an der Praxis sind ebenfalls mit sein Verdienst. Grundrechte erhalten, Überwachung minimieren oder KI-Einsatz regulieren sind nur einige Baustellen, an denen er europaweit oder auch global gearbeitet hat.
Was mir besonders gut gefallen hat, waren zwei Projekte seiner Behörde. Die Pixi-Buchreihe vermittelt kindgerecht Grundlagen zum Datenschutz. Alle Bücher dieser Reihe stehen bei mir zu Hause im Bücherregal. Der Gang zu Mastodon und das Betreiben einer eigenen Serverinstanz durch die Behörde stellte einen wichtigen Schritt weg von Twitter/X hin zu einer besseren Plattform dar.
Ich wünsche mir, dass Prof. Kelber dem Thema Datenschutz gewogen bleibt, dass er weiter Stellung bezieht und den Finger in die schlimmsten Wunden legt.
Die dritte Kammer des Europäischen Gerichtshofes (EuGH) hat in ihrem Urteil vom 11. April 2024 die Rechte Betroffener erneut gestärkt und Pflichten der Verantwortlichen deutlich herausgestellt. Grundlage ist der 85. Erwägungsgrund zur DS-GVO:
„Eine Verletzung des Schutzes personenbezogener Daten kann – wenn nicht rechtzeitig und angemessen reagiert wird – einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die betroffene natürliche Person.“
Wie ist es nun um die Pflichten der verantwortlichen Stelle bestellt? Bereits der Verlust der Kontrolle Betroffener stellt einen Schaden dar. Die verantwortliche Stelle kann sich dabei nicht auf Fehlverhalten Mitarbeitender berufen.
Anlass zur Klage eines deutschen Rechtsanwaltes war die Tatsache, dass dieser trotz Widerrufs seiner Einwilligung weiterhin Mails mit werbendem Charakter von der juris GmbH erhielt.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Prof. Ulrich Kelber, hat in dieser Woche seinen Tätigkeitsbericht für das Jahr 2023 vorgestellt.
Der Bericht steigt gleich steil ein mit Empfehlungen an den Gesetzgeber. Diese zeigen die aktuellen Schwerpunktthemen im Datenschutz:
Beanstandungen im Berichtszeitraum gab es gegenüber:
Was außerdem hervorhebenswert ist: Die von Prof. Kelber geleitete Behörde ist innerhalb der EU und in der Welt ein anerkannter Partner in Fragen des Datenschutzes.
Wir schaffen hohe Datenschutzstandards auf globaler Ebene. Diese Harmonisierung ist ein Fortschritt für die Rechte der Bürgerinnen und Bürger, aber eben auch für die Wirtschaft, die auf einen freien und vertrauensvollen Datenverkehr angewiesen ist. Die Expertise des BfDI dazu wird international geschätzt und intensiv nachgefragt.
Prof. Ulrich Kelber
Seit 1981 begehen wir den Europäischen Datenschutztag am 28. Januar. Warum? Am 28. Januar 1981 beschloss der Europarat das Übereinkommen Nr. 108 „zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten“. Ziel war und ist es immer noch, die Grundrechte Betroffener bei automatisierter Verarbeitung personenbezogener Daten zu sichern und zu stärken.
Aktuell sehe ich drei große Probleme, vor denen der Datenschutz steht.
Das Abwägen zwischen Bequemlichkeit und den Schutz eigener Daten, der eigenen digitalen Identität führt leider zu oft zu Entscheidungen in Richtung Bequemlichkeit. Cookies ablehnen ist leider immer noch zu häufig aufwendiger, als sie einfach nur schnell zu akzeptieren. Der Einsatz nicht datenschutzgerechter Werkzeuge ist allgemein anerkannt, auch wenn es sehr wohl datenschutzgerechte Lösungen gäbe. Die Hemmschwelle, auf Social-Media-Plattformen auch jedes noch so intime Detail zu posten, ist ungebremst niedrig. Und Bildung tut immer noch zu wenig, um Kompetenzen zur informationellen Selbstbestimmung bei Jugendlichen (und auch schon bei Kindern) zu stärken.
Immer noch gelingt es zu oft Kriminellen, an personenbezogene Daten zu gelangen. Der IT-Governance-Blog geht von über 8 Mrd. geleakten Datensätzen alleine 2023 aus. Hier werden zu sehr die Betroffen in die Pflicht genommen. Doch wo bleiben die Pflichten der Verantwortlichen, personenbezogene Daten vor Angriffen zu schützen?
Bei aller Begeisterung für generative KI muss die Frage nach dem Schutz von Privatsphäre gestellt werden. Welche Daten werden als Trainingsdaten verwendet? Wie trainiert mein eigenes Nutzerverhalten eine KI und wie stehen die so gewonnenen Daten der Allgemeinheit zur Verfügung?
Datenschutzrechtlich hängt das Thema „WhatsApp“ immer noch in der Luft. Nun hat der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Prof. Ulrich Kelber die irische Datenschutzbehörde aufgefordert, endlich alle im Verfahren noch offnen Fragen einer Klärung zuzuführen.
Hauptkritikpunkt ist die „erzwungene“ Einwilligung in die geänderten Nutzungsbedingungen.
Ich bin froh, dass ich mich rechtzeitig von WhatsApp verabschiedet habe.
Die Europäische Kommission hat dem EU-U.S. Data Privacy Framework (dem Nachfolger des „Privacy Shields Abkommens“) in einem Angemessenheitsbeschluss ein hinreichendes Schutzniveau attestiert. Damit ist es wieder möglich, personenbezogene Daten (pbD) aus dem EWR in die USA zu übertragen. Einzige Voraussetzung: Die Empfänger pbD müssen vom US-Wirtschaftsministerium zertifiziert und in der dazu geführten Datenbank geführt werden.
Es sind damit keine Begleitmaßnahmen mehr erforderlich. Gründe für die Zulässigkeit einer Datennutzung sind aber weiterhin gültig.
Weitere rechtliche Prüfungen werden folgen. Es bleibt also spannend. Warum das neue Abkommen in der Kritik steht, wird hier sehr gut zusammengefasst.
OpenTalk ist gestartet. Für diese neue Videokonferenz-Plattform ist der Quellcode auf OpenCode veröffentlicht. Es geht um nichts geringeres als Zoom, Teams und anderen, nicht DS-GVO-konforme, Anbietern eine datenschutzgerechte und transparente Lösung entgegenzustellen. Die Preise sind moderat (die Premium-Lösung kostet 125 Euro pro Jahr netto).
Welche Ausreden will man jetzt noch bringen? OK – Funktionalität. Die werde ich testen. Ansonsten sollte es schwer fallen, weiter an den Gespenstern (Zoom, Teams, WebEx…) festzuhalten.
Meike Kamp (Berliner Beauftragte für Datenschutz und Informationsfreiheit)
Der Europäische Datenschutzausschuss harmonisiert die Bußgeldleitlinien im Geltungsbreich der DS-GVO. Grundlagen für die Bemessung von Bußgeldern sind Art eines Verstoßes, Schwere, Umsatz der verantwortlichen Stelle gemäß Art. 83 ABS. 4-6. In die Bußgeldbemessung fließen außerdem ein die Wirksamkeit des Bußgeldes sowie seine abschreckende Wirkung.
Die Leitlinien zu den Rechten Betroffener konkretisieren Art. 15 DS-GVO. Besonders das Auskunftsrecht wurde präzisiert. Welchen Umfang hat das Auskunftsrecht und welche Modalitäten müssen beachtet werden? Dazu gibt es eine wesentliche Abgrenzung offenkundig unbegründeter und exzessiver Anträge.
Souveräne Clouds stellen ein immer wiederkehrendes Thema dar. Hier werden Mindestkriterien für digitale Souveränität der Anbieter und der Anwender beschrieben: selbstständig, selbstbestimmt, sicher.
Mich nerven auch immer wieder Pur-Modelle auf Websites (Zugang zu Inhalten entweder als kostenpflichtiges Abo oder durch Einwilligung in eine Verarbeitung pbD für werbliche Zwecke). Hierfür gilt: Das Angebot eines trackingfreien Modells (auch kostenpflichtig) ist ausreichend.
Die Position der Datenschutzkonferenz zu Microsoft Online Dienste (Office 365) ist eindeutig:
MS praktiziert eine Verarbeitung personenbezogener Daten (pbD) zu eigenen und nicht legitimen Zwecken. Es erfolgt keine korrekte Löschung pbD. Es bestehen keine angemessenen Maßnahmen zum Schutz vor Übermittlung in Drittländer. Die TOMs sind nicht angemessen.
Fazit: Microsoft kann nicht nachweisen, dass datenschutzkonform gearbeitet wird.
Unabhängig von dieser Bewertung durch die Datenschutzkonferenz findet man häufig, besonders medial geführt, folgende Argumentationen: MS365 wird ja überall genutzt, also muss man großzügig sein. Andere nutzen es doch auch.
Zuletzt wurde konkreter auf das Recht auf eine Kopie pbD eingegangen.
Dem Anspruch auf Kopie pbD Betroffener muss die verantwortliche Stelle durch eine originalgetreue und verständliche Reproduktion der Daten Nachkommen. Das schließt Auszüge aus Dokumenten, ganze Dokumente und Auszüge aus Datenbanken ein.
Referent Martin Rost (Mitarbeiter beim
ULD Schleswig-Holstein und Autor des Buches
„Das Standard-Datenschutzmodell (SDM): Einführung,
Hintergründe und Kontexte zum Erreichen der Gewährleistungsziele“)
Ich lasse an dieser Stelle mal alle zu fachspezifischen Inhalte weg. Sehr cool fand ich die Einleitung in das Thema. Eine häufig anzutreffende Meinung ist ja, dass es im Datenschutz darum geht, Daten zu schützen. Fachlich etwas näher am Thema seiend führt zu der Annahme (so auch ich bisher), dass Datenschutz immer der Schutz von Menschen ist. Das stimmen sicherlich. Aber Datenschutz meint eben vor allem, Prozesse von Datennutzung so zu gestalten, das möglichst geringe Risiken für Betroffene bestehen. Und damit stehen eben Prozesse im Zentrum aller Überlegungen.
Datenschutzmaßnahmen stellen ein ausgewogenes Verhältnis her zwischen der Organisation der verantwortlichen Stelle mit Mitarbeitern, Dienstleistern, eingesetzter Software, Leistungserbringern, Logistik, Staat mit vielleicht untätiger Politik…
Dr. Behrang Raji (Legal Counsel Data Protection)
Ein spannender Redebeitrag zum Thema KI und Datenschutz. Wichtig finde ich den Bezug zu den Vorschlägen aus Schleswig Holstein für eine ChatGPT-Nutzung in Unternehmen und Einrichtungen:
Richtlinien für den Umgang im Unternehmen schaffen.
Die Nutzung privater Accounts für dienstliche Zwecke sollte untersagt werden.
Es sollten keine personenbezogenen Daten für die Prompts genutzt werden.
Es sollten nur Unternehmensinformationen verwendet werden, die bereits öffentlich sind.
Die Nutzung des Dienstes unter Verwendung personenbezogener Daten zum Zweck der Erstellung von Beurteilungen der Persönlichkeit, der Arbeitsleistung sollte verboten werden.
Bei generierten Texten sollte ChatGPT als Quelle angegeben und und zusammen mit den Prompts dokumentiert werden.
Die Ausgaben von ChatGPT sollten immer auf Richtigkeit überprüft werden.
Der Dienst darf nicht genutzt werden, um Entscheidungen über natürliche Personen zu treffen (Art. 22 DSGVO).
Mark Semmler (Dipl. Informatiker und IT Security Specialist)
Mark Semmler erlebe ich zum zweiten Mal auf dem Datenschutztag. Und es war wieder ein Erlebnis.
Ich fasse nur einige Punkte seines Vortrages zusammen. In der Gesamtheit kann man dieses Feuer aus Sprache, Fakten und Inhalt nicht wiedergeben.
Ransomware ist immer noch ein Multimilliardengeschäft und weist inzwischen eine starke Diversifizierung auf. Über 100 Gruppen agieren weltweit, wobei etwa 95 % aller Akteuere aus Russland und Weißrussland kommen. Zielgerichtete Angriffe auf kritische Infrastrukturen haben deutlich zugenommen.
Hinzu kommen Fakenews, die auf Twitter und Facebook verbreitet werden. Semmler spricht von A-BC-D-Kriegsführung. Das D steht für „digital“. Das technisches Niveau der Akteure ist niedrig und mittelhoch und immer noch, erstaunlicherweise, erfolgreich.
Dabei ist derKonkurrenzdruck gestiegen. Es geht nur noch darum, schnell Daten von Opfern zu verschlüsseln und Geld zu machen:
Kunde durch eine Backdoor öffnen – in der Breite Kunden unter Kontrolle bekommen – Daten verschlüsseln – Geld fordern.
Der Handlungsdruck auf Seiten der Angreifer bedeutet für Betroffene eine deutlich geringere Reaktionszeit.
Dieser Markt ist immer noch nicht ausgetrocknet. Neu Angriffe erfolgen zunehmend auf kleine und mittlere Unternehmen.
Was fordert Semmler von der Politik? Maßnahmen müssen verpflichtend werden und gesetzlich verankern sein. Lösegeldzahlung müssen unter Strafe gestellt werden. Nur so kann dieser Sumpf trocken gelegt werden. Semmler selbst verhandelt kein Lösegeld mehr. Auslöser für diese Entscheidung war der Ukraine-Krieg.
Ein toller, informativer Tag geht zu Ende. Es hat sich gelohnt!