Quelle: Landesdatenschutzbeaufragter von Nordrhein-Westphalen, Pressemitteilung vom 12.9.2011 - https://www.ldi.nrw.de/mainmenu_Service/submenu_Pressemitteilungsarchiv/Inhalt/PM_Datenschutz/Inhalt/2011/Easycash/Easycash.php

Mit einem Bußgeld von 60.000 Euro gegen die Easycash GmbH sanktioniert der NRW-Datenschutzbeauftragte Ulrich Lepper die unzulässige Weitergabe von Kontodaten und Daten über Ort, Zeitpunkt und Höhe von Zahlungsvorgängen. Die Daten wurden einem Schwesterunternehmen der Easycash GmbH übermittelt, das Kunden- und Bonusprogramme anbietet. Sie wurden dort statistisch ausgewertet. Die Easycash GmbH ist in Deutschland ein führendes Dienstleistungsunternehmen, das Lastschriftverfahren im Rahmen der EC-Kartenzahlung für Einzelhändler abwickelt. Das Unternehmen verfügt daher über eine umfangreiche Datenbasis über Zahlungsvorgänge von Kundinnen und Kunden, die mit EC-Karten zahlen. Im ermittelten Fall wurden rund 400.000 Zahlungsverkehrsdaten zu Kontoverbindungen weitergegeben.

„Wer Zahlungsvorgänge quasi als Treuhänder für Einzelhandelsunternehmen abwickelt, muss besonders sorgfältig mit diesen Daten umgehen. Er darf so sensible Daten über Zahlungsverhalten und Kontoverbindungen, die durchaus auch Profilbildungen erlauben würden, nicht für andere Zwecke an Dritte übermitteln. Deswegen musste ich hier einschreiten“, kommentiert der NRW-Datenschutzbeauftragte Lepper das Verfahren. Er zeigt sich allerdings auch erfreut, dass das Unternehmen in Datenschutzfragen kooperativ sei und auch das Bußgeld akzeptiert und bereits gezahlt habe. „Wir stellen derzeit die Datenverarbeitung rund um die Zahlungsabwicklung durch Easycash auf den Prüfstand“, erläutert Lepper, „denn in diesem sensiblen Bereich müssen die Kundinnen und Kunden Sicherheit haben, dass mit ihren Zahlungsdaten vertrauenswürdig umgegangen wird.“ Bisher habe Easycash die von ihm geforderten Änderungen umgesetzt. Die Weitergabe von Kontoverbindungsdaten an Dritte wurde umgehend eingestellt.

 
Read More

„Datenschutz eignet sich sehr gut dazu, mal ordentlich auf zu räumen“, sage ich bisweilen, seit ich in einem meiner ersten Mandate als Datenschutzbeauftragte in einer Firma tausende ausgedruckte Einzelverbindungsnachweise fand, die in einem umständlichen Verfahren unter Beteiligung mehrerer Abteilungen archiviert wurden. (Es war die Zeit, als Telefonflatrates noch nicht so verbreitet waren wie heute – inzwischen macht das praktisch niemand mehr). Die Antwort auf meine Frage, was man damit eigentlich wolle, war Schulterzucken. Eine Woche später hieß es, man habe noch mal herum gefragt und festgestellt, dass dieses Archiv völlig sinnlos sei und jetzt vernichtet werde.

Sinnlose Archive

Aus Sicht des Datenschutzes ist es praktisch, dass Papier Platz braucht. Bei papiernen Archiven denkt deshalb schon eher mal jemand darüber nach, das Archiv zu gegebener Zeit zu löschen. Doch Papier ist eine aussterbende Materie und digitale Archive können angesichts von billigem Speicherplatz in den meisten Fällen in die Unendlichkeit ausgedehnt werden. Gerade deshalb ist auch das Aufräumen digitaler Archive empfehlenswert. Datensammlungen wecken Missbrauchsbegehrlichkeiten. Je größer die Sammlung und je sensibler die Daten, desto eher.

Ist das wirklich nötig?

Noch besser ist es daher, die Entstehung von Datensammlungen von Anfang an zu begrenzen. Datensparsamkeit verringert das Missbrauchsrisiko und die Notwendigkeit, sich über das Löschen den Kopf zu zerbrechen. Das gilt für Firmen – für die die Datensparsamkeit sogar eine gesetzliche Verpflichtung ist – aber auch für uns alle als Privatpersonen. Müssen wirklich mit dem Argument des Service für den Kunden alle Kundendaten mindestens fünf Jahre lang gespeichert werden, selbst wenn man von dem Kunden schon zwei Jahre lang nichts mehr gehört hat?

Es wäre einen Versuch wert

Auch die ganze Facebook Diskussion wäre möglicherweise etwas entschärft, würden wir nicht jede halbe Stunde unseres Lebens als Statusmeldung posten. Facebook hätte dann deutlich weniger persönliche Daten, die es verwerten könnte. Damit wäre Facebook selbstverständlich nicht aus der Verantwortung entlassen, uns klar und deutlich zu sagen, was es mit unseren Daten macht. Aber der wirtschaftliche Wert von Facebook beruht auf den unendlich vielen persönlichen Daten, die wir freiwillig dort abliefern. Täten wir dies in eingeschränktem Umfang, wäre – ja, was wäre dann? Es wäre einen Versuch wert. Die Facebook Nutzer treten ein Jahr lang in den Bummelstreik. Wir veröffentlichen nur jede fünfte Statusmeldung, die wir eigentlich posten möchten. Nur jedes zehnte Foto wird auch gezeigt. Unseren Aufenthaltsort und persönliche Vorlieben verraten wir gar nicht mehr. Hätte ein datensparsamer Bummelstreik positive Folgen für die Bereitschaft von Facebook unsere Daten - und damit letztlich uns! - besser zu achten?
Read More

Unternehmen, die auf ihren Webseiten den Facebook „Gefällt-mir“ Knopf eingebaut haben, müssen in ihrer Datenschutzerklärung auf die Tatsache der Datenübermittlung im Zusammenhang mit dem Knopf hinweisen. Der genaue Wortlaut des „Facebook-Passus“ als Teil einer Datenschutzerklärung auf Webseiten ist abhängig von der Art und Weise der technischen Umsetzung des Einbindens.

Unterschiedliche Folgen der Einbindung

Zur Erinnerung: Bindet man den Facebook Knopf mittels eines Codes ein, werden schon personenbezogene Daten an Facebook übertragen, wenn ein Nutzer sich auf einer Seite bewegt, die über einen „Gefällt-mir“ Knopf verfügt – egal ob dieser angeklickt wird oder nicht. Auch wenn dieses Verfahren nicht mit deutschem Datenschutzrecht vereinbar ist, sollte auf den betreffenden Webseiten darauf hingewiesen werden, damit die Nutzer wenigstens die Option haben, die Seiten wieder zu verlassen. Wählt man die derzeit als datenschutzkonform anzusehende Variante der Einbindung als Grafik, werden erst dann personenbezogene Daten an Facebook übertragen wenn sich Nutzer bewusst entscheiden, den Knopf anzuklicken. Auch dieses zweistufige Verfahren muss dann in der Datenschutzerklärung dargestellt werden.

 Nicht das einzige Plug-In, das unkontrolliert Daten übermittelt

Der Facebook „Gefällt-mir“ Knopf ist nicht das Einzige Plug-In, das sich auf Webseiten findet. Andere sind beispielsweise +1 für Google+ und Twitter. Das Prinzip dahinter ist jedoch immer dasselbe. Daher sollten auch alle anderen auf der Webseite möglicherweise vorhandenen Plug-Ins nach dem oben erwähnten Prinzip als Grafik und nicht als Code eingebunden werden.

Das sollte überprüft werden

Vor einer Anpassung oder Neuformulierung der Datenschutzerklärung auf Webseiten sollten deshalb zunächst folgende Punkte überprüft werden, da diese die Weichenstellung für den „Soziale Netzwerke“ Teil der Datenschutzerklärung bedeuten:

- Bereits auf Webseiten eingebundene „Gefällt-mir“ Knöpfe sollten dahingehend überprüft werden, auf welche Weise sie eingebunden sind – mittels des von Facebook (oder einem anderen Sozialen Netzwerk) zur Verfügung gestelltem Code oder mittels einer Grafik.

- Für den Fall, dass eine Einbindung mittels eines Codes erfolgt ist, sollte diese Einbindung entfernt und die andere, datenschutzkonforme Lösung mittels der Einbindung als Grafik etabliert werden.

- Es ist zu überprüfen, ob die Einbindung des Knopfes bereits in der Datenschutzerklärung thematisiert ist.

- Falls ja, sollte kontrolliert werden ob die datenschutzkonforme Einbindung darin beschrieben ist und der Text ggfls. geändert werden.

- Falls die Datenschutzerklärung keinen Hinweis auf Datenübermittlungen im Zusammenhang mit Plug-Ins von Sozialen Netzwerken enthält, muss ein entsprechender Passus aufgenommen werden.

Ein Formulierungsvorschlag für den genauen Wortlaut des „Facebook-Passus“ einer Datenschutzerklärung im Internet folgt im nächsten Beitrag.
Read More

Die Kontroverse Datenschutz Deutschland gegen Facebook bleibt spannend. Der Netzwerk Riese zeigt Anzeichen von Nervosität, nachdem das Interesse an dem datenschutzfreundlichen Einbau des Facebook „Gefällt-mir“ Knopfes steigt und steigt.

Verstoß gegen Nutzungsbedingungen?

Oder wie sonst ist es zu erklären, dass Facebook nunmehr gegenüber heise.de geltend macht, die Art und Weise, wie Heise den „Gefällt-mir“ Knopf auf heise.de eingebaut hat – nämlich in der datenschutzfreundlichen Variante - verstoße gegen die Facebook Nutzungsbedingungen („Platform Policies“)? Auch der Radiosender SWR3, der in einem Heise.de Artikel wegen des Einsatzes einer ähnlich umgesetzten, datenschutzfreundlichen Lösung erwähnt wurde, wurde von Facebook mit derselben Argumentation aufgefordert, die Lösung zu entfernen.

In den Policies heißt es unter Nr. 8:

„You must not use or make derivative use of Facebook icons, or use terms for Facebook features and functionality, if such use could confuse users into thinking that the reference is to Facebook features or functionality”.

Sinngemäß übersetzt bedeutet das, man darf Facebook-Icons nur für Facebook-Funktionen verwenden und nicht für andere, die wie eine Facebook-Funktion aussehen, aber keine sind.

Ein konstruiertes Problem

Die datenschutzfreundliche „2-Schritt-Lösung“ des Einbaus des „Gefällt-mir“ Knopfes tut aber genau das: Eine Facebook-Funktion nutzen. Einziger Unterschied zur herkömmlichen, von Facebook diktierten Vorgehensweise ist, dass der Knopf vor einer expliziten Aktivierung durch die Nutzer keine Daten an Facebook überträgt. Dementsprechend ruderte Facebook umgehend wieder zurück. Heise meldete heute Mittag, eine Facebook-Sprecherin habe erklärt, der „2-klick-Button“ sei „nicht ideal, aber kein Problem“. Nur ein Like-Button der „grafisch so tue als ob er einer sei“, sei nicht ok:

http://www.heise.de/newsticker/meldung/Facebook-beschwert-sich-ueber-datenschutzfreundlichen-2-Klick-Button-2-Update-1335658.html

Es geht doch

Dass dieser kleine Versuch, ein kleines bisschen Datenschutz bei der Nutzung von Facebook zu etablieren, Facebook umgehend zu solchen Reaktionen bringt kann als ein Punktsieg für die Datenschützer verbucht werden. (Wobei es genaugenommen den Versuch darstellt, ein wenig Datenschutz bei der Nutzung von Webseiten zu ermöglichen. Die unkontrollierte Datenübertragung bei der Nutzung von Webseiten ist ja mitnichten nur ein Problem des Facebook "Gefällt-mir" Knopfes). Diese Tatsache sollten wir nutzen und den Druck erhöhen. Der massenhafte Einbau datenschutzfreundlicher „Gefällt-mir“ Knöpfe auf Webseiten könnte ein Anfang sein. Vorschläge, wie es weitergehen könnte, nehme ich gerne entgegen.
Read More

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit:

 Zwei Jahre Informationspflichten bei Datenpannen

 Quelle: Virtuelles Datenschutzbüro, http://www.datenschutz.de/news/detail/?nid=5069

Zum zweijährigen Bestehen der Informationspflicht bei Datenschutzpannen zeigt sich der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Peter Schaar zufrieden mit der neuen Regelung, fordert aber deren Erstreckung auf staatliche Stellen:

Die Schaffung einer Informationspflicht bei Datenschutzpannen war ein richtiger Schritt. Die Publizitätspflicht motiviert die verantwortlichen Stellen, mehr für die Datensicherheit und den Datenschutz zu tun, und versetzt die Betroffenen in die Lage, negative Konsequenzen rechtzeitig abzuwenden und Sicherheitsmaßnahmen zu ergreifen. Leider ist der Gesetzgeber auf halber Strecke stehen geblieben, indem er staatliche Stellen von der allgemeinen Informationspflicht bei Datenschutzpannen ausgenommen hat. Es ist nicht nachvollziehbar, warum das Gesetz bei Datenschutzverstößen öffentlicher und privater Stellen unterschiedliche Maßstäbe anlegt. Hier besteht weiterer Nachbesserungsbedarf.

Nach einer bundesweiten Erhebung wurden den Datenschutzaufsichtsbehörden des Bundes und der Länder in den ersten 18 Monaten nach Inkrafttreten der Informationspflichten fast 90 Fälle gemeldet. In der überwiegenden Zahl handelte es sich um den Diebstahl oder Verlust von mobilen Datenträgern, wie Notebooks und USB-Sticks, oder um Fehlversendungen von E-Mails und Briefen. Daneben gab es Fälle des Ausspähens von Bankdaten (Skimming) und Datenverluste durch Hacking. Betroffen waren in aller Regel Bankverbindungs- und Kreditkartendaten, zum Teil aber auch besonders sensible Daten, wie Gesundheitsdaten.

Dazu Schaar: Die Anzahl der bundesweit gemeldeten Fälle belegt, dass die Informationspflicht bei Datenschutzpannen von den verantwortlichen Stellen ernst genommen wird. Dennoch gehe ich von einer hohen Dunkelziffer nicht gemeldeter Vorfälle aus. Häufig ist auch die Kommunikation der verantwortlichen Stellen gegenüber der Öffentlichkeit und den Datenschutzbehörden noch stark verbesserungsbedürftig.

Seit dem 1. September 2009 müssen nicht-öffentliche Stellen und ihnen gleich gestellte öffentlich-rechtliche Wettbewerbsunternehmen gravierende Datenschutzpannen der zuständigen Aufsichtsbehörde anzeigen sowie die Betroffenen informieren und ihnen Handlungsempfehlungen unterbreiten. § 42a des Bundesdatenschutzgesetzes sieht eine solche Informationspflicht vor, wenn sensible personenbezogene Daten unrechtmäßig in die Hände Dritter gelangt sind und schwerwiegende Beeinträchtigungen für die Betroffenen drohen. Bei einem Verstoß gegen § 42a des Bundesdatenschutzgesetzes droht ein Bußgeld von bis zu dreihunderttausend Euro oder sogar mehr.

 
Read More

Vor knapp 10 Tagen habe ich an dieser Stelle über die Initiative des ULD geschimpft, das mittels Presseerklärung Unternehmen Bußgeld und Untersagungsverfahren androhte, die den Facebook „Gefällt-mir“ Knopf auf ihren Webseiten einbinden und/oder auf Facebook Unternehmensseiten betreiben. Mittlerweile haben sich die Aufsichtsbehörden anderer Bundesländer der Sichtweise des ULD angeschlossen.

 Viel Stoff für Diskussion

Seither ist viel und kontrovers diskutiert worden und ein Gutes hatte die Aktion des ULD dann doch: Viele Unternehmen machen sich offenbar zum ersten Mal Gedanken, über Datenschutzfragen im Zusammenhang mit Facebook. Begehrt sind Informationen, wie der Facebook „Gefällt-mir Knopf“ so auf Webseiten eingebaut werden kann, dass eben keine unkontrollierte Datenübermittlung aller Seitenbesucher an Facebook stattfindet. Eine Anleitung dazu findet sich unter anderem hier:

http://netzpolitik.org/2011/facebook-like-button-datenschutzfreundlich-lokal-einbauen/

oder hier

http://www.heise.de/ct/artikel/2-Klicks-fuer-mehr-Datenschutz-1333879.html

Es war im Grunde schon lange klar, dass die "Gefällt-mir" Knöpfe ein Datenschutzproblem haben, so erschien bespielsweise auf heise online schon im April dieses Jahres ein ausführlicher Artikel zum Thema:

http://www.heise.de/security/artikel/Das-verraet-Facebooks-Like-Button-1230906.html

Doch erst jetzt werden auch die Alternativen - der Einbau ohne kontrolliere Datenübertragung - offenbar unter dem Druck der Bußgeld Drohung des ULD einer breiteren Öffentlichkeit bekannt. Die Unternehmen, die die Datenschützen wegen ihrer Initiative kritisieren, müssen sich mindestens die Frage gefallen lassen, warum sie vollkommen unkritisch und ohne weitere Überlegung ihre Seiten mit den Plug-Ins versehen haben. Wer es wissen wollte, hätte es wissen können. So gesehen, kann das Vorgehen des ULD als ein Gewinn für den Datenschutz angesehen werden.

Nicht stehen bleiben

Dennoch – ich meine, auf diesem Stand kann die Diskussion nicht stehen bleiben. Die Antwort auf die Datenschutzignoranz der Sozialen Netzwerke kann nicht nur sein, sich mit dem datenschutzfreundlichen Einbau des „Gefällt-mir“ Knopfes und einem entsprechenden Passus in der Datenschutzerklärung auf der jeweiligen Webseite zu befassen. Die Auseinandersetzung ULD versus Unternehmen hat so deutlich wie kaum etwas zuvor gezeigt, dass die alten Instrumente der staatlichen Datenschutzaufsicht ausgedient haben. Was an ihre Stelle treten kann, ist allerdings offen.
Read More

Gut gebrüllt, Löwe! war mein erster Gedanke beim Lesen der Pressemitteilung des ULD am vergangenen Freitag, mit der das ULD verkündete, der Einsatz der Facebook „Gefällt-mir“-Knöpfe sei genauso ein Verstoß gegen Datenschutzrecht wie Unternehmensseiten auf Facebook. Man verlange die umgehende Abschaltung bis Ende des Monats und werde ansonsten auch Bußgeld verhängen.

Datenschutz im Dilemma

Der zweite Gedanke war Ärger. Ärger, weil die Geschichte ULD versus Facebook das ganze Dilemma des Datenschutzes zeigt, der gegenüber der technischen und gesellschaftlichen Entwicklung auch dann verstaubt, ideenlos und defensiv wirkt, wenn er inhaltlich im Recht ist. Natürlich hat das ULD mit seiner Analyse recht. Natürlich ist Facebook ein einziger Datenschutz-Albtraum und natürlich können Datenschutzverstöße mit Bußgeld geahndet werden, wovon zweifellos auch Gebrauch gemacht werden sollte.

So wird Datenschutz nicht sexy

Datenschutz muss „sexy“ werden, hat mal ein Landesdatenschutzbeauftragter gefordert. So wird Datenschutz aber ganz sicher nicht sexy, indem man mit den Waffen von gestern einen Kampf austragen will, der schon so gut wie verloren ist. Hahaha! schallte es mir aus allen Richtungen entgegen. Das weiß doch jeder, dass Facebook alle Daten sammelt! Wer das nicht will, muss eben draußen bleiben! Bußgeld – was maßt sich das ULD eigentlich an? Und überhaupt! Facebook können sie nicht kriegen, da nehmen sie die Unternehmen.

Konstruktive Bahnen

In der Tat mutet der Versuch, Unternehmen mittels Bußgelddrohung zum Rückzug aus Facebook zu bewegen, untauglich bis absurd an.  Das ULD sollte seinen Ärger über die Verhältnisse besser in konstruktive Bahnen lenken und Vorschläge für modernen Datenschutz in einer vernetzen Welt liefern – so, wie es das beispielsweise mit dem hauseigenen Entwurf für ein Gesetz „Datenschutz im Internet“ schon einmal getan hat. Wie muss Datenschutz sein, der in einer technisch rasanten Welt nicht immer nur „Haltet den Dieb!“ ruft, wenn der Dieb schon uneinholbar über alle Berge ist? Das wäre der bessere Umgang mit der Problematik gewesen und Ideen dazu gibt es genug.

Weltfremde Spinner

Auf diese Weise aber stehen Datenschützer in der öffentlichen Meinung nun wieder in der Ecke der Nörgler, Spaßverderber und - schlimmer noch - der weltfremden Spinner. Danke, ULD! Das wäre nicht nötig gewesen.
Read More

Quelle: Virtuelles Datenschutzbüro, http://www.datenschutz.de/news/detail/?nid=5057

PRESSEMITTEILUNG 19.08.2011

Das Unabhängige Landeszentrum für Datenschutz (ULD) fordert alle Stellen in Schleswig-Holstein auf, ihre Fanpages bei Facebook und Social-Plugins wie den „Gefällt mir“-Button auf ihren Webseiten zu entfernen. Nach eingehender technischer und rechtlicher Analyse kommt das ULD zu dem Ergebnis, dass derartige Angebote gegen das Telemediengesetz (TMG) und gegen das Bundesdatenschutzgesetz (BDSG) bzw. das Landesdatenschutzgesetz Schleswig-Holstein (LDSG SH) verstoßen.

Bei Nutzung der Facebook-Dienste erfolgt eine Datenweitergabe von Verkehrs- und Inhaltsdaten in die USA und eine qualifizierte Rückmeldung an den Betreiber hinsichtlich der Nutzung des Angebots, die sog. Reichweitenanalyse. Wer einmal bei Facebook war oder ein Plugin genutzt hat, der muss davon ausgehen, dass er von dem Unternehmen zwei Jahre lang getrackt wird. Bei Facebook wird eine umfassende persönliche, bei Mitgliedern sogar eine personifizierte Profilbildung vorgenommen. Diese Abläufe verstoßen gegen deutsches und europäisches Datenschutzrecht. Es erfolgt keine hinreichende Information der betroffenen Nutzerinnen und Nutzer; diesen wird kein Wahlrecht zugestanden; die Formulierungen in den Nutzungsbedingungen und Datenschutzrichtlinien von Facebook genügen nicht annähernd den rechtlichen Anforderungen an gesetzeskonforme Hinweise, an wirksame Datenschutzeinwilligungen und an allgemeine Geschäftsbedingungen.

Das ULD erwartet von allen Webseitenbetreibern in Schleswig-Holstein, dass sie umgehend die Datenweitergaben über ihre Nutzenden an Facebook in den USA einstellen, indem sie die entsprechenden Dienste deaktivieren. Erfolgt dies nicht bis Ende September 2011, wird das ULD weitergehende Maßnahmen ergreifen. Nach Durchlaufen des rechtlich vorgesehenen Anhörungs- und Verwaltungsverfahrens können dies bei öffentlichen Stellen Beanstandungen nach § 42 LDSG SH, bei privaten Stellen Untersagungsverfügungen nach § 38 Abs. 5 BDSG sowie Bußgeldverfahren sein. Die maximale Bußgeldhöhe liegt bei Verstößen gegen das TMG bei 50.000 Euro.

Thilo Weichert, Leiter des ULD: „Das ULD weist schon seit längerem informell darauf hin, dass viele Facebook-Angebote rechtswidrig sind. Dies hat leider bisher wenige Betreiber daran gehindert, die Angebote in Anspruch zu nehmen, zumal diese einfach zu installieren und unentgeltlich zu nutzen sind. Hierzu gehört insbesondere die für Werbezwecke aussagekräftige Reichweitenanalyse. Gezahlt wird mit den´Daten der Nutzenden. Mit Hilfe dieser Daten hat Facebook inzwischen weltweit einen geschätzten Marktwert von über 50 Mrd. Dollar erreicht. Allen Stellen muss klar sein, dass sie ihre datenschutzrechtliche Verantwortlichkeit nicht auf das Unternehmen Facebook, das in Deutschland keinen Sitz hat, und auch nicht auf die Nutzerinnen und Nutzer abschieben können.

Unser aktueller Appell ist nur der Anfang einer weitergehenden datenschutzrechtlichen Analyse von Facebook-Anwendungen. Das ULD wird diese in Kooperation mit den anderen deutschen Datenschutzaufsichtsbehörden vornehmen. Eine umfassende Analyse ist einer kleinen Datenschutzbehörde wie dem ULD mit einem Wurf nicht möglich; zudem ändert Facebook kontinuierlich seine technischen Abläufe und Nutzungsbedingungen. Niemand sollte behaupten, es stünden keine Alternativen zur Verfügung; es gibt europäische und andere Social Media, die den Schutz der Persönlichkeitsrechte der Internet-Nutzenden ernster nehmen. Dass es auch dort problematische Anwendungen gibt, darf kein Grund für Untätigkeit hinsichtlich Facebook sein, sondern muss uns Datenschutzaufsichtsbehörden dazu veranlassen, auch diesen Verstößen nachzugehen. Die Nutzenden können ihren Beitrag dazu leisten, indem sie versuchen datenschutzwidrige Angebote zu vermeiden.“

Den Nutzerinnen und Nutzern im Internet kann das ULD nur den Ratschlag geben, ihre Finger vom Anklicken von Social-Plugins wie dem „Gefällt mir“-Button zu lassen und keinen Facebook-Account anzulegen, wenn sie eine umfassende Profilbildung durch das Unternehmen vermeiden wollen.Die Profile sind personenbezogen; Facebook fordert von seinen Mitgliedern, dass diese sich mit ihrem Klarnamen anmelden.

Das ULD hat seine datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook im Internet veröffentlich unter

https://www.datenschutzzentrum.de/facebook/

Diese Analyse soll künftig fortgeschrieben, d. h. erweitert und präzisiert werden. Anregungen hierzu nimmt das ULD gerne entgegen per E-Mail über

Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! document.getElementById('cloak564b2e0ac3b95319507c53e4a5b4cffb').innerHTML = ''; var prefix = 'ma' + 'il' + 'to'; var path = 'hr' + 'ef' + '='; var addy564b2e0ac3b95319507c53e4a5b4cffb = 'facebook' + '@'; addy564b2e0ac3b95319507c53e4a5b4cffb = addy564b2e0ac3b95319507c53e4a5b4cffb + 'datenschutzzentrum' + '.' + 'de'; var addy_text564b2e0ac3b95319507c53e4a5b4cffb = 'facebook' + '@' + 'datenschutzzentrum' + '.' + 'de';document.getElementById('cloak564b2e0ac3b95319507c53e4a5b4cffb').innerHTML += ''+addy_text564b2e0ac3b95319507c53e4a5b4cffb+'';

Bei Nachfragen oder im Fall von allgemeinen sonstigen Fragen wenden Sie sich bitte an: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Holstenstr. 98, 24103 Kiel

Tel: 0431 988-1200, Fax: -1223

E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! document.getElementById('cloakc1a032d97d7a0483199c20f662f6ecca').innerHTML = ''; var prefix = 'ma' + 'il' + 'to'; var path = 'hr' + 'ef' + '='; var addyc1a032d97d7a0483199c20f662f6ecca = 'mail' + '@'; addyc1a032d97d7a0483199c20f662f6ecca = addyc1a032d97d7a0483199c20f662f6ecca + 'datenschutzzentrum' + '.' + 'de'; var addy_textc1a032d97d7a0483199c20f662f6ecca = 'mail' + '@' + 'datenschutzzentrum' + '.' + 'de';document.getElementById('cloakc1a032d97d7a0483199c20f662f6ecca').innerHTML += ''+addy_textc1a032d97d7a0483199c20f662f6ecca+'';
Read More

Eigentlich hat der Sommer dieses Jahr gar nicht so richtig stattgefunden. Und doch hat es der Bundesinnenminister Hans-Peter Friedrich (CSU) geschafft, eine klassische Sommerlochdebatte loszutreten: Wie auch das neue soziale Netzwerk Google Plus fordert er Realnamenpflicht im Internet. Während Google dieser Pflicht mit dem Löschen von pseudonymen Profilen Nachdruck verleiht, ist es beim Innenminister nur eine Forderung. Friedrich möchte anonyme Internetbeiträge verhindern, um künftig extremistische Inhalte leichter bekämpfen zu können. Auslöser war ein norwegischer Blogger, der unter dem Pseudonym Fjordman rechtsradikale Thesen verbreitete, die der Massenmörder Breivik in weiten Teilen zur Rechtfertigung seiner Taten heran zog.

Verkauf von Küchenmessern nur noch gegen Klarnamen

Mit demselben Argument könnte man verlangen, dass jeder Käufer eines Küchenmessers sich mit Namen und Personalausweisnummer erfassen lassen muss. Er könnte es ja benutzen, um seine Frau zu erstechen. „In der demokratischen Auseinandersetzung streiten wir mit offenem Visier auf Basis unserer verfassungsmäßigen Spielregeln. Warum sollte das im Internet anders sein?“, wird der Bundesinnenminister zitiert. Das ist im Internet nicht anders, Herr Minister. Genauso wenig, wie alle Käufer von Küchenmessern potentielle Mörder sind, führen alle, die im Internet unter Pseudonym schreiben, Böses im Schilde. Ausnahmen bestätigen die Regel.

 Erst denken, dann reden

Erst denken, dann reden, wäre wie so oft eine prima Alternative gewesen. Ein klein wenig auch nur oberflächliche Recherche hätte deutlich gemacht, welche Vielfalt im Netz auf dem Spiel steht, sollte sich eine Klarnamenpflicht durchsetzen. (Von der Frage der faktischen Umsetzbarkeit einmal ganz abgesehen). Allein die Zusammenstellung auf der Seite „My Name is Me“ (http://my.nameis.me/) macht eindrucksvoll deutlich, was verloren ginge, wenn all diese Leute nicht mehr schreiben würden.

 Ich habe etwas zu verbergen

Die Diskussion ist auch deshalb so ärgerlich, weil sie in anderer Form das alte Argument des „Ich-habe-doch-nichts-zu-verbergen“ aller Datenschutzgegner wieder aufnimmt. Doch, ich habe etwas zu verbergen. Meine sexuelle Identität zum Beispiel. Trotzdem möchte ich mich mit anderen über diese Identität austauschen können, gerade dann, wenn ich einer Minderheit angehöre. Ich habe eine politische Meinung zu verbergen, wenn ich in einer Diktatur lebe, in der ich für diese Meinung im Gefängnis landen kann. Gerade deshalb ist es notwendig diese Meinung zu verbreiten, damit sich die Verhältnisse ändern können.

Aber vielleicht ist das das Ziel hinter der Forderung des Bundesinnenministers. Die Kontrolle des Wildwuchses, der Abweichungen, der unbequemen Meinungen, kurzum von allem, von dem eine Demokratie lebt.
Read More

Quelle: datenschutz.de, 02.08.2011

Löschung biometrischer Daten bei Facebook gefordert

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat Facebook aufgefordert, die über die Gesichtserkennung gespeicherten biometrischen Daten der Nutzer zu löschen. Die Funktion der Gesichtserkennung ist an europäische und nationale Datenschutzstandards anzupassen oder abzuschalten.

Die Gesichtserkennung dient zur automatischen Erkennung von Freunden, die auf Fotos der Nutzer abgebildet sind. Hierfür wertet Facebook die von Nutzern auf ihren Fotos markierten Gesichter nach biometrischen Merkmalen aus und speichert sie. So entsteht die vermutlich weltweit größte Datenbank mit biometrischen Merkmalen einzelner Personen. Lädt ein Nutzer neue Fotos hoch, folgt ein Abgleich mit diesen Informationen. Sobald die Software auf diesen Fotos Übereinstimmungen mit Freunden erkennt, wird automatisch ein Vorschlag für die namentliche Markierung der erkannten Person generiert.

Dabei ist nicht der Einsatz der Gesichtserkennungssoftware zur Erleichterung des sogenannten Foto-Taggings von Freunden das Problem. Vielmehr ist bedenklich, dass Facebook für diese Funktion im Hintergrund eine Datenbank zur Gesichtserkennung mit Millionen von Nutzern aufbaut. Bei einer Gesamtzahl von über 75 Milliarden hochgeladener Fotos wurden bisher nach Angaben von Facebook mehr als 450 Millionen Personen getaggt. Schätzungen zu Folge werden pro Sekunde mehr als 1.000 Namens-Taggs eingetragen. Die Risiken einer derartigen Ansammlung biometrischer Daten sind immens.

Derzeit wird jeder auf einem Foto markierte Nutzer in der Datenbank erfasst, der der Speicherung seiner Fotoinformationen nicht ausdrücklich widerspricht. Das derzeitige Opt-Out durch Facebook ist dabei irreführend.

Unter den Privatsphäre-Einstellungen bietet Facebook den Nutzern an, das Unterbreiten von Markierungsvorschlägen zu unterbinden (unter "Freunden Fotos von mir vorschlagen"). Facebook hat dazu schriftlich mitgeteilt, dass nach Abschalten dieser Funktion auch eine Löschung der biometrischen Daten erfolge. Laut Facebooks Online-Hilfesystem werden damit aber lediglich die Markierungsvorschläge unterdrückt. Es ist davon auszugehen, dass die biometrischen Daten gespeichert bleiben. Wenn Nutzer ihre bereits gespeicherten biometrischen Informationen löschen wollen, müssen sie zunächst das Online-Hilfesystem durcharbeiten. Darin wird zur Löschung der biometrischen Daten ein Weg über die Privatsphäre-Einstellungen gewiesen.

Die entsprechende Funktion ("Daten aus Fotovergleich löschen") existiert jedoch nicht. An einer anderen Stelle im Hilfesystem findet sich ein Link, über den der Nutzer das "Facebook Foto-Team" kontaktieren kann. Dort soll er um die Entfernung aller bisher über ihn selbst in der biometrischen Datenbank gespeicherten Fotoinformationen bitten. Eine Opt-Out-Möglichkeit ist damit zwar vorhanden, für den normalen Nutzer aber kaum zu finden. Angesichts dessen scheint besonders bedenklich, dass sogar für minderjährige Nutzer die Gesichtserkennung voreingestellt ist.

Aber selbst wenn Facebook ein nutzerfreundliches Verfahren zum Opt-Out anböte, würde es weder nationalen noch europäischen Datenschutzanforderungen genügen. Für eine Speicherung von biometrischen Merkmalen ist eine vorab erteilte, unmissverständliche Einwilligung der Betroffenen erforderlich. Zu unterstellen, durch bloßes Nichteinlegen eines Widerspruchs läge eine Zustimmung vor, reicht hierfür nicht aus. Auch die Art.-29-Gruppe, der Zusammenschluss der Datenschutzbeauftragten Europas, hat deutlich gemacht, dass die Beibehaltung von Voreinstellungen in sozialen Netzwerken keinen eindeutigen Erklärungsgehalt hat.

Dazu Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: "Wir haben Facebook wiederholt aufgefordert, die Funktion der Gesichtserkennung abzuschalten und die bereits gespeicherten Daten zu löschen. Sollte Facebook diese Funktion weiterhin aufrechterhalten, muss sichergestellt werden, dass nur Daten von Personen in die Datenbank eingehen, die zuvor wirksam ihre Einwilligung zur Speicherung ihrer biometrischen Gesichtsprofile erklärt haben. Die automatische Gesichtserkennung ist ein schwerer Eingriff in das informationelle Selbstbestimmungsrecht des Einzelnen. Das muss auch ein global agierendes Unternehmen berücksichtigen. Daher darf Facebook nicht lediglich auf ein intransparentes Widerspruchsverfahren verweisen. Eine selbstbestimmte Entscheidung macht die Einwilligung des informierten Nutzers erforderlich. Facebook sollte dies erkennen und unseren Forderungen schnell nachkommen."

 

Sie haben ein Thema 'auf dem Herzen', das soziale Verantwortung verlangt?
Read More

Es wird davon ausgegangen, dass bei Facebook jeden Monat 2,5 Milliarden neue Fotos von Nutzern eingestellt werden. 2,5 Milliarden. Pro Monat. Allein bei Facebook, all die anderen Netzwerke noch nicht mitgerechnet. In den Nutzungsbedingungen heißt es zu den Rechten an den Fotos: „Für Inhalte wie Fotos und Videos („IP-Inhalte“), die unter die Rechte an geistigem Eigentum fallen, erteilst du uns … die folgende Erlaubnis: Du gibst uns eine nicht-exklusive, übertragbare, unterlizenzierbare, gebührenfreie, weltweite Lizenz für die Nutzung jeglicher IP-Inhalte, die du auf oder im Zusammenhang mit Facebook postest („IP-Lizenz“). Diese IP-Lizenz endet, wenn du deine IP-Inhalte oder dein Konto löschst, außer deine Inhalte wurden mit anderen Nutzern geteilt und diese haben die Inhalte nicht gelöscht“. (http://www.facebook.com/terms.php).

Was wollen die nur mit all den Fotos?

Einen Ahnung von dem, was offenbar möglich ist (und ohne unser Wissen gemacht wird) erhielt ich als meine Mutter im letzten Herbst bei Verwandten in den USA zu Besuch war. Mein Profil meldete, ich sei in einem Foto „markiert“ worden. Ich kenne keine Leute, die mich fotografieren und das auf Facebook posten, dachte ich. Ich sah nach - und fand ein Foto von meiner Mutter, das sie mit meinen amerikanischen Verwandten zeigte, mit denen ich auf Facebook zum Teil befreundet bin. Eine von ihnen hatte das Foto veröffentlicht. Meine Vermutung, dass die Verwechslung auf der Tatsache beruht, dass meine Mutter und ich denselben Nachnamen haben und nur ich über ein FB Profil verfüge, erwies sich bei näherem Hinsehen als falsch. Sie war auf dem Foto nicht mit vollem Namen, sondern nur als „Tantchen Leni“ markiert worden. Woher also die Verbindung zu mir? Ich führte sie auf die Tatsache zurück, dass ich meiner Mutter äußerlich sehr ähnlich bin und Experimente mit Gesichtserkennungstools dazu geführt haben, dass man sie für ihre Tochter hielt.

Automatisierte Gesichtserkennung

Nachdem, was in diesen Tagen über die Verwendungsmöglichkeiten und tatsächlich praktizierten Verwertungen von Fotos verstärkt bekannt wird, erweist sich die Frage („Was wollen die nur mit all den Fotos?“) rückblickend als reichlich naiv und meine Mutmaßung über die Experimente mit Gesichtserkennung als wahrscheinlich zutreffend. Einen kleinen Einblick in das, was mit Fotos, die im Internet öffentlich sind, gemacht wird und gemacht werden kann, gibt es hier:

http://www.wired.com/dangerroom/2011/07/spies-find-you-through-pics/all/1

http://www.datenschutz.de/news/detail/?nid=5039

Keine Kontrollmöglichkeit

Beunruhigend daran ist vor allem, dass wir kaum eine Möglichkeit der Kontrolle darüber haben. Bei jedem Foto, das auf Facebook veröffentlicht wird, können die auf ihm abgebildeten Personen „markiert“, d.h. mit Namen versehen werden. Sofern wir die Markierung selber vornehmen, haben wir die Wahl, ob wir das tun oder nicht. Keine Wahl und keine Kontrolle haben wir mehr, wenn wir von anderen markiert werden, die das Foto mit unserer Markierung dann veröffentlichen. Diese Markierungen sind die Grundlagen für die skizzierten Nutzungen von Fotos. Man muss sich auch darüber klar sein, dass einmal eingestellte Fotos nicht wieder gelöscht werden können. In den derzeit aktuellen Nutzungsbedingungen von FB heißt es dazu recht vage, gelöschte Fotos würden „auf eine Weise entfernt, die dem Leeren des Recyclingbehälters auf einem Computer gleichkommt“ (gemeint ist vermutlich das Leeren des Papierkorbs). Und weiter: „Allerdings sollte dir bewusst sein, dass entfernte Inhalte für eine angemessene Zeitspanne in Sicherheitskopien fortbestehen“. Diese seien für andere jedoch nicht zugänglich. Davon abgesehen, können die Fotos aber auch von jedem, der Zugriff auf das Profil hat, kopiert und weiter verbreitet werden.

Nächste Folge: Die Privacy Einstellungen und die Möglichkeiten, ein wenig Kontrolle über die Fotos zu behalten.
Read More

Quelle: ndr.de, 22.07.2011

Ein Jugendlicher hat bei einer Fundsachen-Versteigerung der Stadt Salzgitter ein Handy ersteigert. Soweit nichts Besonderes. Der 14-Jährige fand darauf aber Porno-Fotos, der Vorbesitzer hatte sich selbst und andere nackt abgelichtet. Auch private Kontaktdaten und intime Kurzmitteilungen des früheren Eigentümers mit zum Teil brisanten Inhalten waren sichtbar. Laut Hallo Niedersachsen habe der Junge amüsiert auf die Aufnahmen reagiert und diese gelöscht.

Mobilfunkgeräte nicht gelöscht

Der Vater wolle keine weiteren Schritte gegen die Stadt Salzgitter einleiten, sagte er zu NDR 1 Niedersachsen. Die Stadt zeigt zudem Reue und gelobt Besserung. In einer öffentlichen Stellungnahme heißt es, ein derartiger Fehler dürfe nicht wieder passieren. Der verantwortliche Fachdienst entschuldigte sich. Er habe aber nie behauptet, die zu ersteigernden Mobilfunkgeräte gelöscht zu haben, heißt es außerdem in der Stellungnahme. Es seien lediglich die Speicherkarten entfernt worden. Daten auf dem internen Speicher wurden dabei offenbar übersehen.

Kein Einzelfall

Das aber reichte nicht, kritisierte der Datenschutzbeauftragte des Landes Niedersachsen, Michael Knaps. Die Stadt müsse alle persönlichen Daten mit speziellen technischen Mitteln entfernen. Dafür müsse man gegebenenfalls einen Fachmann beauftragen. Ein Bußgeld oder eine Ordnungswidrigkeit werde dennoch nicht ausgesprochen. Das sei rechtlich nur gegen private Personen oder Firmen möglich. Solche Verstöße seien aber kein Einzelfall. Aus diesem Grund habe man im Internet ein Merkblatt mit Informationen für Kommunen bereitgestellt. Diese war der Stadt Salzgitter offenbar nicht bekannt.

 
Read More