Sie sind hier: Home » Recht » Datenschutz und Compliance

Heimliche Online-Überwachung nur in Ausnahmefällen


Abschluss der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder: Bundesregierung soll sich auf, sich im Rat der Europäischen Union für eine wirksame Datenschutz-Grundverordnung für die Europäische Union einsetzen
Die Öffentlichkeitsfahndung in sozialen Netzwerken wirft datenschutzrechtliche Fragen auf

(22.11.12) - Zum Abschluss der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder stellen die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Dagmar Hartge, die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Dr. Imke Sommer (Konferenzvorsitz 2013), und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar, gemeinsam die Ergebnisse der Konferenz vor:

Die Datenschutzbeauftragten fordern die Bundesregierung auf, sich im Rat der Europäischen Union für eine wirksame Datenschutz-Grundverordnung für die Europäische Union einzusetzen. Sie wenden sich nachdrücklich gegen Bestrebungen, für die Wirtschaft weitreichende Ausnahmen von den Datenschutzpflichten zu schaffen. Die Auffassung des Bundesinnenministers, das Datenschutzrecht solle nur noch eine sogenannte "risikobehaftete" Datenverarbeitung regeln, lehnen die Datenschutzbeauftragten ab. Das Bundesverfassungsgericht hat längst klargestellt, dass es keine "belanglosen" Daten gibt. Jede Verarbeitung scheinbar "belangloser" Daten kann schwerwiegende Folgen für den Einzelnen haben. Es ist daher die Aufgabe des Staates, die Daten der Verbraucherinnen und Verbraucher per Gesetz zu schützen. Der Beschäftigtendatenschutz ist ein Beispiel für die Notwendigkeit europaweit hoher Mindestanforderungen. Die entsprechenden Regelungen sind in Deutschland völlig unzureichend. Die von der Europäischen Kommission vorgelegten Vorschläge sollten um verbindliche Vorgaben zum Beschäftigtendatenschutz ergänzt werden.

Die Konferenz fordert die Bundesregierung und die Landesregierungen auf, sich vor einer Erweiterung des Datenaustauschs zwischen Polizei- und Verfassungsschutzbehörden Klarheit über die Ursachen für die Fehlentwicklungen der Vergangenheit zu verschaffen. Neue Befugnisse zum Informationsaustausch können bestehende Vollzugsdefizite nicht beseitigen. Sollte im Ergebnis einer gründlichen Untersuchung eine Reform erforderlich werden, müssen die Grundrechte der Bürgerinnen und Bürger, das Gebot der Trennung von Polizei und Verfassungsschutz sowie eine effektive datenschutzrechtliche Kontrolle der Nachrichtendienste gewährleistet sein. Hintergrund ist die Bestrebung der Innenressorts von Bund und Ländern, Polizeibehörden und Nachrichtendienste stärker zu vernetzen und ihnen den Austausch von Informationen zu erleichtern.

Die Öffentlichkeitsfahndung in sozialen Netzwerken wirft datenschutzrechtliche Fragen auf. Die Datenschutzbeauftragten fordern, Fahndungsdaten nur auf den Websites der Polizei zu veröffentlichen. Sofern die Öffentlichkeit sozialer Netzwerke zu Fahndungszwecken genutzt werden soll, dürfen die Fahndungsdaten nicht Bestandteile des Angebots der sozialen Netzwerke werden.

Die Datenschützer fordern den Gesetzgeber auf, endlich ausreichende Rechtsgrundlagen für die Quellen-Telekommunikationsüberwachung zu schaffen. Den vom Bundesverfassungsgericht aufgezeigten Anforderungen zum Schutz des Kernbereichs der privaten Lebensgestaltung ist dabei Rechnung zu tragen. Eine heimliche Online-Überwachung darf nur in eng begrenzten Ausnahmefällen zugelassen sein. Die derzeit erarbeiteten standardisierten Leistungsbeschreibungen für künftige Überwachungsmaßnahmen können eine gesetzliche Grundlage nicht ersetzen. Bei der Quellen-Telekommunikationsüberwachung wird eine Software auf den Computer eines Verdächtigen eingebracht, um dort dessen verschlüsselte Kommunikation zu überwachen. Prüfungen des sogenannten Staatstrojaners durch Datenschutzbeauftragte hatten zuletzt erhebliche technische Mängel aufgedeckt und gezeigt, dass die Software nicht den datenschutzrechtlichen Anforderungen entsprach.

Die Übermittlung von Meldedaten an öffentlich-rechtliche Religionsgemeinschaften sowie an die Gebühreneinzugszentrale (GEZ) in elektronischer Form darf nur erfolgen, wenn die Daten ausreichend verschlüsselt sind und die Identität von Absender und Empfänger zweifelsfrei feststeht. Die Konferenz fordert den Bundesminister des Innern auf, den Übermittlungsstandard "OSCI-Transport" für die Übermittlung von Meldedaten an öffentlich-rechtliche Religionsgemeinschaften sowie an die Gebühreneinzugszentrale (GEZ) verbindlich festzulegen. Der Übermittlungsstandard "OSCI-Transport" gewährleistet eine sichere Verschlüsselung und Übermittlung personenbezogener Daten. Die Datenschützer weisen jedoch darauf hin, dass entsprechende Verfahren regelmäßig überprüft und gemäß dem Stand der Technik weiterentwickelt werden müssen. Die Meldebehörden sind gesetzlich zur Übermittlung von Meldedaten an öffentlich-rechtliche Religionsgemeinschaften und die Gebühreneinzugszentrale verpflichtet.

Um einen datenschutzgerechten Einsatz von IPv6 (Internet Protocol Version 6), dem neuen Standard zur Datenübertragung und zur Vergabe von Adressen im Internet, zu gewährleisten, veröffentlicht die Konferenz eine Orientierungshilfe. Sie wendet sich damit vor allem an Provider und Gerätehersteller im Privatkundengeschäft. Die Datenschützer geben unter anderem Hinweise zur Vergabe von Internetadressen. So soll ein zielgerichtetes Verfolgen des Nutzerverhaltens im Netz vermieden werden. Die Orientierungshilfe führt zudem Voraussetzungen auf, die Anbieter erfüllen müssen, um den Nutzerinnen und Nutzern eine sichere und vertrauenswürdige Kommunikation im Internet zu ermöglichen. Demnächst werden viele Provider den neuen Internet-Standard einführen; Privatkunden werden als erste davon betroffen sein. Erforderlich ist dieses neue Internetprotokoll aufgrund der in der Vorgängerversion knappen Anzahl freier Internetadressen.

Um ihre Haushalte und Budgets zu entlasten, nutzen Behörden und Unternehmen für ihre Datenverarbeitung zunehmend gemeinsame Infrastrukturen. Die Konferenz erläutert in einer Orientierungshilfe die Anforderungen des Datenschutzes an eine solche Form der Datenverarbeitung. Auch wenn mehrere Daten verarbeitende Stellen dieselben Rechen- und Speichersysteme oder Datenbanken verwenden (z. B. in gemeinsamen Rechenzentren), dürfen personenbezogene Daten nur getrennt verarbeitet werden. Behörden und Unternehmen müssen ihre jeweiligen Verfahren so voneinander abschotten, dass personenbezogene Daten ausschließlich von den hierzu berechtigten Stellen ("Mandanten") verarbeitet werden können. Nur wenn die IT-Infrastruktur und die Verfahren eine solche Trennung ermöglichen, bleibt die erforderliche Bindung der personenbezogenen Daten an den Zweck ihrer Erhebung erhalten. Übermittlungs- und Zugriffsrechte müssen auf das erforderliche Maß beschränkt werden.

Auch international tätige Dienstleister, etwa Facebook und Google, müssen die Gesetze der Bundesrepublik Deutschland achten. Diese verpflichten Anbieter beispielsweise, die Nutzung sozialer Netzwerke im Internet anonym oder unter Verwendung eines Pseudonyms zu ermöglichen. Hier sieht die Datenschutzkonferenz Handlungsbedarf.

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder ist ein freiwilliger Zusammenschluss der Datenschutzbeauftragten. Sie tagen zweimal jährlich unter turnusmäßig wechselndem Vorsitz. Die Konferenz verabschiedet Entschließungen, in denen die Datenschützer Stellung zu aktuellen, datenschutzrelevanten Fragen aus Technik, Wirtschaft und Recht nehmen. (BfDI: ra)


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • "Dark Patterns" in sozialen Medien

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ( BfDI) Prof. Ulrich Kelber, zeigt sich zufrieden mit den Leitlinien, die der Europäische Datenschutzausschuss (EDSA) beschlossen hat: "Ich freue mich besonders darüber, dass der EDSA die konsolidierten Leitlinien zur Zusammenarbeit der Datenschutzaufsichtsbehörden im Kooperationsverfahren beschlossen hat. Im EDSA finden wir gemeinsam konstruktive Lösungen für Probleme, die der Gesetzgeber offen gelassen hat."

  • Liegt ein Datenschutzverstoß vor?

    Dem BfDI wurde von Hinweisgebern gemeldet, dass es im Zusammenspiel von elektronischen Gesundheitskarten (eGK) und den Konnektoren der Telematik-Infrastruktur zu Datenschutzverstößen gekommen sein soll. Dazu haben uns viele Fragen erreicht, von denen wir die häufigsten hier beantworten. Im Rahmen der Zertifikatsprüfung bei der eGK-Gültigkeitsprüfung wird die Seriennummer der eGK-Zertifikate (konkret das AUT-Zertifikat) von gesperrten elektronischen Gesundheitskarten im Sicherheitsprotokoll der Konnektoren eines Herstellers lokal gespeichert. Die Spezifikation des Konnektors sieht vor, dass keine personenbezogenen Daten protokolliert werden dürfen. Das fehlerhafte Verhalten der Konnektoren des Herstellers konnte die gematik nachstellen und hat nach eigener Aussage den Hersteller direkt über das Fehlverhalten der Konnektoren informiert.

  • EDSA beschließt Leitlinien zum Auskunftsrecht

    Der Europäische Datenschutzausschuss (EDSA) hat Leitlinien zu den Betroffenenrechten der Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Im Fokus steht dabei das Auskunftsrecht, mit dem Betroffene unter anderem in Erfahrung bringen können, welche Daten Unternehmen und Behörden über sie gespeichert haben. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, begrüßt die gemeinsamen Leitlinien: "Das Recht auf Auskunft ist das grundlegende Betroffenenrecht und wird von den Bürgerinnen und Bürgern häufig in Anspruch genommen. Allerdings lässt der entsprechende Artikel der DSGVO allein einen großen Interpretationsspielraum. Der EDSA sorgt hier nun für mehr Klarheit und Einheitlichkeit."

  • Behörde hätte gerne frühzeitig beraten

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, kritisiert einige Bestandteile der neuen gesetzlichen Regeln zur Kontrolle des Impf-, Genesenen- oder Teststatus (3G) durch Arbeitgeberinnen und Arbeitgeber. "Die Vorarbeiten der Bundesregierung für den Deutschen Bundestag sind an einigen Stellen fehlerhaft und verzichten auf datenschutzfreundliche Regelungen. Meine Behörde hätte gerne frühzeitig und begleitend beraten. Darauf hat das federführende Ministerium aber verzichtet. Folge ist ein unnötiges Risiko datenschutzrechtlicher Fehler, die bei Klagen vor Gerichten zu Verzögerungen führen könnten. Der Pandemiebekämpfung würde das massiv schaden", sagte der BfDI.

  • Datenschutz als vermeintliches Hindernis

    Der Bundesbeauftragte für Datenschutz und Informationsfreiheit Prof. Ulrich Kelber appelliert bei den diesjährigen Verbandstagen des Berufsverbands der Datenschutzbeauftragten Deutschlands (BvD) e.V. an Unternehmen und Organisationen, bereits bei der Entwicklung digitaler Produkte frühzeitig den Datenschutz mitzudenken. "Der Pandemie-bedingte Digitalisierungsschub ist unumkehrbar", so Kelber mit Bezug auf alle gesellschaftlichen Bereiche und ergänzt: "Der Datenschutz muss bei der Produktentwicklung von Anfang an mitgedacht werden. Dann geht das preisgünstig, ohne Zeitverlust und in der Regel mit besserem Ergebnis." Den betrieblichen und behördlichen Datenschutzbeauftragten kommt laut Kelber bei der Entwicklung und vor allem der Einführung und Anwendung digitaler Technologien eine Schlüsselrolle zu: "Es ist die Aufgabe der betrieblichen und behördlichen Datenschutzbeauftragten, mit ihrer Expertise ihre Häuser zu unterstützen, digitale Projekte von der Planung bis zur Einführung datenschutzkonform aufzustellen." Wirtschaftsverbände und Politik müssten diese Notwendigkeit begreifen, so Kelber.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen