D*ie Datenschutzbeauftragte verbietet das! – Oder doch nicht?

Sehr oft hört mensch im beruflichen Kontext die Aussage: „Das dürfen wir so nicht machen, unser*e Datenschutzbeauftragte*r hat das verboten.

Aber hat er* sie das wirklich?

Kurze Antwort vorab: Nein, dieses Recht steht ih*r nicht zu!

Aber wozu gibt es dann die Datenschutzbeauftragten?

De*m Datenschutzbeauftragten eines Betriebs, einer Behörde oder eines Unterbehmens obliegt u.a. die Aufgabe der Beratung der Leitungsebene sowie der gesamten Belegschaft in allen datenschutzrechtlichen Fragen. Auch hat sie*er die Einhaltung aller datenschutzrechtlichen Bestimmungen zu überwachen. Allerdings steht de*r Datenschutzbeauftragten kein Weisungsrecht zu.

Demnach muss Er*Sie nicht datenschutzkonforme Verarbeitungsvorgänge beanstanden, hat aber kein Recht diese zu verbieten oder zu erlauben.

Entscheidungen über die Umsetzung von Verarbeitungsvorgängen  trifft ausschließlich die Leitungsebene, ggf. die nachgeordneten Führungskräfte. Sie sind Verantwortliche im Sinne der Datenschutzgrundverordnung  und somit auch verantwortlich für die Einhaltung der bei der Verarbeitung personenbezogener Daten gebotenen organisatorischen und technischen Sicherheit und aller datenschutzrechtlichen Vorschriften.

Fazit:

Verbieten oder erlauben dürfen nur die Leitungsebene, bzw. die nachgeordneten Führungskräfte.

D*ie Datenschuztbeauftragte darf ausschließlich Empfehlungen abgeben.

Vielleicht ist es manchmal einfach bequemer oder leichter d*en Datenschutzbeauftragte*n als Buhmenschen vorzuschieben.

 

Vergabekammer BW schiesst übers Ziel hinaus: Ein genereller Ausschluss US-amerikanischer Tochterfirmen ist nicht gerechtfertigt

Behörden-Ausschreibungen für Cloud-Dienste dürfen in Baden-Württemberg nicht an US-amerikanische Tochterfirmen vergeben werden, auch wenn diese in der EU registriert sind.

Offenbar ist die Vergabekammer mit ihrem Beschluss zu weit gegangen und sollte ihn nun revidieren.

Pauschale Verbote sind unangebracht.

„Vergabekammer BW schiesst übers Ziel hinaus: Ein genereller Ausschluss US-amerikanischer Tochterfirmen ist nicht gerechtfertigt“ weiterlesen

Die privatisierte Zensur – Instagram blockt Beiträge zu Abtreibungen

Kaum hat der Supreme Court -der oberste Gerichtshof der Vereinigten Staaten- sein Urteil verkündet, werden die Zensoren vorauseilend aktiv.

Meinungs- und Pressefreiheit heißt zwar nicht, das jede*r alles sagen darf – aber solange es keine strafrechtliche Relevanz hat sollte jede Meinungsäußerung möglich sein.

Die (sozialen) Medien sind in privater Hand und dazu angehalten, Inhalte die als problematisch eingeschätzt werden zu sperren und ggf. an  Strafverfolgungsbehörden zu melden. In Deutschland greift hier unter anderem das umstrittene Netzwerk-Durchsetzungsgesetz.

Problematisch ist jedoch nicht dass Inhalte gesperrt werden, sondern warum etwas gesperrt wird und wie mensch sich dagegen wehren kann. Der Willkür ist meist Tür und Tor geöffnet.

Zudem behalten sich die Anbieter in den Nutzungsbedingungen vor, bestimmte Inhalte nach Gutdünken zu sperren und – da es private Unternehmen sind – fehlt vor allem eine praktikable rechtliche Handhabe um dagegen vorzugehen.

Es bleibt spannend, ob die Zensur ein weltweites Revival erlebt und „die gute alte Zeit“ wieder aufersteht – dank des Ukrainekriegs wird in Russland und in der Ukraine  zensiert. Aber auch in der Türkei und vielen anderen Staaten stehen (kritische) Meinungsäußerungen unter dem aufmerksamen Blick der Zensur- und Strafverfolgungsbehörden.

Oder wird Orwells 1984 Realität, in der das Wahrheitsministerium in guter stalinistischer Manier die (archivierten) Dokumente nachträglich korrigiert, damit sie der neuen Wahrheit entsprechen?

Das Verwirrspiel mit den Datenschutzeinstellungen – konzertierte Aktion der Verbraucherschutzbehörden gegen Google

Jede*r weiss, wie kompliziert die Datenschutzeinstellungen gemacht werden, so dass mensch aufgibt und hinnimmt, dass die eigene Privatsphäre nicht einmal so weit geschützt wird, wie es möglich wäre.

Nutzer*innen werden dazu gedrängt, allem zuzustimmen indem „Nudging“, umständliche Einstellungsoptionen und sogenannte „Dark Pattern“ angewandt werden.

Von datenschutzfreundlichen Voreinstellungen ganz zu schweigen, obwohl diese dank der DSGVO gegeben sein müssten.

Nun gehen die europäischen Verbraucherschutzbehörden gemeinsam gegen Google vor, und reichen bei 10 Aufsichtsbehörden Beschwerden dagegen ein. Eigentlich hätten die Behörden und die Politik bereits vor Jahren aktiv werden müssen.

Weitere Informationen

FacePay – Gesichtserkennung in der Moskauer Metro

Mit einem Blick in die Kamera wird die Sperre zur Metro freigegeben.

Was als komfortables Bezahlsystem beworben wird dient auch zu Überwachung und Repression: Unzählige Personen wurden bereits in der Moskauer Metro verhaftet. Die biometrische Gesichtserkennung dient dabei als Mittel zum Zweck. Betroffen sind u.a. Kriegsgegner, deren biometrischen Merkmale bereits in der Datenbank zum Abgleich bereitstehen.

Es muss davon ausgegangen werden, dass auch in Russland weitere (Standort-)Daten gesammelt und personenbezogen zusammengeführt werden – in China ist diese Art der Profilbildung bereits in der Umsetzung (s. Blogbeitrag).

Was im Geltungbereich der DSGVO undenkbar erscheint, ist in autoritären Regimes längst gängige Praxis.

Weitere Informationen

Rasterfahndung war gestern – China baut auf Totalüberwachung

Neben dem massiven Ausbau der Kameraüberwachung wird in China auf präventive Überwachung (fast) aller Bürger gesetzt. Alle greifbaren Daten aus Vergangenheit und Gegenwart werden zusammengeführt und ausgewertet. Zudem sollen Vorhersagen über das Verhalten einzelner gemacht werden, insbesondere . Ansätze dazu gibt es auch in demokratischen Staaten – Predictive Policing in den USA und woanders gehört dazu – jedoch ist das chinesische Ausmaß erschreckend.

Die New York Times NYT hat eine umfangreiche Recherche vorgenommen, die ein klares Bild zeichnet:

  • biometrische Informationen werden zusammengeführt (u.a. Fotos, Stimm-Mitschnitte, Iris-Scans, Fingerabdrücke, DNA, digitale IDs)
  • Standortdaten (sowohl GPS als auch lokalisierende WLAN- und Funknetz-Daten) werden von Smartphones abgeleitet sowie von Überwachungskameras mit biometrischer Identifizierung (Bild und Ton) generiert
  • andere verfügbaren Daten (Einkäufe, Hotel- und Ticketbuchungen, Stromverbrauch u.v.m.) werden zusammengeführt

Vollendet sich in China das Werk der NSA?

Weitere Informationen

Hilferuf nach sicherer Software – Ursachen bekämpfen statt gegen Symptome wie Lösegeldzahlungen für Ransomware vorzugehen

Cyberangriffe mit Verschlüsselungstrojanern häufen sich in den letzten Jahren, neben privatwirtschaftlichen Unternehmen sind zunehmend öffentliche Einrichtungen wie Behörden und Universitäten betroffen. Seit dem Beginn des Ukrainekrieges sind die Cyberattacken mit Ransomware aggressiver geworden, so dass sowohl vorbeugende als auch lindernde Maßnahmen nun zwingend geboten sind und diskutiert werden – sowohl in der IT selbst als auch bei der Gesetzgebung.

Statt der Symptome sollten die Ursachen im Fokus stehen:

Heutige Software und Systeme sind sicherheitstechnisch löchrig wie ein Schweizer Käse.

Ziel sollte Sicherheit und Verlässlichkeit sein.

Jede Komponente sollte überprüfbar sein.

Ein offener Ransomletter-Brief zieht auch im universitären Umfeld seine Kreise. In diesem wird die Politik aufgefordert, Lösegeldzahlungen und Versicherungen, die diese abdecken, gesetzlich zu reglementieren, so dass die Ransomwaregangs Lösegelder nicht mehr so leicht eintreiben können und ihnen damit das Wasser abgegraben werden kann. Dass Lösegeldzahlungen nicht der richtige Weg sind, das Problem in den Begriff zu bekommen, liegt auf der Hand.

Jedoch wird sich das Ransomware-Geschäftsmodell durch ein Verbot von Lösegeldzahlungen nicht aushebeln lassen, denn:

  • einerseits werden angegriffene Unternehmen trotzdem Wege finden, Lösegeldzahlungen vorzunehmen, wenn sie dieses wollen und
  • andererseits der Schaden durch eine Zerstörung oder Weitergabe/Verkauf erbeuteter Daten an Dritte möglicherweise noch größer wäre

Insofern ist der Ansatz des offenen Briefs nicht zielführend. Im Gegenteil – wenn die Ursachen nicht beseitigt werden, wird es immer schlimmer. IT-Systeme werden von vielen Akteuren angegriffen, sowohl Geheimdienste als auch etliche -teilweise sogar staatlich beauftragte- Hacker tummeln sich darin.

Im Beitrag beschreiben wir den typischen Verlauf eines Ransomware-Angriffs und diskutieren, was Software sicherer machen könnte.

„Hilferuf nach sicherer Software – Ursachen bekämpfen statt gegen Symptome wie Lösegeldzahlungen für Ransomware vorzugehen“ weiterlesen

Kurzpapier: Einordnung der datenschutzrechtlichen Stellungnahme des behördlichen Datenschutzes

Die Stellungnahme des behördlichen Datenschutzes ist ein zentrales Element für die ordnungsgemäße Umsetzung von Verarbeitungstätigkeiten personenbezogener Daten.

Im Kurzpapier legen wir dar, welche Aufgaben den Verantwortlichen und welche dem behördlichen Datenschutz gesetzlich zugeordnet sind und wie die datenschutzrechtliche Stellungnahme einzuordnen ist.

Weitere Informationen

Hinweise der Baden-Württembergischen Aufsichtsbehörde zur Nutzung von Microsoft 365 durch Schulen

Die Landesdatenschutz-Aufsichtsbehörde hat einen intensiven Begutachtungsprozeß zu den Möglichkeiten datenschutzkonformer Anpassungen unternommen. Dieser wurde im April abgeschlossen und kommt im Wesentlichen zu dem Ergebnis, dass eine DSGVO-konforme Nutzung von Office 365 an Schulen nicht umsetzbar ist. Ein Grund besteht darin, dass personenbezogene Daten in die USA übertragen und diese von Microsoft für eigene Zwecke genutzt werden, ohne dass dafür eine geeignete Rechtsgrundlage gegeben ist.

Die Entscheidung ist insofern überraschend, da die Einführung von Office 365 und insbesondere von Microsoft Teams an den Schulen seitens des Baden-Württembergischen Landesministeriums forciert wurde. Das Statement hat somit auch Strahlkraft über das Bundesland und über Schulen hinaus.

Für das kommende Schuljahr 2022/23 sollen die Schulen Alternativen zu Office 365 nutzen bzw. die datenschutzgerechte Nutzung ggü. der Aufsichtsbehörde belegen. Alternativen werden über die „digitale Bildungsplattform“ des Landes angeboten.

Weitere Informationen

Datenschutzgerechter Einsatz von Zoom für Lehrveranstaltungen an Hessischen Hochschulen

Die hessische Aufsichtsbehörde hat sich damit auseinandergesetzt, welche  Maßnahmen geeignet sind, um Zoom datenschutzkonform betreiben zu können – auch über die Pandemie hinaus.

„Datenschutzgerechter Einsatz von Zoom für Lehrveranstaltungen an Hessischen Hochschulen“ weiterlesen