Ein Artikel von Heribert Prantl in der Süddeutschen Zeitung von diesem Wochenende. Ein Artikel, den man Politikern in die Hand drücken und sagen möchte: Kümmert euch! Lasst euch endlich was einfallen zur Zukunft des Rechts! Ein Artikel, den man an der Litfaßsäule aufhängen und einen Kommentar daneben schreiben möchte: Hier ist der Grund, warum nicht Technik alles und Recht nichts ist.
In den letzten Wochen haben Meldungen über veränderte gesetzliche Vorschriften im Bundesdatenschutzgesetz zur Zulässigkeit von Werbung teilweise für Verwirrung gesorgt. Ich habe daher eine Übersicht erstellt, die die wichtigsten Aspekte zusammen fasst.
Die in diversen Blog Beiträgen getätigte Aussage: „Werbung ist ab 31.08.2012 nur noch mit Einwilligung der Kunden möglich“ und „Unternehmen müssen die Herkunft der Adressen kennzeichnen und die Herkunft dokumentieren“ gilt in nur in Bezug auf Papierwerbung und auch nicht in der Absolutheit, mit der es teilweise dargestellt wird. Die Ausnahmen von diesem Grundsatz sind folgende:
- Unternehmen und andere nicht-öffentliche Stellen dürfen bestimmte personenbezogenen Daten (Name, Titel, akademischer Grad, Anschrift, Geburtsjahr, Berufs-, Branchen- oder Geschäftsbezeichnung) weiterhin ohne Einwilligung zur Werbung verwenden, außerdem die Zugehörigkeit zu einer Personengruppe (beispielsweise Kunden, Vereinsmitglieder oder Barzahler). Dies gilt jedoch nur bei der Werbung für eigene Angebote, wenn das Unternehmen die Daten von dem Kunden selbst erhalten oder aus öffentlichen Verzeichnissen entnommen hat sowie für berufsbezogene Werbung an die berufliche Anschrift und für Spendenwerbung.
- Werbung für fremde Angebote ist ebenfalls ohne Einwilligung erlaubt, wenn für den Betroffenen eindeutig erkennbar ist, wo seine Daten gespeichert sind und welche Stelle die Werbung betreibt.
Die Unternehmen, die mit eigenen Kundendaten oder mit gekauften Kundendaten in Papierform werben, sollten vor diesem Hintergrund Folgendes veranlassen, um Querelen aus dem Weg zu gehen:
- Eine interne Kennzeichnung der Daten, ob es sich im eigene Daten handelt, die das Unternehmen von Kunden erhalten oder aus öffentlichen Verzeichnissen entnommen hat;
- Eine interne Kennzeichnung der Kundendaten, die mit fremden Angeboten beworben werden, dahingehend, dass klar ist woher die Daten kommen;
- Überprüfung, ob die Kunden in dem Werbeanschreiben auf ihr Widerspruchsrecht hingewiesen wurden.
Die meisten Unternehmen werben allerdings nach meiner Kenntnis nicht in Papierform, sondern weit überwiegend per Mail und/oder Telefon. Für sie gilt bezüglich der „B2B Werbung“ Folgendes:
- E-Mail: Hierbei müssen die Voraussetzungen des Gesetzes gegen den unlauteren Wettbewerb eingehalten werden, das BDSG spielt in diesem Zusammenhang keine Rolle. Die Voraussetzungen des UWG sind diese:
- Das Unternehmen hat die Mail Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden erhalten,
- die Adresse wird zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet,
- der Kunde hat der Verwendung seiner Adresse zu Werbezwecken nicht widersprochen und
- der Kunde wird bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.
Zu beachten ist in diesem Zusammenhang, dass diese Voraussetzungen kumulativ vorliegen müssen. Das Vorliegen nur einer dieser Voraussetzungen reicht insoweit nicht aus.
- Telefon: Telefonwerbung ist gegenüber Verbrauchern nur mit deren ausdrücklicher Einwilligung gestattet. Gegenüber Unternehmen reicht eine mutmaßliche Einwilligung aus. Mutmaßliche Einwilligung heißt, es muss die begründete Annahme bestehen, dass der Angerufene Interesse an den Angeboten hat. Dies ist unter anderem von der Frage abhängig, ob das Angebot in einem Zusammenhang mit der Tätigkeit des Unternehmens steht. Ein allgemeiner Zusammenhang etwa in dem Sinne wie: „Eine private Krankenversicherung ist für alle Selbständigen interessant“ reicht nicht aus.
Soweit meine Übersicht. Verbesserungsvorschläge nehme ich gerne entgegen!
{loadposition 404-error}
Der Berliner Beauftragte für Datenschutz und Informationsfreiheit hat ein recht umfassendes Merkblatt zum Umgang mit Datenpannen erstellt, die nach § 42 a BDSG den Betroffenen und der Aufsichtsbehörde gemeldet werden müssen. Das Merkblatt ist unter dem folgenden Link veröffentlicht: http://www.datenschutz-berlin.de/content/themen-a-z/informationspflicht-nach-42-a-bdsg
Die Nachrichten über Internet Angriffe reißen in diesem Sommer nicht ab. „Auch 2012 wird wieder das <Jahr der Hacks> blieben", heißt es im Editorial der Zeitschrift „Datenschutz und Datensicherheit“ (Ausgabe 09/2012) – genauso wie es IT-Experten auch schon 2011 und 2010 festgestellt hätten. Neben der Frage welche technischen Sicherheitsmaßnahmen für welche Systeme nötig sind, stellt sich für Unternehmen auch die Frage was getan werden muss, wenn es denn passiert ist und sie Opfer eines Hacker Angriffs geworden sind. (mehr …)
Im Jahr 2011 verursachte jeder kompromittierte Datensatz in deutschen Unternehmen durchschnittliche Kosten von 146 EUR. Das ergab die im März dieses Jahres veröffentlichte Studie des Ponemon Instituts. Bösartige und kriminelle Angriffe seien die Hauptursache für Datenverluste, gab fast die Hälfte der befragten Unternehmen an. Gleich dahinter rangieren Probleme, die aus dem nachlässigen Umgang mit Daten durch Angestellte und Dienstleister resultieren.
Angriff auf Webseiten
Ich lese diese Studien alle Jahre wieder, aber in diesem Jahr wurde zum ersten Mal praktisch anschaulich, wie diese Kosten zustande kommen. Nun kamen bei uns in diesem Sommer glücklicherweise keine Daten abhanden, aber unsere Webseiten wurden angegriffen. Irgendein Idiot schrieb in einzelne Seiten hinein, wir hätten ein beliebtes Potenzmittel zu verkaufen. Die Angriffsfläche hatten wir ihm selber geboten, weil wir die notwendige Installation eines Upgrades für die Software ein paar Tage verzögert hatten. „Der Schaden hielt sich in Grenzen“, schrieb ich voreilig optimistisch, nachdem das Upgrade lief und die Viagra-Spuren auf den Seiten beseitigt waren.
Hartnäckige Folgen
Gut fünf Wochen später haben wir mit den Folgen des Angriffs noch immer zu tun. Gibt man in die Google Suche den Namen unseres Büros ein, erscheinen Links mit der Überschrift: Online Apotheke, Viagra Freie Proben, Generisches Viagra. Klickt man die Links an landet man - auf unseren Webseiten. Wo natürlich keine Potenzmittel verkauft werden. Trotz aller Versuche und Recherchen bekommt der Mann, der die Technik hinter den Webseiten beherrscht, das Problem nicht in den Griff. Voraussichtlich müssen die Seiten ein paar Tage offline genommen und dann ganz neu aufgesetzt werden. Die Kosten der Beschäftigung mit den Folgen des Angriffs belaufen sich schon jetzt auf knapp 2.000 EUR. Die mittelbaren Kosten für die Zeit, die ich mit Nachdenken und Organisieren in dieser Frage verbracht habe, noch mal gar nicht eingerechnet.
Lieber nicht an Sicherheit sparen
Wir sind ein kleines Büro und auf unseren Seiten befinden sich keine wirtschaftlichen Werte in Form von Kundendaten, Passwörtern, Kreditkartendaten und dergleichen. Man kann sich leicht ausrechnen, welcher wirtschaftliche Schaden dort droht, wo das anders ist. Die Investition in technische Sicherheit ist im Grunde das Bezahlen einer Versicherung. Es mag einem unwahrscheinlich erscheinen, aber irgendwann erwischt es jeden.
Der Forderung nach besserem Datenschutz im Krankenhaus wird immer mal wieder mit dem Einwand begegnet, das sei doch letztlich alles halb so schlimm. Wenn man im Krankenhaus sei, habe man doch wahrlich schwerwiegendere Sorgen als Datenschutz. Und überhaupt, Datenschutz hindere am schnellen und effektiven Arbeiten. Das dürfe insbesondere im Krankenhaus nicht sein, denn dort gehe es schließlich um den Schutz der Patienten.
Die folgenden Beispiele sind in den letzten vier Jahren alle so passiert, wie hier geschildert, in Hamburg und um Hamburg herum (mit Ausnahme des letzten). Man möge sich selbst ein Bild machen und entscheiden, ob Datenschutz im Krankenhaus wirklich so überflüssig ist. (mehr …)
Vor kurzem war ich bei einer Fachtagung von Datenschutzbeauftragten aus einem großen Klinikkonzern zu Gast. Auf der Liste der Referenten war ich die einzige Frau, was nicht ungewöhnlich ist. So in etwa stellte ich mir denn auch die Aufteilung unter den Teilnehmern vor. Doch weit gefehlt, knapp zur Hälfte war die Gruppe weiblich. Und offenbar war ich nicht die Einzige, die angenehm überrascht war.
Frauenquote erfüllt
Als ich nach dem Begrüßungskaffee und vor dem ersten Beitrag auf die Toilette ging, traf ich im Vorraum auf zwei Teilnehmerinnen. „Ah!“, sagte die eine. „Das ist ja mal was anderes. Sonst habe ich auf solchen Tagungen die Damentoilette immer für mich alleine!“. Sie hatte einen technischen Beruf. Eine andere, auch sie mit technischem Hintergrund, erzählte in der Mittagspause eine ähnliche Geschichte. Leider waren die Frauen sicht-, aber nicht hörbar. Keine einzige beteiligte sich an den recht lebhaften Diskussionen um Datenschutzfragen im Klinikalltag.
Zeitquote mangelhaft
Noch eine andere Quote spielte auf der Tagung immer wieder eine Rolle: Die Zeitquote. Zeitquote meint die Zeit, die die Datenschutzbeauftragten der Krankenhäuser für die Ausfüllung ihres Mandats im Verhältnis zu ihrer eigentlichen Arbeit zur Verfügung haben. Nach seinen Eindrücken von der Tagung gefragt, antwortete ein Teilnehmer auf der Rückfahrt: „Es war gut, sich mal den ganzen Tag mit Datenschutz beschäftigen zu können, das kann man ja sonst nicht“. Dieser Satz fasste zusammen, was im Verlauf des Tages immer wieder deutlich wurde: Die Datenschutzbeauftragten haben alle zu wenig Zeit, um ihrer Arbeit angemessen nach zu kommen. (Wobei diese Häuser im Vergleich zu anderen, die ich kenne, mit Datenschutzsachverstand recht gut ausgestattet sind). Nun ist das kein Befund, der nur Krankenhäuser betrifft. Die Diagnose Zeitmangel von Datenschutzbeauftragten kommt in vielen anderen Unternehmen, in denen interne, nebenberufliche Datenschutzbeauftragte tätig sind, ebenso vor. Im Unterschied zu vielen anderen Unternehmen werden in einem Krankenhaus allerdings höchst sensible Daten in sehr umfangreichen und technisch anspruchsvollen Verfahren verarbeitet. Die Tätigkeit als Datenschutzbeauftragte in einem Krankenhaus ist nach meiner Einschätzung eine der anspruchsvollsten überhaupt. So mutet es schon bedenklich an, gerade an dieser Stelle am Datenschutz zu sparen.
Beim Stichwort soziale Netzwerke denkt jeder sofort an Facebook. Selbst Google+ fällt dahinter ziemlich weit ab. Kaum jemand in der breiten Öffentlichkeit weiß, dass es außer Facebook und Google+ noch einige andere soziale Netzwerke gibt. Sie unterscheiden sich von den großen Monopolisten nicht nur durch ihren mangelnden Bekanntheitsgrad, sondern auch durch ihre dezentrale Organisation. Dezentral heißt in diesem Fall, dass die Daten nicht auf den Servern eines einzigen Unternehmens gespeichert werden, sondern auf nutzereigenen oder solchen, die für den Nutzer transparent sind. Anders als bei Facebook und Google+ haben die Nutzer dieser Plattformen eine viel weiter gehende Möglichkeit der Kontrolle über ihre Daten.
Dezentrale Netzwerke
Beispiele für solche dezentral organisierten Netzwerke sind Diaspora, Friendica, buddycloud, Lorea, identi.ca oder SecuShare. Ihr dezentraler Ansatz ist ihr großer Vorteil, ihre mangelnde Bekanntheit ihr großer Nachteil. Wer meldet sich schon bei einem kleinen, unbekannten Netzwerk an, wenn alle Freunde und Bekannte bei Facebooks sind?
Schaffung eines einheitlichen Standards
Der „Verein zur Förderung des öffentlichen bewegten und unbewegten Datenverkehrs“ („FoeBud e.V“), eine in Bielefeld ansässige Organisation für digitale Bürgerrechte, hat es sich nun auf die Fahnen geschrieben, diesen Nachteil auszugleichen. Mit der Entwickler-Plattform Social Swarm sollen die einzelnen dezentralen und datenschutzfreundlichen Netzwerke an einem gemeinsamen Standard arbeiten, der eine Kommunikation untereinander möglich macht. Das – langfristige – Ziel ist es, die Kommunikation über soziale Netzwerke der E-Mail Kommunikation anzugleichen. Für uns alle ist es normal, dass jemand, der bei web.de einen E-Mail-Zugang eingerichtet hat, nicht nur mit anderen web.de Kunden, sondern mit allen Nutzern, die ihre E-Mail bei anderen Anbietern unterhalten, Nachrichten austauschen kann.
Kommunikation über Plattformen hinweg
Was bei der E-Mail normal ist, ist bei den großen Netzwerken nicht möglich. Wer auf Facebook ist, kann nur mit anderen Facebook Mitgliedern kommunizieren. Aber auch bei den alternativen Netzwerken ist die Plattform übergreifende Kommunikation nur eingeschränkt möglich. Wenn es also möglich würde, seine Freunde aus dem Netzwerk zu behalten und sich zugleich mit den Mitgliedern anderer Netzwerkanbieter austauschen zu können, würde das die dezentralen Netzwerke deutlich attraktiver machen. Ein Nebeneffekt wäre, dass die Nutzer durch die selbstverwaltete Struktur mehr Macht über ihre Daten hätten - "Nobody can ever own it", wie die Macher von Friendica so schön schreiben.
Es ist zu wünschen, dass die Initiative Erfolg haben wird.
Ich werde in letzter Zeit immer wieder gefragt, welche vertraulichen Informationen man denn mit gutem Datenschutz-Gewissen als E-Mail verschicken dürfe. Daher an dieser Stelle eine Übersicht.
Wie eine Postkarte
Eine E-Mail, die nicht verschlüsselt ist, hat die Vertraulichkeit einer mit Bleistift geschriebenen Postkarte. Sie kann auf dem Weg gelesen, verändert oder vernichtet werden. Man kann noch nicht einmal sicher sein, ob sie von dem Absender stammt, von dem sie vorgibt zu stammen. Dieser Mangel hat seine Ursache in der Geschichte der E-Mail. Ursprünglich wurde sie in universitären Forschungsnetzen für die Kommunikation einer Handvoll Wissenschaftler genutzt. Diese kannten sich alle untereinander. An den Einsatz der E-Mail als Medium für einfach alles dachte seinerzeit noch niemand und die einer Mail zugrunde liegende Technologie erschwert den Einsatz von Sicherheitsmaßnahmen.
Verschlüsseln, signieren
Um eine E-Mail fälschungssicher und vertraulich zu machen, muss man sie verschlüsseln. Eine elektronische Signatur kann helfen, wenigstens den Absender zu verifizieren. Dazu benötigt man spezielle Software, die auch frei erhältlich ist, z.B. pgp. Eine Übersicht über Verfahren, die eingesetzt werden können, sind auf den Seiten des Unabhängigen Landeszentrums für den Datenschutz Schleswig-Holstein aufgeführt.
Nur für Könner und Gleichgesinnte
Der Nachteil dabei ist, dass selbst versierte Nutzer mit der Installation und dem Betrieb von Verschlüsselungssoftware nur schwer bis gar nicht klar kommen – entgegen allen anderslautenden Behauptungen von Datenschützern. Außerdem: Der beste Einsatz von Verschlüsselung nützt nichts, wenn nicht auch das Gegenüber, der Empfänger dieselbe Methode im Einsatz hat. Das ist in aller Regel nicht der Fall, gerade auch im Austausch mit Behörden.
Im Alltag
Im Alltag gibt es dann nur zwei Möglichkeiten, vertrauliche Inhalte per E-Mail halbwegs sicher zu übermitteln. Der Absender steckt die Datei mit den zu übermittelnden Inhalten in eine gepackte Datei, z.B. eine zip oder eine rar Datei. Die entsprechenden Programme sind teilweise auch kostenlos erhältlich. Die gepackte Datei wird mit einem Passwort versehen, das Absender und Empfänger auf anderem Weg als per Mail (Telefon, sms) austauschen. Diese mit Passwort geschützte Datei wird dann der E-Mail als Anhang beigefügt und kann vom Empfänger geöffnet werden.
Man kann auch Word oder pdf Dateien mit Passwörtern versehen. Der Nachteil dabei ist, dass man das Kennwort dann jedes Mal wieder eingeben muss, wenn man die (gespeicherte) Datei im Nachhinein öffnen will.
De-Mail
Diese Methode ist keinesfalls so sicher wie eine Verschlüsselung, aber wenigstens erschwert sie den sofortigen Zugriff auf die Inhalte. Abhilfe bei der Schwierigkeit der Versendung vertraulicher Inhalte per E-Mail könnte in Kürze die sogenannte De-Mail bringen. Wer mehr darüber wissen will, kann schon mal hier bei Wikipedia nachlesen. Ich schreibe bei Gelegenheit dazu noch mal ausführlicher.
Ein Beitrag von Extra 3 (NDR) zum Thema Facebook. Schon etwas älter, immer noch und immer wieder sehr komisch.
http://www.youtube.com/watch?v=Kjg6wHIvnC8
Hinweise für Eltern
Die Nutzung von Sozialen Netzwerken ist aus der Lebenswirklichkeit von Kindern und Jugendlichen ab etwa 13 Jahren kaum noch weg zu denken. Auf Facebook finden sich oft schon Profile von 10 bis 11-Jährigen. Auch wenn Sie zu diesen Medien selber keinen Zugang haben und das möglicherweise alles überflüssig und unkultiviert finden – im Interesse des Schutzes Ihrer Kinder sollten Sie sich mit den wesentlichen Grundlagen der Funktionsweise Sozialer Netzwerke vertraut machen und mit ihren Kindern das Gespräch darüber suchen.
Keine Vorstellung von den Folgen
Selbst viele Erwachsene haben keine Vorstellung von den Folgen, die man mit unbedachten Äußerungen oder vermeintlichen Späßen in Gestalt von Videos oder Fotos im Internet anrichten kann. Kinder haben die erst Recht nicht. Auch wenn Kinder sich den Umgang mit dem Internet in weiten Teilen selber aneignen können (und sollten), muss man ihnen Verhaltensregeln und Vorsichtsmaßnahmen beibringen. Das können auch schon Viertklässler verstehen, vorausgesetzt man verpackt die Inhalte in eine kindergerechte Sprache und Darstellung. Wenn weder Eltern noch Kinder sich auskennen, bleibt der Weg des gemeinsamen Lernens.
Kinderfotos sollten Sie nicht veröffentlichen
Sofern Sie selber ein Facebook Profil unterhalten: Veröffentlichen Sie keine Fotos und Äußerungen von Ihren Kindern, und seien sie noch so süß und hübsch. Veröffentlichen Sie sie auch sonst nirgends. Sie verlieren die Kontrolle darüber, was mit den Fotos geschieht und wenn Sie Pech haben, finden Sie die Gesichter Ihrer Kinder auf nackte Körper montiert in einem Porno Portal wieder.
Digitale Abstinenz?
Das alles sagen Sie, ist ein Grund, Soziale Netzwerke insgesamt zu meiden? Nein. Soziale Netzwerke sind bei aller Kritik an der Ausbeutung unserer Daten auch kommunikative Instrumente, deren sparsame und überlegte Nutzung durchaus Vorteile hat und Spaß machen kann. Außerdem: Die Erfahrung der letzten zwei Jahre hat gezeigt, dass Facebook auf europäischen Druck bezüglich der Schaffung von angemessenen Datenschutzstandards reagiert.
Verbesserter Datenschutz
Nicht so, wie wir uns das gewünscht hätten, aber es ist die Tendenz erkennbar, dass es sich lohnt gegenüber den Datenkraken seine Rechte einzufordern. Dieser Prozess wird weitergehen und uns in absehbarer Zeit bessere Datenschutzregeln und bessere Durchsetzungsmöglichkeiten einbringen. Wie nach jeder kulturellen Revolution müssen die gesellschaftlichen Spielregeln auch hinsichtlich Sozialer Netzwerke erst verbindlich definiert werden. Wer sich die hier skizzierten Hintergründe bewusst macht und ein paar Regeln beachtet, kann in der Zwischenzeit Facebook und Co. sinnvoll und ohne Schaden nutzen.