NSA, Google und Co. Wie steht es um das Recht auf informationelle Selbstbestimmung? Thilo Weichert, Leiter des ULD Landesbeauftragter für Datenschutz Schleswig-Holstein.

Präsentation zum Thema: "NSA, Google und Co. Wie steht es um das Recht auf informationelle Selbstbestimmung? Thilo Weichert, Leiter des ULD Landesbeauftragter für Datenschutz Schleswig-Holstein."—  Präsentation transkript:

1 NSA, Google und Co. Wie steht es um das Recht auf informationelle Selbstbestimmung? Thilo Weichert, Leiter des ULD Landesbeauftragter für Datenschutz Schleswig-Holstein Journalismus in vernetzten Zeiten Der Feind hört mit – Und wen interessiert´s? Ver.di-Institut für Bildung, Medien u. Kunst Lage-Hörste, 17. Oktober 2014

2 www.datenschutzzentrum.de Inhalt Unabhängiges Landeszentrum für Datenschutz – ULD Chancen und Risiken Rechtliche Grundlagen Konflikte mit Internet-Anbietern Spezielle Rechtsfragen Regelungsansätze und -möglichkeiten USA Ansätze zum Selbstschutz Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 2

3 www.datenschutzzentrum.de Unabhängiges Landeszentrum für Datenschutz KontrolleBeratungAusbildung inkl. DATEN- SCHUTZ- AKADEMIE IT-LaborModell- Projekte GütesiegelAudit Verwaltung Wirtschaft Bürger Primäre Adressaten: Wirtschaft, Wissenschaft, Verwaltung Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 3

4 www.datenschutzzentrum.de Chancen Information und Kommunikation Verwaltung und Bereitstellung eigener Daten, Bilder, Texte E-Mail, Teilnahme an Foren, Austausch mit Behörden und Unternehmen, berufliches Engagement im Netz eCommerce, Webshops Wikipedia, Blogs Demokratischer Austausch, Online-Petitionen Soziale Netzwerke Informationsportale, Selbstdarstellungen, Veröffentlichungen zu Wissenschaft, Literatur, Kunst..., örtl. Orientierungshilfen Newsportale (Schrift, Ton und Bild) Suchmaschinen Unterhaltung und Spiele Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 4

5 www.datenschutzzentrum.de Risiken Ausforschung, Ausspionieren der Privat- und Sozialsphäre Anprangerung, Diskreditierung, Rufmord Manipulation und Falschinformation Belästigung durch Werbung, Spam Identitätsdiebstahl Internetbetrug Abzocke Internetabhängigkeit, Netz als Droge (Sex, Glücksspiele, Soziale Netzwerke) > Nutzen, aber mit Vorsicht Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 5

6 www.datenschutzzentrum.de Rechtliche Grundlagen Grundrechte auf Datenschutz, Telekommunikationsgeheim- nis, Meinungsfreiheit (Art. 7, 8, 11 Europäische Grund- rechteCharta, Art. 2 I iVm 2 I, 10 GG) Nationale Datenschutzgesetze Europäische Datenschutzrichtlinie (1996), künftig Europäische Datenschutz-Grundverordnung, E-Privacy- Directive (u.a. Art. 5 Abs. 3 – Cookieregelung) Viele weitere Gesetze und europäische Regelungen, z. B. zum Verbraucherschutz, AGB, Fernabsatz, Urheber- und Markenrecht, Vertragsrecht Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 6

7 www.datenschutzzentrum.de Nationale Gesetze Für Inhaltsdaten: Bundesdatenschutzgesetz (BDSG) Für Bestands- und Nutzungsdaten von Telemedien Telemediengesetz (TMG) Für Bestands- und Nutzungsdaten von Netzen Telekommunikationsgesetz (TKG) Abgrenzung wird zunehmend schwierig Sensibilität bei Metadaten in Bezug auf Profiling, Tracking, Scoring, Personalizing höher als bei vielen Inhaltsdaten Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 7

8 www.datenschutzzentrum.de 7 Regeln des Datenschutzes Rechtmäßigkeit (Art. 5 ff. EU-DSRL) Einwilligung (Art. 7 lit. a EU-DSRL) Zweckbindung (Art. 6 Abs. 1 EU-DSRL) Erforderlichkeit und Datensparsamkeit (6 I c, e) Transparenz und Betroffenenrechte (Art. 11 ff.) Datensicherheit (Art. 17 Abs. 1 EU-DSRL) Kontrolle (Art. 28 EU-DSRL) Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 8

9 www.datenschutzzentrum.de Konflikte Google Street View (2008-2010) Betroffene passiv, keine Wahlmöglichkeit, greifbare Betroffenheit, geringes kommerzielles Interesse > Einigung Google Analytics (seit 2008) Betroffene passiv, Betroffenheit wenig greifbar, mangelnde Transparenz, ungenügende Wahlmöglichkeit, hohe ökonomische Relevanz der Nutzungsdaten, Webseitenbetreiber verantwortlich, starker Wettbewerb und Alternativen > begrenzte Einigungsmöglichkeit Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 9

10 www.datenschutzzentrum.de Aktuelle Facebook-Konflikte Facebook Fanpages und „Gefällt mir“-Buttons Anbieter in den USA oder im sonstigen Ausland (z. B. Irland, künftig Verarbeitung in Schweden) Sind Cookiedaten und IP-Adressen personenbezogen? Wer ist verantwortlich: Nutzer, Webseitenbetreiber, Internetkonzern…? Intransparenz der Datenverarbeitung und der Nutzungsbedingungen Fehlende Wahlmöglichkeiten (Opt-in, Opt-out) Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 10

11 www.datenschutzzentrum.de Alibaba Weltweit größter Onlinehandels-Anbieter Sitz in China/Hongkong/Singapur ? Privacy Policy: „Your privacy is important to us and we have taken steps to ensure that we do not collect more information from you than is necessary for us to provide you with our services and to protect your account. … If you provide any Personal Data to us, you are deemed to have authorised us to collect, retain and use that Personal Data for the following purposes: … 6. performing research on statistical analysis in order to improve the content and layout of the Sites, to improve our product offerings and services and for marketing and promotional services.“ Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 11

12 www.datenschutzzentrum.de Wirtschaftliche Interessen UserInnen: Spaß und Unterhaltung, umsonst und einfach Öffentliche Stellen (Polizei, Schulen, Staatskanzlei usw.): billiger Kommunikationskanal zu jungen Menschen, Überwachung, Ermittlung) Unternehmen: Kundenansprache, Kundenbindung, Kundenkommunikation (Rückkanal), Kundenanalyse Applikationsanbieter: Werbung und Dienstleistung Anbieter (Facebook, Google, Alibaba o. Ä.): Verkauf von interessengenauer Werbung/Werbefläche, Mitverdienst bei Plattformen (z. B. Spiele, Musik – Zynga, Spotify), Vermittlung von Services, Entgelt für Applikationen Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 12

13 www.datenschutzzentrum.de Weitere Konflikte Facebook Polizeifahndung auf Facebook, Schulen bei Facebook Gesichtserkennung, Freundefinder Auskunftsverfahren Max Schrems (Wien) 1200 ausgedruckte Seiten, seitdem zigTsd. Auskunftsanfragen Audit Datenschutz Irland (Dez. 2011, Sept. 2012) Änderung der Terms of Use, Privacy Policies TimeLine (Chronik), Graph Pädophilie-Chatkontrolle, Klarnamenpflicht-Durchsetzung Urheberrechtsabmahnungen wegen „Teilen“ auf Facebook Sog. „Shitstorm“ – Fälle „Emden“ od. Ariane Friedrich Facebook-Feste … Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 13

14 www.datenschutzzentrum.de Fallbeispiel Google Zusammenführen sämtlicher Inhalts- und Nutzungsdaten einzelner Nutzender von sämtlichen Google-Diensten (Search, Maps, Calender, Youtube, Gmail, Google+, Picasa, Drive, Docs …) 12/2013: Spanische AEPD 900.000 Geldstrafe 01/2014: Französische CNIL 150.000 Geldstrafe ?/2014: HambBfDI Untersagungsverfügung Weitere Verfahren: NL, I, GB Aktueller Börsenwert (weltweit): 225 Mrd. Euro Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 14

15 www.datenschutzzentrum.de Enthüllungen Snowden Anfang Juni 2013: Enthüllungen durch Edward Snowden Politische und wirtschaftl. Spionage, Vollüberwachung der Bevölkerung zw. Terrorismusbekämpfung National Security Agency (NSA - USA): Prism u. a. Government Communications Headquarters (GCHQ – GB): Tempora u. a. Direction Générale de la Securité Extérieure (DGSE – F) Bundesnachrichtendienst (BND – D): Strateg. TKÜ u. a. Weitere Five Eyes (Kanada, Australien, Neuseeland) Spionage aus China, Russland… > Politische Spionage, Wirtschaftsspionage, allgem. Netzüberwachung Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 15

16 www.datenschutzzentrum.de Angriffsarten Abgreifen von Internetdienstleistern, z. B. Soziale Netzwerke od. Clouds (in den USA, zwangsweise od. freiwillig) Verdeckter Zugang zu einem Netzbetreiber (GCHQ-BelgaCom) Brechen von Kryptografie Verdeckter Zugang zu Internetdiensten (über Backdoors) zur Beschaffung von Meta- und Inhaltsdaten (z. B. Adressbücher) Abhören von Internetkabeln oder von Internetknoten Beschaffung von (evtl. zulässig erlangten Daten von) „befreundeten“ Diensten (z. B. strategische BND-TKÜ) Kapern von Rechnern und Rechnernetzen (unterschiedliche Methoden, z. B. Online-Durchsuchung) Verdeckte technische und personale Ermittlungen Sammeln und Auswerten „öffentlicher Quellen“ (im Netz) Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 16

17 www.datenschutzzentrum.de Erkenntnisse nach Snowden Sämtliche Internet-Verarbeitung ist überwachbar und wird überwacht In den USA gehen Sicherheit und Profit für PersönlichkeitsR In den USA gibt es keinen effektiven Schutz für Privacy durch Recht und Politik Verarbeitung bei US-Anbietern und über US-Netze ist besonders riskant > Politische und juristischer Diskurs hat weltweit begonnen Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 17

18 www.datenschutzzentrum.de Anwendbares Recht? Aufhänger: Klarnamenpflicht bei Facebook (Verstoß gegen § 13 Abs. 6 TMG) VG Schleswig, B. v. 14.2.2013: Irisches Recht OVG Schleswig-Holstein, B. v. 22.4.2013: Irisches Recht KG Berlin, U. v. 24.1.2014 (Freundefinder): Nationales Recht EuGH (Google Search Spain), U. v. 13.5.2014: Nationales Recht Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 18

19 www.datenschutzzentrum.de EuGH 13.05.2014 C-131/12 (1) Suchmaschine ist für Anzeige „verantwortlich“ Relevant ist ökonomische, nicht rechtliche Sichtweise Für Niederlassung genügt jede Form der Tätigkeit durch feste Einrichtung Anwendbar ist jeweils nationales Recht Es besteht Anspruch auf Löschung, Sperrung bzw. Nichtanzeige („Recht auf Vergessen“) Anspruch ist unabhängig von Erstveröffentlichung Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 19

20 www.datenschutzzentrum.de EuGH 13.05.2014 C-131/12 (2) Individueller Abwägungsprozess zwischen Meinungs- und Informationsfreiheit und Datenschutz Wahrnehmung des Widerspruchsrechts ist relevant Suchmaschinen sind besonders gefährlich Schaden ist nicht nötig, Beeinträchtigung genügt Mögliche Abwägungskriterien: Zugänglichkeit im Internet Sensibilität Eignung für Profilbildung Zurückliegen des Sachverhaltes Öffentliches Interesse an der Information Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 20

21 www.datenschutzzentrum.de Datenschutzrechtliche Verantwortlichkeit Art. 2 lit. a EU-DSRL: „…die Stelle, die … allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet “ Differenzierung nach Inhaltsdaten, Nutzungsdaten und Bestandsdaten Verantwortlichkeiten: Nutzende (für Inhalte, auch Drittinhalte) Fanpages, Webseiten (Social Plugins) Portalbetreiber, Dienste-/App-Anbieter Verantwortlichkeit von Facebook D (GmbH)/Irland (Ltd.)/USA (Inc.) und verantwortlich machen OVG SH 04.09.2014: verantwortlich, wer konkret Daten hat Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 21

22 www.datenschutzzentrum.de Wirksamkeit einer Einwilligung Notwendigkeit bei Zweckänderung/Direktwerbung, Profilbildung und DV außerhalb der EU, Setzen von Cookies Erklärung eigentl. schriftlich, evtl. elektronisch (dann: Dokumentation, Abrufbarkeit) Hinreichende Bestimmtheit bzgl. Stellen, Zwecke, Daten Beachtung der AGB-Regelungen und Pflicht zur Hervorhebung (evtl. explizit sensible Daten) Browsereinstellung ist keine Einwilligung Lösung: Default-Einstellungen od. Optionsstandards Einräumen von Wahlmöglichkeit, sonst evtl. Koppelungsverbot Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 22

23 www.datenschutzzentrum.de Betroffenenrechte Informationen (Impressum, Ausland, Art der Verarbeitung, Profilbildung, Übermittlungen, Rechte) (Art. 10 f. EU-DSRL) Auskunft (Art. 12 f. EU-DSRL) Datenkorrektur (Art. 6, 14 EU-DSRL), Löschung, Sperrung, Berichtigung, Anlass z. B.: Kündigung, Tod, Zeitablauf Kontoübertragung (Art. 18 EU-DSGVO-E) Widerspruchsrechte (Art. 14 EU-DSRL) Anonyme od. pseudonyme Nutzung (ergibt sich aus Grundrechten) Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 23

24 www.datenschutzzentrum.de Materiell-rechtliche Anforderungen Jugend- und Kinderschutz (evtl. Einwilligung der Eltern) Datenschutzkonforme Bezahlverfahren (Optionsrecht) Einsatz von biometrischen Verfahren Verarbeitung von Drittdaten nur nach positiver Abwägung, besonders bei sensiblen Daten Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 24

25 www.datenschutzzentrum.de Technisch-organisatorische Anforderungen Sicherungsmaßnahmen (Art. 17 Abs. 1 EU-DSRL) Default-Einstellungen, Nutzung von Branchen-Standards, Kontoverwaltung für Betroffene Transparenz und Erreichbarkeit der Privacy-Policies Bereitstellung eines Datenschutzmanagements (Service, Beratung) Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 25

26 www.datenschutzzentrum.de Einsatz im Unternehmen Nutzungsmöglichkeit für private/dienstliche Zwecke Gefahr des Verrats v. Betriebs- und Geschäftsgeheimnissen Ausspionieren von Unternehmenskommunikation Nutzung von Social Media in Bewerbungsverfahren (Information, evtl. Verwertungsverbot, Rating/Scoring) Überwachung der Arbeitnehmer durch Arbeitgeber >Social Media Guidelines >Vereinbarungen mit Betriebs-/Personalrat Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 26

27 www.datenschutzzentrum.de Regelungsansätze Gesetzliche nationale Regelungen Europäische Regelungen Nationale Verhaltensregeln (Codes of Conduct) mit oder ohne Genehmigung durch Aufsichtsbehörden (Art. 27 EU- DSRL) Europäische Verhaltensregeln (Art. 27 Abs. 3 EU-DSRL) Internationale Standards (ISO/IEC) Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 27

28 www.datenschutzzentrum.de Europäische Datenschutz- Grundverordnung Basis: Europäische Grundrechtecharta Art. 8 Recht auf Datenschutz, Art. 9 Recht auf Privatsphäre, Art. 11 Informations- und Meinungsfreiheit, Art. 38 Verbraucherschutz Vorschlag EU-DSGVO Ausrichtung auf Online-Verarbeitung, Weniger klassische Datenverarbeitung Möglichst hohe Standards Harmonisierung - Vereinheitlichung Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 28

29 www.datenschutzzentrum.de EU-DSGVO - Internet-Regeln Marktortsprinzip Allgemeine Erlaubnistatbestände, Grundregeln Sonderschutzregelungen für Kinder und Jugendliche Transparenzregelungen Recht auf Vergessenwerden Recht auf Portabilität (Datenübertragbarkeit) Beschränkung von Tracken, Scoren und Profilen Privacy by Design und Privacy by Default Breach Notification, massive Sanktionen Klagemöglichkeit auch für Verbände Koordination der Datenschutzkontrolle Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 29

30 www.datenschutzzentrum.de Entwicklung in den USA Keine digitalen Grundrechte (schon gar nicht für Ausländer) US-Supreme Court: Reasonable Expectations of Privacy Vorrang der Sicherheitsbelange Keine (gesetzliche) Bindung von Privaten > Sicherung der globalen Sicherheitshegemonie > Sicherung der globalen wirtschaftlichen Hegemonie Optionen: Druck durch Europa (EU-DSGVO) auf USA (z. B. Obamas „Consumer Privacy Bill of Rights“ 2/2012) Thematisieren des US-Datenschutzes über Safe Harbor, PNR, SWIFT, Patriot Act, TTIP... (EuGH-Vorlage durch Irish High Court, B. v. 18.6.2014) Transatlantischer Dialog Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 30

31 www.datenschutzzentrum.de Sicherungsmaßnahmen Aktuelle Browser, Antivirensoftware, Firewall Vermeiden von US-Anbietern (z. B. WhatsApp, Facebook od. Google+) Nutzen anonymer Suchmaschinen (z. B. Ixquick) Nutzung von Anonymisierungsdiensten (Tor, JonDos) Eigene IT oder Trusted Cloud (Schengen-Anbieter, Zertifizierung), Kontrolle Auftragsdatenverarbeiter Nutzung sichere Infrastrukturen (nPA, De-Mail) Nutzung starker Verschlüsselung (PGP, GnuPG) Klare Trennung beruflich-privat (z. B. bei BYOD) Datensparsamkeit !!! Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 31

32 www.datenschutzzentrum.de Relevante Aspekte Recht Technik Ökonomie Politik Kultur Erziehung Psychologie Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 32

33 www.datenschutzzentrum.de Dr. Thilo Weichert Unabhängiges Landeszentrum für Datenschutz Schleswig- Holstein (ULD) Independent Center for Privacy Protection Schleswig-Holstein (ICPP) Holstenstr. 98, D- 24103 Kiel mail@datenschutzzentrum.de https://www.datenschutzzentrum.de Weichert - Lage-Hörste - 17.10.2014 - NSA, Google & Co. Folie 33 NSA, Google und Co. Wie steht es um das Recht auf informationelle Selbstbestimmung?