Datenschutz

: Abhörpuppen im Kinderzimmer: Und wer ist eigentlich dafür verantwortlich?

Barbie hört im Kinderzimmer mit.

: Abhörpuppen im Kinderzimmer: Und wer ist eigentlich dafür verantwortlich?

Im vergangenen Jahr machte die Hello Barbie Schlagzeilen. Sie kann Gespräche im Kinderzimmer aufzeichnen und passende Anworten generieren. Die Gespräche werden dabei auf Servern des zugehörigen Unternehmens gespeichert und von ToyTalk analysiert, Eltern können sich die aufgezeichneten Gespräche anhören.

Ein Datenschutz-Albtraum, besonders da Kinder als Verbraucher beteiligt sind. Hier werden Geschäfte mit den Daten von Kindern gemacht, diese werden von undurchsichtigen Dritten analysiert. Eltern können die privaten Gespräche ihrer Kinder mithören, obwohl diesen im Regelfall nicht bewusst ist, dass ihr Gespräch nicht nur mit der Puppe stattfindet. Von möglichen Datensicherheitsproblemen ganz zu schweigen. Der Hack des Spielzeugherstellers V‑Tech zeigt, dass diese Gefahr konkret ist, hier flossen Ende 2015 mehrere Millionen Profildaten von Kindern und Eltern in unbefugte Hände, dazu massenweise Fotos und Chatprotokolle.

Die Hello Barbie ist nicht das einzige Spielzeug ihrer Art. My Friend Cayla beruht auf einem ähnlichen Konzept und ist auch in Deutschland offiziell im Vertrieb. Das macht Verbraucherschützern Sorgen und so stellte Renate Künast von den Grünen, Vorsitzende des Ausschusses für Recht und Verbraucherschutz im Bundestag, einige Fragen an die Bundesregierung (Fragen und Antworten unten im Volltext).

Die Bundesregierung gesteht in ihrer Antwort ein, dass Kinder besonders verletzliche Verbraucher sind und der „Schutz der Privatsphäre, das Recht auf informationelle Selbstbestimmung und die Datensouveränität“ gewährleistet sein müssen. Viel weiter geht das Engagement aber nicht, ein Artikel auf der Internetseite schau-hin.info gehört zum einzigen konkreten Engagement der Regierung. Und dabei gesteht sie selbst ein, dass die Einwilligung der Eltern als Teil der Allgemeinen Geschäftsbedingungen der als konkretes Beispiel genutzten Cayla-Puppe nicht ausreichend ist. Aber die Verantwortung will sie nicht tragen:

Die Aufsicht über die Einhaltung der Datenschutzbestimmungen liegt in der Zuständigkeit der Datenschutzaufsichtsbehörden der Länder.

Fragestellerin Renate Künast findet, das reicht nicht aus:

Kinder sind keine geschäftsfähigen Verbraucherinnen und Verbraucher. Sie brauchen einen verbesserten rechtlichen Schutz. Dass die Bundesregierung auf ihr angeblich „differenziertes“ Verbraucherbild verweist, reicht nicht aus. Das ist eher ein Versuch ihre Verantwortung zu kaschieren. Die Einwilligung der Eltern in die Übermittlung, Speicherung und Verarbeitung der Daten ihrer Kinder muss klare Voraussetzung werden. Dazu reichen übrigens keine AGB, dazu reicht auch nicht das Herunterladen einer App, bei der die Einwilligung in den Tiefen der Nutzungsbedingungen versteckt ist. Die Bundesregierung sollte hier schnellstens aktiv werden. Bevor das Angebot auf dem Spielzeugmarkt Realitäten schafft, die dann kaum noch zu revidieren sind. Dafür sind Kinder, ihre Geheimnisse und ihre Daten ein zu sensibles Terrain. Oder anders gesagt: das Spiel mit Barbie darf nicht zur systematischen Ausforschung von Kindern führen. Das Spiel der Kinder muss weiterhin ein Spiel bleiben, ohne belastende Folgen.

Im Rahmen der kommenden Europäischen Datenschutzgrundverordnung soll die Privatsphäre, gerade von Minderjährigen, besser geschützt werden. Einige Fragen bleiben jedoch offen, etwa: Wie wirksam kann beispielsweise eine Einwilligung sein, wenn nicht mehr nur das eigene Kind mit der Mithör-Puppe spielt, sondern auch seine Freundinnen und Freunde? Doch davon abgesehen sollten sich Eltern genau überlegen, ob ein solches Spielzeug überhaupt sinnvoll ist und sie wirklich wissen wollen, was ihr Kind in vermeintlicher Privatsphäre mit einer Puppe bespricht.

Text der Antwort auf die Kleine Anfrage aus dem PDF befreit

Kleine Anfrage der Abgeordneten Renate Künast u. a. und der Fraktion Bündnis 90/Die Grünen

Abhörpuppen – Datenschutz im Kinderzimmer

BT-Drucksache 18/8015

Vorbemerkung der Fragesteller.“

Im Jahr 2015 wurden allein auf dem deutschen Spielwarenmarkt drei Milliarden Euro umgesetzt (Eurotoys, Statista 2016). Kinder und ihre Wünsche haben einen enormen Einfluss auf das Konsumverhalten ihrer Eltern. Sie bestimmen heute maßgeblich mit, wie das frei verfügbare Familieneinkommen ausgegeben wird, und sie haben selbst immer größere ﬁnanzielle Mittel zu ihrer freien Verfügung. Das Taschengeld von Kindern beträgt derzeit im Mittel 26,35 Euro im Monat. Darüber hinaus erhalten viele Kinder zu Weihnachten und zum Geburtstag noch Geldgeschenke in Höhe von durchschnittlich 170 Euro pro Jahr (Kids Verbraucher Analyse, Statista 2016). Für Spielwarenhersteller und andere Unternehmen stellen Kinder daher eine außerordentlich kaufkräftige und damit besonders interessante Zielgruppe dar.

Dabei macht auch die fortschreitende Digitalisierung unserer Lebensverhältnisse – mit allen Chancen und Risiken – vor den Kinderzimmertüren nicht halt. Mehr als jedes dritte Kind hat ein „Lieblingsspielzeug“, das aus dem Mobil-‚ Computer- oder Konsolenbereich kommt (iconkids & youth, Statista 2016), und neuartiges, vernetztes Spielzeug erobert den Markt. Diese Neuerungen werfen jedoch auch Datenschutzfragen auf.

Die Unternehmen Vivid und Matell vertreiben seit neuestem z.B. sprechende und hörende Puppen mit harmlos klingenden Namen wie „Hello Barbie“ oder „My friend Cayla“. Während „Hello Barbie“ bislang nur in den USA vermarktet wird, ist die Puppe „My friend Cayla“ seit letztem Jahr in Deutschland erhältlich. Sie richtet sich an Kinder im Alter zwischen 4 und 10 Jahren. Mittels Mikrofon und drahtloser Internetverbindung nimmt Cayla alle Gespräche in ihrer Umgebung auf und überträgt die Daten dann an die Server der Drittfirma ToyQuest Limited mit Sitz in Hong Kong, China. Dort werden die Daten verarbeitet und – wenn Cayla angesprochen wurde – eine „passende“ Antwort entworfen. Die Puppe wird als Gesprächspartner für Kinder beworben.

Die nur im Internet abrufbaren Datenschutzbestimmungen zu Cayla erlauben es dem Unternehmen ToyQuest, die „Audiodateien von den Stimmen der Nutzer, entsprechende Transkriptionen und/oder in Zusammenhang mit der Nutzung der App entstandene Log Files“ (http://myfriendcayla.de/datenschutz) an Drittfirmen weiterzuleiten. Eine dieser Drittfirmen ist dabei die zum Amazon-Konzern gehörende Firma Ivona. Diese behält sich wiederum vor, „to evaluate and profile customers, including customer preferences and purchasing trends, which we may use for marketing purposes and in respect of operations and development“ (http://www.ivona.com/us/privacy-policy/#head2). Es ist daher zu befürchten, dass die aus den vermeintlich privaten „Kinderzimmergesprächen“ gewonnen Daten bereits jetzt oder künftig zu Werbe- und Marktforschungszwecken genutzt werden. Die Konzerne können die so gewonnenen Verhaltensdaten nutzen und verkaufen. Die Kinder werden dadurch vom Verbraucher zum Produkt degradiert.

Auch bei Spielzeug, das per App gesteuert wird, können Daten von Unternehmen gesammelt und weitergegeben werden. So hat die Stiftung Warentest für den Spielzeug-Roboter Sphero BB‑8 festgestellt, dass die Software, die eigentlich nur das Spielzeug fernsteuern soll, unnötige Daten erfragt und diese an Dritte weitergibt. So werden neben detaillierten Angaben zu dem Mobilgerät, auf dem die App läuft, auch die Mail-Adresse und das Alter des Nutzers an Dritte gesendet (https://www.test.de/Spielzeug-Roboter-Sphero-BB-8-Niedlich-aber-zu-neugierig-4971623–0/).

Wie attraktiv für Dritte und wie schwer gegen ungewollten Zugriff zu schützen die Daten von „vernetztem Spielzeug“ sind, zeigt auch ein Hackerangriff auf die Firma V‑Tech (http://www.spiegel.de/netzwelt/gadgets/vtech-spielzeug-daten-von-elterm-und-kinder-erbeutet-a-1065182.html). Der Hersteller von Kindertablets und Lernsoftware aus China musste im November 2015 eingestehen, dass Hacker die bei V‑Tech gespeicherten Daten von mehr als 200.000 Kindern erbeutet hatten. Als Konsequenz hieraus änderte V‑Tech jüngst seine englischen Datenschutzbestimmungen. Darin heißt es jetzt sinngemäß, dass es sein könne, dass Dritte an die Daten gelangen (http://www.spiegel.de/netzwelt/gadgets/vtech-aerger-ueber-neue-agb-des-spielzeugherstellers-a-1076806.html). Dies ist kein angemessenes Datenschutzniveau für sensible „Kinderzimmerdaten“.

Vorbemerkung:
Die Bundesregierung geht davon aus, dass sich die Fragen 7 bis 13 der Kleinen Anfrage auf ein konkretes Produkt, die Puppe „My friend Cayla“ des SpielzeuganbietersToyQuest, beziehen.

Bei der Beantwortung der Fragen wird für die Funktionsweise der Puppe und die damit verbundene Datenerhebung, ‑verarbeitung und ‑nutzung von der Sachverhaltsdarstellung ausgegangen, wie sie der von den Fragestellern in Bezug genommenen Datenschutzerklärung des Spielzeuganbieters ToyQuest (Stand: 2014, http://myfriendcayla.de/datenschutz) entnommen werden kann.

1. Teilt die Bundesregierung die Auffassung, dass Kinder besonders verletzliche und außerordentlich schutzwürdige Verbraucher sind, für die der Staat eine besondere Verantwortung trägt?

Zu 1.

Die Verbraucherpolitik der Bundesregierung ist geleitet von einem differenzierten Verbraucherbild. Dieses berücksichtigt, dass Bedürfnisse, Interessen, Wissen und Verhalten der Verbraucher je nach Markt variieren. Um den unterschiedlichen Interessen, Kenntnissen und Bedürfnissen der Verbraucherinnen und Verbraucher verstärkt Rechnung zu tragen und damit die Teilhabe aller Verbraucherinnen und Verbraucher am Markt zu ermöglichen, berücksichtigt die Bundesregierung gezielt die Belange von besonderen Verbrauchergruppen in der Verbraucherpolitik.

Die Bundesregierung sieht Kinder wegen ihrer Minderjährigkeit in einer Vielzahl von Situationen als verletzliche und schutzbedürftige Verbraucherinnen und Verbraucher an.

2. Welche Maßnahmen hat die Bundesregierung bisher unternommen, um Eltern für die Risiken, die mit zuvor beschriebenem Spielzeug verbunden sind, zu sensibilisieren?

3. Was tut die Bundesregierung konkret, um auf das neuartige, vernetzte Spielzeug zu reagieren?

4. Was tut die Bundesregierung, um die Privat- und Intimsphäre von Kindern, die vernetztes Spielzeug benutzen, vor Ausforschungen durch Unternehmen zu Marktforschungszwecken zu schützen?

5. Wie kontrolliert sie den Erfolg dieser Bemühungen?

Zu 2. bis 5.
Die Fragen 2 bis 5 werden zusammenhängend beantwortet:

Bei digitalen Produkten und Diensten und damit auch bei vernetzten Geräten mit digitalen Funktionalitäten ist es für die Bundesregierung unabdingbar, dass die Verbraucherrechte gewahrt werden und Schutz und Sicherheit für alle Beteiligten gewährleistet sind. Dies gilt insbesondere für Produkte, die sich an Kinder als besonders verletzliche und schutzwürdige Verbraucher richten.

Bei einer vernetzten Puppe, die Gespräche aufnimmt und an das Spielzeugunternehmen oder Dritte überträgt, sind sensible Informationen aus dem persönlichen Umfeld und damit der Kernbereich privater Lebensführung betroffen. Hier müssen der Schutz der Privatsphäre, das Recht auf informationelle Selbstbestimmung und die Datensouveränität gewährleistet sein. Eine verständliche und umfassende Information der Verbraucher ist dafür unabdingbar. Die Bundesregierung tritt deshalb insbesondere dafür ein, dass bei allen digitalen Angeboten – so auch bei vernetzten Spielgeräten – Verbraucherinnen und Verbraucher die Kontroll- und Steuerungsmöglichkeiten erhalten und damit selbst über die Datenverarbeitung entscheiden können.

Bei einer Kinder betreffenden Datenverarbeitung ist die Einwilligung in eine Verarbeitung je nach Einzelfall, Alter und Spielzeug grundsätzlich durch die Eltern zu erteilen.

Die EU-Datenschutzgrundverordnung (DSGVO), die voraussichtlich ab Mitte 2018 anwendbar sein wird, sieht einige besondere Schutzregeln für Kinder vor.

Mit dem aus Bundesmitteln geförderten Marktwächter Digitale Welt, der zur Aufgabe hat, die digitalen Märkte zu beobachten und zu analysieren, Missstände an die Aufsichtsbehörden zu melden, die Politik zu beraten und die Verbraucherinnen und Verbraucher zu informieren, hat die Bundesregierung neben der etablierten Aufsicht ein effektives Instrumentarium zur Beobachtung des Marktgeschehens geschaffen, auch soweit es um digitale Angebote an Kinder geht. Verbraucherbeschwerden aus den rund 200 Beratungsstellen der Verbraucherzentralen und empirischen Untersuchungen helfen dem Marktwächter dabei, auch verbraucherschützende Aspekte vernetzten Spielzeugs in seine Betrachtungen einzubeziehen.

Zur Stärkung der Rechtsdurchsetzung im Verbraucherdatenschutz wurde am 23. Februar 2016 das Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts verkündet.

Zum besseren Schutz der Rechte der Verbraucher können seither neben den betroffenen Verbrauchern und den Datenschutzaufsichtsbehörden auch Verbände und Kammern gegen die unzulässige Erhebung, Verarbeitung oder Nutzung von Verbraucherdaten durch Unternehmer vorgehen.

Daneben fördert die Bundesregierung Projekte zur Stärkung der digitalen Kompetenzen der Verbraucherinnen und Verbraucher für Fragen des Schutzes und der Sicherheit im Internet, auch soweit es um Angebote für Kinder und Jugendliche geht.

Die Entwicklung digitaler Medienprodukte und die zunehmende Präsenz von Medien im Familienalltag erfordern eine bewusste Medienerziehung in Familien. Der u.a. aus Bundesmitteln finanzierte Erziehungsratgeber „Schau Hin! Was Dein Kind mit Medien macht.“ informiert Eltern und Erziehende über aktuelle Entwicklungen am Medienmarkt und bietet Familien Orientierung im Umgang mit Medien. Im Dezember 2015 wurde auf www.schau-hin.info eine Meldung zum Thema elektronisches und vernetztes Spielzeug veröffentlicht.

6. Welche Erkenntnisse hat die Bundesregierung über den Markt mit vernetztem Spielzeug in Deutschland? Welche Produkte werden bereits in Deutschland verkauft, wie sind die Verkaufszahlen?

Zu 6.
Der Bundesregierung liegen hierzu keine Erkenntnisse vor.

7 a) Hält die Bundesregierung die Einverständniserklärung von Eltern zur Aufnahme, Verarbeitung und Speicherung der „Gespräche“ ihres Kindes mit einer vernetzten Puppe durch Drittﬁrmen für wirksam?

Zu 7 a)

Die Einverständniserklärung gegenüber dem Spielzeuganbieter ToyQuest kann wirksam sein, wenn die Voraussetzungen des § 4a des Bundesdatenschutzgesetzes (BDSG) erfüllt sind. Nach § 4a BDSG ist eine Einwilligung nur wirksam, wenn sie auf der freien Entscheidung der Betroffenen beruht. Die Betroffenen sind auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung hinzuweisen. Grundsätzlich bedarf die Einwilligung der Schriftform. Sie kann jedoch auch in elektronischer Form abgegeben werden.

Im Falle der Puppe „My friend Cayla“ können die Eltern hierzu im Rahmen der online verfügbaren Datenschutzerklärung von ToyQuest eine sog. „Checkbox“ anklicken.

Die Nutzung der Puppe setzt voraus, dass die Eltern die App eines Drittanbieters installieren. Gegenüber diesem Dritten kann die Einverständniserklärung unter den Voraussetzungen der §§ 12, 13 des Telemediengesetzes (TMG) wirksam erteilt werden. Dies ist der Fall, wenn der Diensteanbieter die Hinweispflicht des § 13 Absatz 3 TMG erfüllt und zudem sicherstellt, dass die Eltern ihre Einwilligung bewusst und eindeutig erteilen, die Einwilligung protokolliert wird, die Eltern den Inhalt der Einwilligung jederzeit abrufen und die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können (§ 13 Absatz 2 TMG).

7 b) Falls ja, ist dies nach Auffassung der Bundesregierung auch mittels Allgemeiner Geschäftsbedingungen möglich, so wie bei der Puppe „My friend Cayla“?

Zu 7 b)
Nach § 4a BDSG bedarf die Einwilligung grundsätzlich der Schriftform. Wenn sie zusammen mit anderen Erklärungen erteilt wird, ist sie gemäß § 4a Absatz 1 S. 4 BDSG besonders hervorzuheben. Die Abgabe einer Einwilligungserklärung ohne gesonderten Hinweis nur durch die Bezugnahme auf die allgemeinen Geschäftsbedingungen (AGB) ist daher nach der geltenden Rechtslage nicht zulässig.

8. Wie stellt sich die Rechtslage nach Auffassung der Bundesregierung dar, wenn die Spielzeuge auch die Daten von unbeteiligten Dritten erfassen, verarbeiten und speichern, die nicht wissen, dass ein entsprechendes Spielzeug eingeschaltet und im Raum ist und die keine Einverständniserklärung gegeben haben?

Zu 8.

Sowohl nach dem BDSG als auch dem TMG ist eine Datenerhebung nur zulässig, wenn eine Rechtsvorschrift dies erlaubt oder eine Einwilligung vorliegt. Fehlt die Einwilligung Dritter, ist die Erhebung ihrer Daten mangels Erlaubnisnormen unzulässig.

9. Welche datenschutzrechtlichen Bestimmungen (BDSG, TMG, TKG usw.) kommen nach Auffassung der Bundesregierung für Puppen zum Tragen, die ganze Gespräche mitschneiden können?

Zu 9.

Gegenüber dem Spielzeuganbieter ToyQuest kommen insbesondere die für nicht-öffentliche Stellen geltenden Erlaubnistatbestände der §§ 28 ff. sowie die Vorschriften über die Betroffenenrechte in §§ 33 ff. BDSG zum Tragen.

Darüber hinaus sind die Vorschriften des TMG anwendbar, wenn personenbezogene Daten durch Diensteanbieter im Internet erhoben und verarbeitet werden. Die Diensteanbieter unterliegen besonderen Pflichten (insb. Unterrichtungspflichten sowie technische und organisatorische Sicherstellungspflichten). Personenbezogene Daten dürfen ohne Einwilligung nur verarbeitet werden, soweit dies für die Inanspruchnahme oder ggfs. Abrechnung der Dienstleistung erforderlich ist. Die Aufsicht über die Einhaltung der Datenschutzbestimmungen liegt in der Zuständigkeit der Datenschutzaufsichtsbehörden der Länder.

10. Wer sind die datenschutzrechtlich verantwortlichen Stellen für den Einsatz solcher Puppen und in welchem Verhältnis stehen mehrere gleichzeitig Verantwortliche zueinander?

Zu 10.

Nach § 3 Absatz 7 BDSG ist verantwortliche Stelle jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. Für die im Zusammenhang mit dem Gebrauch der Puppen erhobenen und verarbeiteten personenbezogenen Daten kommen mehrere verantwortliche Stellen in Betracht. Abhängig vom Umfang und Zweck der Verarbeitung können dies neben dem Spielzeuganbieter auch Anbieter von Diensten bzw. Apps sein. In welchem Verhältnis diese zueinander stehen, z. B. ob es sich um Auftragsdatenverarbeiter handelt, bedarf einer genauen Prüfung im jeweiligen Einzelfall. Diese Prüfung obliegt den dafür zuständigen Datenschutzaufsichtsbehörden.

Aus der Sachverhaltsdarstellung der Fragesteller ergeben sich keine Anhaltspunkte, die im Ergebnis eine datenschutzrechtliche Verantwortlichkeit der Eltern im Sinne von § 3 Absatz 7 BDSG begründen könnten.

11. Wie können nach Auffassung der Bundesregierung Eltern für die in der Regel nicht einwilligungsfähigen Kinder anstelle der Kinder einwilligen, wenn diese zugleich verantwortliche datenverarbeitende Stelle im Sinn der Datenschutzbestimmungen sind?

Zu 11.
Zur Frage der datenschutzrechtlichen Verantwortlichkeit der Eltern wird auf die Antwort zu Frage 10 verwiesen, zur Frage der Einwilligung der Eltern für die Kinder auf die Antwort zu Frage 7 a).

12. Wie stellt sich die Rechtslage nach Auffassung der Bundesregierung dar, wenn das Spielzeug die Gespräche mit Kindern erfasst, verarbeitet und speichert, deren Eltern nicht in die Nutzung eingewilligt haben?

Zu 12.
Auf die Antwort zu Frage 8 wird verwiesen.

13. Wie stellt sich die Rechtslage nach Auffassung der Bundesregierung hinsichtlich der Datenschutzgrundverordnung dar? Sieht die Bundesregierung hier mögliche Umsetzungsspielräume bei der Umsetzung in nationales Recht und wird sie diese wahrnehmen?

Zu 13.

Die verantwortliche Stelle ist in der DSGVO (Art. 4 Nr. 7) ebenso wie in Art. 2 Buchst. d) der bisher geltenden EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) definiert, die durch § 3 Absatz 7 BDSG umgesetzt worden ist.

Die DSGVO bringt mit Blick auf den räumlichen Anwendungsbereich der datenschutzrechtlichen Bestimmungen Neuerungen. In Art. 3 ist nunmehr das sog. Marktortprinzip verankert, d. h. das EU-Datenschutzrecht gilt auch für Unternehmen aus Nicht-EU-Staaten, die ihre Dienste oder Waren in der EU anbieten – unabhängig davon, ob sie in der EU eine Niederlassung haben. Öffnungsklauseln und damit Umsetzungsspielräume enthält die DSGVO insoweit nicht.

14. Hält die Bundesregierung vor dem Hintergrund einer Umfrage der Gesellschaft Public Relations Agenturen e. V.‚ der zufolge das Vertrauen von 90 % der Eltern in Spielzeug davon abhängt, ob dies „ungefährlich“ ist, vernetztes Spielzeug, das im Betriebsmodus ständig Daten über sein Umfeld an Dritte sendet, für „ungefährlich“?

Zu 14.

Vernetztes Spielzeug ebenso wie andere Produkte, die über das Internet kommunizieren und dabei unkontrolliert Daten an Dritte senden, gefährden das Recht auf informationelle Selbstbestimmung. Diese Produkte unterliegen, wenn die Kommunikation drahtlos erfolgt, zunächst den in der EU harmonisierten Bestimmungen über Funkanlagen. Sie müssen grundlegende Anforderungen beachten, um auf dem Markt bereitgestellt werden zu können. Dazu gehören nach der neuen europäischen Richtlinie 2014/53/EU über die Harmonisierung der Rechtsvorschriften der Mitgliedstaaten über die Bereitstellung von Funkanlagen auf dem Markt in bestimmten Kategorien oder Klassen, die die Europäische Kommission festlegt, auch Sicherheitsvorrichtungen, die sicherstellen, dass personenbezogene Daten und die Privatsphäre des Nutzers und des Teilnehmers geschützt werden. Damit soll gewährleistet werden, dass Daten erforderlichenfalls geschützt (verschlüsselt) übermittelt werden. Die Übermittlung von Daten an Diensteanbieter im Internet als solche ist davon aber nicht betroffen, wenn eine Funkanlage in Puppen oder anderen Produkten dafür bestimmt ist. Insoweit gelten die Datenschutzgesetze (vgl. Antwort zu Frage 9).

15. Welche Erkenntnisse hat die Bundesregierung über den Hackerangriff auf die Firma V- Tech und über die Auswirkungen für deutsche Verbraucherinnen und Verbraucher?

17. Hat die Bundesregierung Erkenntnisse über die Urheber der Attacke und wozu diese die Daten verwenden wollen?

18. Welche Stelle in der Bundesregierung hat sich mit dem Vorfall beschäftigt?

20. Zieht die Bundesregierung hieraus Schlüsse für ihre Cyber-Sicherheitsstrategie und wenn ja, welche?

Zu 15., 17., 18. und 20.
Die Fragen 15, 17, 18 und 20 werden zusammen beantwortet. Innerhalb der Bundesregierung liegen keine über die Presseberichte hinausgehenden Erkenntnisse zu dem Vorfall vor. Bislang werden zu dem Vorfall auch keine eigenen Ermittlungen angestellt.

16. Hat es im Zusammenhang mit diesem Angriff eine Information der zuständigen Behörden und/oder bundesdeutscher Nutzerinnen und Nutzer gemäß § 42a BDSG gegeben und wenn nein, weshalb nicht?

Zu 16.

Ob es eine Information im Sinne der Fragestellung gab, entzieht sich der Kenntnis der Bundesregierung. Es wird angeregt, sich an die für die Firma V‑Tech zuständige Landesdatenschutzaufsichtsbehörde zu wenden.

19. Hat die Bundesregierung die Firma kontaktiert, um sich über das Ausmaß zu informieren, falls nein, wieso nicht und falls ja, mit welchem Ergebnis?

Zu 19.
Nein. Zuständig für Fälle der unrechtmäßigen Kenntniserlangung von Daten sind die Landesdatenschutzaufsichtsbehörden (siehe Antwort zu Frage 16).

von Anna Biselli 4. Mai 2016 13
: Kurzanalyse: Internet, Datenschutz und TTIP

Pressekonferenz zu den #TTIPLeaks auf der re:publica. Foto: Greenpeace

: Kurzanalyse: Internet, Datenschutz und TTIP

Die Texte des Freihandelsabkommen TTIP sind auf dem Verhandlungsstand von April diesen Jahres geleaked und downloadbar. Wir haben gemeinsam mit EDRi die Stellen gesichtet, in denen es um das Internet geht. Hier ist eine allererste Kurzanalyse, unter anderem aus dem konsolidierten Text zur elektronischen Kommunikation:

Article X.5: Regulatory flexibility
Dieser Artikel enthält ähnliche Vorschläge, wie sie die USA im TiSA-Abkommen gemacht haben. Er gibt den nationalen Telekommunikationsregulierungsbehörden sehr viel mehr Macht als die EU ihnen bisher zuschreibt.

Article X.6: Review of legislation
Problem an diesem Artikel dürfte der Absatz „to repeal or modify any such regulation“ sein, der bedeutet dass die Regulierungsbehörden die Macht bekommen um Regulierungen aufzuheben oder zu ändern – und das ohne jegliche demokratische Rechenschaftspflicht und Verantwortlichkeit.

Article X.7 (1): Technological Neutrality
Der Text „No Party may prevent a supplied of telecommunications services from choosing the technologies it desires to use to supply its services subject to requirements necessary to satisfy legitimate public policy interests, provided that any measure restricting such choice is not prepared, adopted, or applied in a manner that creates unnecessary obstacles to trade“ ist der gleiche wie der US-Vorschlag in TiSA. Was aber könnten „unnötige Handelshindernisse“ sein? Könnte der EU-Datenschutz auf einmal als „unnötiges Handelshindernis“ interpretiert werden? Eines ist klar: unnötiges Handelshindernis ist eine viel zu breit interpretierbare Definition.

Article X.10: Access and Use
Hier bieten die Paragrafen 3 und 4 keinen Datenschutz, wie er in der Datenschutz-Grundverordnung oder der E‑Privacy Directive festgeschrieben ist.

Article X.10(3):
Der Artikel sagt, dass ein EU-Land sicherstellen muss, dass eine US-Firma öffentliche Telekommunikationsdienstleistungen nutzen darf „for the movement of information“ und für „information contained in databases or otherwise stored in machine-readable form“. Was ist aber, wenn die Firma europäische Datenschutzrichtlinien nicht respektiert? Paragraf 4 sagt sehr klar, welche Bedingungen dafür erfüllt werden müssen – Datenschutz und Privatsphäre gehören nicht dazu.

Article 48:
In Artikel 48 geht es um die Vertraulichkeit von Information. Es heißt: „Each Party shall ensure the confidentiality of electronic communications and related traffic data by means of a public electronic communication network and publicly available electronic communications services without restricting trade in services.“ Die Einschränkung am Ende kann heißen, dass Vertraulichkeit von Information zum Handelshindernis erklärt werden kann.

Wir sichten die TTIP-Dokumente nach weiteren Feldern wie „geistiges Eigentum“ und liefern dann später nochmal umfassender nach. Unter der Überschrift „TTIP: Intransparenz, Protest und Winkekatzen“ haben wir zudem einen Überblick über die anderen Politikfelder sowie die Geschichte des Abkommens aufbereitet.

von Markus Reuter 2. Mai 2016 33
: Massenbeschlagnahme von Mobiltelefonen in Leipzig: Fast alle Verfahren eingestellt

Polizei beginnt, Einzelne aus der Kundgebung herauszulösen und auf einem Parkplatz zu durchsuchen. Personen werden fotografiert, Mobiltelefone beschlagnahmt. (Bild: Zusendung)

: Massenbeschlagnahme von Mobiltelefonen in Leipzig: Fast alle Verfahren eingestellt

Vor über einem Jahr hatte die Polizei in Leipzig eine linke Spontandemonstration festgesetzt. Ein größerer Teil der 600 Teilnehmenden konnte die Polizeisperren durchfließen, rund 200 Personen wurden jedoch eingekesselt und durchsucht, alle dabei gefundenen elektronischen Geräte und Speichermedien einkassiert.

Eine Kleine Anfrage im sächsischen Landtag förderte zutage, dass die Polizei 150 Handys, sechs SIM-Karten, sechs SD-Karten und drei iPods beschlagnahmt hatte. Die Maßnahme wurde mit vermeintlichem Landfriedensbruch begründet, die Polizei interessierte sich laut eigener Aussage vor allem für Fotos auf den Geräten.

Wir hatten die Polizeiaktion damals als eine der größten Massen-Beschlagnahmungen von Kommunikationsgeräten bei politischen Versammlungen bezeichnet. Die forensische Auswertung der Geräte diente wohl als Testlabor zum Ausprobieren von Software zum Auslesen und Auswerten. In Sachsen wird Software der israelischen Firma Cellebrite genutzt, außerdem Anwendungen von fünf anderen Anbietern.

Verschlüsseln hilft

Mit 42 Personen hatte die Polizei „zur Zugangserlangung Rücksprache geführt“. Das Auslesen geschah in den meisten Fällen ohne Mithilfe der Betroffenen, nur 13 von ihnen gaben laut dem Landtag die Zugangsdaten heraus. Die Antwort vom Dezember 2015 könnte so verstanden werden, dass Verschlüsselung und das Stillschweigen zu Passwörtern gegen die weitere Beschlagnahme hilft:

In den Fällen, in denen die beschlagnahmten elektronischen Geräte nicht auslesbar waren, ist eine Rückgabe an die Eigentümer durch die Staatsanwaltschaft verfügt worden.

Angeblich stand das ermittelnde Landeskriminalamt (LKA) vor größeren technischen Problemen, weshalb sich die Herausgabe lange verzögerte. Im Dezember befanden sich weiterhin 31 Mobiltelefone, vier SIM-Karten, ein iPod und ein USB-Stick in den Asservaten. Einige der BesitzerInnen hatten sich trotz Benachrichtigung zur Abholung nicht bei der Polizei gemeldet, andere konnte der Brief des LKA nicht zugestellt werden, in einem Fall war die Zustelladresse im Ausland.

Nach 15 Monaten zieht die sächsische Landtagsabgeordnete Jule Nagel Bilanz. So war die Zahl der Beschuldigten wegen Landfriedensbruchs „in einem besonders schweren Fall“ im Laufe des Ermittlungsverfahrens auf 198 gestiegen. Kaum bekannt jedoch: 191 Verfahren sind wegen fehlendem „hinreichenden Tatverdacht für eine Strafbarkeit“ eingestellt worden. Sieben Ermittlungsverfahren dauern an, hinzu kommt eines gegen unbekannte Tatverdächtige.

„Daten(schutz-)Gau“

Der Leipziger Ermittlungsausschuss hat allen Betroffenen deren Verfahren eingestellt worden sind empfohlen, vorsorglich die Löschung aller angehäufter Informationen zu stellen. Ein Musterschreiben dazu gibt es online. Vielleicht wäre es aber sinnvoll, zuvor ein Auskunftsersuchen zu stellen und den Umfang der bei Polizeibehörden gespeicherten eigenen Daten abzufragen.

Jule Nagel dazu:

Die Beschlagnahmung von 150 Handys und weiteren technischen Geräten, von denen mehr als die Hälfte ausgelesen werden konnte, kann als Daten(schutz-)Gau bezeichnet werden, auch wenn sich die Polizei wohl im Rahmen bestehender Gesetze bewegt hat.
Hinzu kommt die weitere Speicherung der Daten: Bereits in Antwort auf meine Kleine Anfrage vom Dezember 2015 gab die Staatsregierung an, dass eine Löschung der im Zuge der Auslesung von Mobilfunktelefonen und anderen Datenträgern gewonnenen Daten – auch denen der bereits eingestellten Verfahren – erst dann erfolgt, wenn endgültig feststeht, dass sie keine Verfahrensrelevanz mehr haben. Dies wird erst geschehen, wenn alle Verfahren im Zusammenhang mit dem 15.1.2015 abgeschlossen sind. Die personenbezogenen Daten der Beschuldigten bleiben bis zum Ablauf der Verjährungsfrist für die jeweilige Straftat in der staatsanwaltschaftlichen Verfahrensdatenbank zur Unterstützung der Vorgangsverwaltung gespeichert.

von Matthias Monroy 29. April 2016 26
: Bundesrat fordert Vorratsdatenspeicherung bei Messengerdiensten wie WhatsApp, Line und Telegram

<a href="https://creativecommons.org/licenses/by-nc-nd/2.0/" >CC BY-NC-ND 2.0</a> by <a href="https://www.flickr.com/photos/qiaomeng/6069681086/" >SimonQ錫濛譙</a>

: Bundesrat fordert Vorratsdatenspeicherung bei Messengerdiensten wie WhatsApp, Line und Telegram

Der Bundesrat hat die Regierung zur Überprüfung des nationalen Telekommunikationsrechtsrahmens aufgefordert, um diesen an die neuen digitalen Kommunikationsformen anzupassen. Vor allem bei Messengerdiensten, standortbezogenen Diensten, der Machine-to-Machine-Kommunikation und der Regulierung von sogenannten Over-the-Top-Anbietern sieht der Bundesrat Änderungsdedarf. Entsprechende Regelungen sollen „unter Berücksichtigung des Schutzes der Privatsphäre der Nutzer“ angepasst werden.

Die Repräsentanten der Bundesländer sprachen sich in einem Beschluss (PDF) für eine rechtliche Gleichstellung von Diensten beziehungsweise Kommunikationsformen aus, die sich funktionell gleichen.

Bislang fielen Messengerdienste wie Skype oder Whatsapp auf Grund ihrer technischen Konfiguration unter das Telemediengesetz. Dieses reguliert die Speicherung und Nutzung von Kundendaten relativ liberal und erlaubt den Anbietern beispielsweise das Erstellen von Nutzungsprofilen anhand von Verkehrsdaten.

Der Bundesrat argumentierte für ein „gleiches Schutzniveau“ indem „die Anwendung der im Telekommunikationsgesetz geregelten Vorschriften zum Kundenschutz, zur Marktregulierung, zum Fernmeldegeheimnis und zum Datenschutz für Dienste gleicher Funktionalität“ sichergestellt werde.

In Abhängigkeit von der technischen Ausgestaltung des Messengerdienstes ist die Anwendbarkeit und Durchsetzung des TKG nicht sichergestellt. Messengerdienste, die nach bisheriger Abgrenzung nicht dem TKG unterliegen, haben bezüglich der Verkehrsdaten und vor allem der Inhalte der Kommunikation ein deutlich geringeres Schutzniveau. Für Nutzer ist nicht unterscheidbar, welche technische Lösung bei welchem Messengerdienst greift. Deshalb sollte ein dem TKG entsprechendes Schutzniveau bei allen Diensten mit entsprechender Funktionalität sichergestellt werden.

Dies bedeutet allerdings, dass die im TKG festgelegte Vorratsdatenspeicherung (VDS) auch auf entsprechende Messengerdienste Anwendung finden würde. Wenn die Bundesregierung den Forderungen nach rechtlicher Gleichbehandlung von Messengerdiensten und traditioneller Telekommunikation auf Grundlage des TKG nachgeben sollte, wären zukünftig auch Messengerdienste verpflichtet die Verbindungsdaten ihrer Nutzer anlasslos zu speichern.

Der Bundesrat hatte vergangenen November der Wiedereinführung der anlasslosen gesetzlichen Speicherung von Verbindungs- und Standortdaten zugestimmt.

Bundesrat drängt Bundesregierung zu zügigem Handeln

Die „Digital Single Market“-Strategie der EU-Kommission verlangt eine Erneuerung des Telekommunikationsrechts. Allerdings wird die Veränderung des europäischen Rechtsrahmens laut der Bundesratsinitiative „erst mittelfristig greifen“, sodass der Bundesrat die baldige Angleichung der nationalen rechtlichen Bedingungen fordert.

Außerdem drängt die Bundesratsinitiative auf rechtliche Klarheit bei Standort-Diensten. Aus der gesonderten Regelung des TKG gehe nicht eindeutig hervor, ob sie neben der Funkzellenbestimmung auch die Erhebung und Verwertung von GPS-Daten umfasst.

„[Machine-to-Machine] steht für den automatisierten Informationsaustausch zwischen technischen Systemen wie Maschinen, Fahrzeugen oder auch Containern untereinander oder mit einer zentralen Stelle.“ Der Bundesrat geht von einer Vielzahl von neuen Anschlüssen dieser Geräte in der nahen Zukunft aus und fragt nach den Auswirkungen auf die im TKG geregelte Nummerierungs-Praxis.

Zudem soll nach Meinung des Bundesrats die Regulierung von Online-Plattformen wie facebook und Google geändert werden. Es soll überprüft werden, ob die entsprechenden Regelungen im TKG hinsichtlich des Kundenschutzes und der öffentlichen Sicherheit zutreffend sind.

Die Initiative erwartet einen „entsprechenden Fortschrittsbericht“ des Bundesregierung bis Herbst 2016.

von Jonas Klaus 25. April 2016 49
: Big Brother Awards 2016 – „Lifetime-Award“ für den Verfassungsschutz

Bild: <a href="https://www.flickr.com/photos/visualterrorsquad/3697067250/">Photon</a> [CC BY-NC-ND 2.0]

: Big Brother Awards 2016 – „Lifetime-Award“ für den Verfassungsschutz

Zum 17. Mal werden heute in Bielefeld die Big Brother Awards an Firmen, Organisationen und Personen verliehen, die in besonderer Weise und nachhaltig die Privatsphäre von Menschen beeinträchtigen.

von Ben Siegler 22. April 2016 9
: EU-Parlament beschließt Datenschutzgrundverordnung

Das EU-Parlament kann in zweiter Lesung die Regeln zur Netzneutralität absegnen – oder sie in letzter Minute verbessern. <a href="https://creativecommons.org/licenses/by-nc-nd/2.0/">CC BY-NC-ND 2.0</a>, via flickr/<a href="https://www.flickr.com/photos/eeas/15705313487/">European External Action Service</a>

: EU-Parlament beschließt Datenschutzgrundverordnung

Das Europäische Parlament hat heute Mittag die Datenschutzgrundverordnung beschlossen. Wir fassen zusammen, was sich nach jahrelanger Debatte und großer Lobbyschlacht ändern wird, und sammeln die ersten Reaktionen.

Vier Jahre sind vergangen, seit die Europäische Kommission 2012 ihren ersten Entwurf für eine Neuordnung und Vereinheitlichung des europäischen Datenschutzes vorgelegt hat. Die nun beschlossene Verordnung ersetzt die seit 1995 bestehende Datenschutzrichtlinie, welche manche als technisch überholt ansehen, die aber grundlegende Prinzipien wie Zweckbindung und Datensparsamkeit zum europaweiten Standard machte. Sie regelt, welche persönlichen Informationen Unternehmen sammeln und (Stichwort „Zweckbindung“) kombinieren dürfen.

Die Verordnung tritt 20 Tage nach Veröffentlichung im Amtsblatt in Kraft und wird in zwei Jahren wirksam sein.
(In einer früheren Version des Artikels stand fälschlicherweise, dass sie erst in nationales Recht umgesetzt werden muss. Das ist nun korrigiert.)

Was ändert sich?

Laut dem Verhandlungsführer des Europäischen Parlaments, Jan Philipp Albrecht von den Grünen, handelt es sich bei der Reform um einen „großen Schritt für die Grundrechte, für den Verbraucherschutz und einen fairen Wettbewerb“. Nicht jeder teilt diese Meinung uneingeschränkt, von Datenschützer-Seite werden einige der eingegangenen Kompromisse kritisiert, von Wirtschaftsseite wird über die viele Öffnungsklauseln geklagt. Die erlauben nämlich den einzelnen europäischen Staaten, in nationalen Gesetzen Abweichung von der ansonsten bindenden Verordnung zu gestalten.

Doch was ändert sich genau durch die neuen Regelungen? Ein kurzer Überblick über die wichtigsten Änderungen:

Marktortprinzip: Das Datenschutzrecht gilt nun für alle Unternehmen, die auf dem europäischen Markt tätig sind, egal ob sie hier ihren Sitz haben oder nicht. Es ist ebenso egal, wo die Datenverarbeitung stattfindet, da jede Verarbeitung von personenbezogenen Daten von Nutzer*innen aus der EU unter den Anwendungsbereich der Grundverordnung fällt.

Einwilligung & Auskunftsrecht: Verarbeiten Unternehmen persönliche Daten, müssen sie dazu eine ausdrückliche Zustimmung von ihren Kunden einholen. Diese können jederzeit Auskunft über die gespeicherten Daten einfordern oder ihre Einwilligung zurückrufen.

Datenübertragbarkeit: Neu ist, dass Nutzer*innen ihre persönlichen Daten (Fotos, Posts, Freundeslisten) von einem kommerziellen Dienstleister wie etwa Facebook zu einem anderen mitnehmen können. Wie dies in der Praxis genau funktionieren soll, ist allerdings noch unklar.

Recht auf Vergessenwerden: Seit einem Urteil des Europäischen Gerichtshofs muss Google auf Verlangen von Nutzer*innen Suchergebnisse, welche auf sie bezogene Daten beinhalten, löschen. Dieses Recht wird nun für alle Unternehmen festgeschrieben. Sie müssen zukünftig persönliche Daten auf Wunsch der Betroffenen löschen.

Härtere Strafen: Verstoßen Unternehmen gegen die Datenschutzregeln, müssen sie bis zu vier Prozent ihres Jahresumsatzes als Strafe zahlen. In einem früheren Entwurf war sogar bis zu fünf Prozent des Jahresumsatzes als Strafe vorgesehen, das wurde aber abgeschwächt.

Mindestalter: Hier lässt die Grundverordnung Spielraum für die Mitgliedstaaten. Sie dürfen entscheiden, ab wann sich Kinder und Jugendliche ohne Zustimmung der Eltern bei Webseiten rechtswirksam anmelden dürfen. Das könnte dazu führen, dass sich in einigen EU-Staaten Kinder bereits ab 13 Jahren beispielsweise bei Facebook anmelden dürfen, während sie in anderen Ländern noch bis zum 16. Geburtstag die Zustimmung ihrer Eltern dafür benötigen.

Vereinfachte Beschwerden: Max Schrems musste sich noch bei der Datenschutzbehörde in Irland über die Geschäftspraktiken von Facebook beschweren, weil das Unternehmen dort seine europäische Niederlassung hat. In Zukunft wird es möglich sein, bei der Datenschutzbehörde des eigenen Landes Beschwerde einzureichen. Auch dürfen künftig Verbände im Auftrag von Verbrauchern klagen.

Reaktionen

Gestartet als ambitionierter Versuch, die Rechte von Verbraucher*innen gegenüber Firmen und Behörden zu stärken, ist laut einigen Kritiker*innen ein verwässerter Kompromiss herausgekommen, der die Gerichte wohl noch für Jahre beschäftigen wird. Wir dokumentieren erste Reaktionen auf die Verabschiedung der Grundverordnung:

Digitale Gesellschaft – „Verabschiedung von Mindeststandards nach jahrelangem Reformprozess“:

Die ambitionierten Ziele, die zu Beginn des Prozesses ausgerufen wurden, werden damit leider nicht erreicht und teils sogar in ihr Gegenteil verkehrt. In Anbetracht der jahrelangen Versuche der Bundesregierung, die Reform zu verzögern und Schutzmechanismen für Verbraucherinnen und Verbraucher zu torpedieren, muss allerdings das bloße Zustandekommen der Novelle bereits als Erfolg gewertet werden.

Verbraucherzentrale Bundesverband – „Besserer Datenschutz für Verbraucher“:

Das Ja zur EU-Datenschutzverordnung ist eine gute Nachricht für Verbraucher und Unternehmen. Endlich gelten europaweit einheitliche und zeitgemäße Spielregeln beim Datenschutz.

Bitkom – „Datenschutzverordnung sollte einheitlich angewendet werden“:

Viele Regelungen der neuen Datenschutzverordnung sind so allgemein formuliert, dass nicht auf den ersten Blick klar ist, wie sie in der Praxis umgesetzt werden sollen. Das wird in der Anfangszeit zu einer gewissen Rechtsunsicherheit führen.

European Digital Rights – Pressemitteilung:

We regret that much of the ambition of the original data protection package was lost, due to one of the biggest lobbying campaigns in European history. However, we congratulate the European Parliament and, in particular, the successful Luxembourg Presidency of the EU last year, for saving the essence of European data protection legislation.

von Simon Rebiger 14. April 2016 17
: Wahrscheinlich Server falsch konfiguriert, aber Mediengruppe DuMont gibt „Hackerangriff“ die Schuld [Update]

Logo der DuMont-Mediengruppe <br /> via wikipedia

: Wahrscheinlich Server falsch konfiguriert, aber Mediengruppe DuMont gibt „Hackerangriff“ die Schuld [Update]

In einer Pressemitteilung hat die DuMont-Mediengruppe gestern über einen angeblichen Hackangriff auf ihre Server berichtet. Als Reaktion habe man alle betroffenen Systeme abgeschaltet und die Kunden aufgerufen, ihre Passwörter zu ändern. Allerdings scheint der wahre Grund für die Sicherheitslücke eine falsche Konfiguration der internen Server gewesen zu sein.

In der Nacht zum Sonntag waren einige Internetauftritte der Mediengruppe nicht mehr verfügbar. Auf Twitter machte ein Link die Runde, der auf den offenen Server verwies. Folgte man diesem Link, erhielt man Zugriff auf die Quelldateien des verwendeten Content Management Sytems Perch und die Zugangsdaten der Datenbank. Die Logdateien der Zugriffe von Abo-Kunden waren ebenso einsehbar wie deren im Klartext gespeicherten Passwörter, Namen, E‑Mail-Adressen und Zugriffsdaten. Außerdem waren 250 eingescannte Studienbescheinigungen, die Studierende dem Kölner Stadtanzeiger geschickt hatten, verfügbar.

Fahrlässig: Kundenpasswörter lagen unverschlüsselt auf Server

Der Kreis der Betroffenen dürfte recht groß sein, denn zu DuMont gehören unter anderem folgende Medien: Kölner Stadt-Anzeiger, Kölnische Rundschau, Berliner Zeitung, Mitteldeutsche Zeitung, EXPRESS, Berliner Kurier, Hamburger Morgenpost, außerdem verschiedene regionale Anzeigenblätter sowie lokale Radio- und TV-Sender wie Köln.tv, TV Halle und joiz Germany.

Die Folgen des fahrlässigen Umgangs mit den eigenen Servern tat man mit den Worten ab, es handele „sich wahrscheinlich um einen Zugriff Dritter auf Serverdaten und zum anderem um die Webauftritte der Portale, die seit der Nacht zu Sonntag nicht mehr erreichbar sind.“ Der kritische Zustand der Server dauerte mehrere Stunden an, laut DuMont wurde die „Sicherheitslücke noch am Sonntagmorgen geschlossen.“

IT-Sicherheit scheint bei DuMont nicht besonders groß geschrieben zu werden: Alle Kundenpasswörter lagen unverschlüsselt als Textdateien auf dem Server. Dazu gab es bislang kein Kommentar seitens DuMont. Telefonisch war bei dem Unternehmen heute niemand erreichbar um Auskunft über die Hintergründe zu geben. Auf Rückfrage per E‑Mail äußerte Kommunikationsleiter Björn Schmidt, man befünde sich noch in der Analyse und werde „so schnell wie möglich weitere Erkenntnisse kommunizieren“. Merkwürdig nur, dass bei DuMont das Datenleck schon vor dem Abschluss der Analyse als Hackangriff deklariert wurde.

[Update, 12.4., 13:] In einer gestern Abend veröffentlichten Pressemitteilung hat DuMont nun seine Aussage korrigiert. Statt eines Hackangriffs sei eine Störung ursächlich für die Komplikationen gewesen. „Aufgrund einer technischen Panne waren für einen kurzen Zeitraum Daten für Außenstehende sichtbar“, so der Verlag. Man werde alle Kunden persönlich informieren.

Nach der bisherigen Analyse handelt es sich bei den Daten, die betroffen sein können, um Informationen aus E‑Paper-Abonnements aus Köln, Berlin und Hamburg. Ob über die gesicherten Erkenntnisse hinaus der Zugriff auf weitere Daten möglich war, wird derzeit analysiert.

von Jonas Klaus 11. April 2016 14
: Konferenz der Datenschutzbeauftragten: Notfalls gegen Privacy Shield klagen.

"They put ten layers of lipstick on a pig" - Max Schrems <a href="https://twitter.com/maxschrems/status/704278172708302848">via Twitter</a>

: Konferenz der Datenschutzbeauftragten: Notfalls gegen Privacy Shield klagen.

Am 6. und 7. April tagten die Datenschutzbehörden des Bundes und der Länder in Schwerin, dabei ging es auch um Privacy Shield, den Safe-Harbor-Nachfolger, der in Zukunft den Datenaustausch zwischen Firmen in der EU und den USA regeln soll. Safe Harbor war vom Europäischen Gerichtshof für ungültig erklärt worden und auch Privacy Shield zog massive Kritik auf sich, da es mitnichten einen einheitlichen Datenschutzstandard dies- und jenseits des Atlantiks garantiert.

Auch die Datenschutzbeauftragten sehen noch einige Fragezeichen und wollen diese in der Artikel-29-Gruppe zur Sprache bringen. Die Artikel-29-Gruppe besteht aus den Datenschutzbeauftragten der EU-Mitgliedsstaaten und dem EU-Datenschutzbeauftragten und berät die EU-Kommission in Datenschutzfragen.

Der bisher vorgelegte Entwurf genüge nicht, um ein angemessenes Datenschutzniveau zu garantieren. Besonders beim Thema Nationale Sicherheit gibt es Probleme, daran scheiterte bereits Safe Harbor. In den USA ist die Weiterleitung von Daten an US-Geheimdienste standardmäßig und ohne große Hürden vorgesehen. Um europäischem Recht zu entsprechen, müsste diese Standardweiterleitung gestrichen werden. Privacy Shield gibt vor, diese Weiterleitung klar begrenzen zu wollen, Massenüberwachungsdaten dürften nur noch in sechs Fällen genutzt werden. Doch dazu gehören dehnbare Begriffe wie „Cybersecurity“ und „länderübergreifende kriminelle Bedrohungen“.

Die Empfehlungen der Artikel-29-Gruppe sind für die Kommission nicht bindend, doch in dem Beschluss der deutschen Datenschutzbehörden findet sich folgender Absatz:

Sollte die [EU-Kommission] die Adäquanzentscheidung treffen, ohne die Defizite auszuräumen, wird die Art-29-Gruppe befürworten, dass diese Entscheidung (etwa durch Musterklagen einzelner Datenschutzaufsichtsbehörden) durch Vorlage an den EuGH überprüft wird.

Die gemeinsame Stellungnahme der Artikel-29-Gruppe wird bald erwartet. Es bleibt spannend, ob die Punkte des deutschen Beschlusses aufgegriffen werden, wie sich die Kommission entscheidet und ob es letztlich wieder einmal zu einer Klage kommen wird.

Neben Privacy Shield beschäftigten sich die Datenschutzbeauftragten außerdem mit Wearables, Terrorismusbekämpfung und der EU-Datenschutzgrundverordnung. Die Beschlüsse lassen sich hier nachlesen.

von Anna Biselli 8. April 2016 3
: Privacy Shield: Bundesregierung vertraut auf US-Versprechen

Umstritten: Der Schutz der EU-Bürger durch das "Privacy Shield" (MatthiasKabel/CC BY-SA 3.0)

: Privacy Shield: Bundesregierung vertraut auf US-Versprechen

Vergangenen Oktober hatte der Europäische Gerichtshof (EuGH) das Safe-Harbor-Abkommen zwischen der EU und den USA aus datenschutzrechtlichen Gründen für ungültig erklärt. Seitdem plant die Europäische Kommission eine Nachfolgeregelung, die den Schutz der Grundrechte der europäischen Bürger bei der Übermittlung von Daten in die USA gewährleisten soll. Im Februar hatten sich die EU-Kommission und die Vereinigten Staaten auf einen neuen Rahmen für die transatlantische Übermittlung von Daten für kommerzielle Zwecke geeinigt. Dieser trägt den Namen Privacy Shield und soll mit den europäischen Datenschutzbestimmungen vereinbar sein.

Die Bundesregierung hat nun in einer Antwort auf eine Kleine Anfrage der Grünen-Fraktion (PDF) im Bundestag ihre Position zur umstrittenen Neuregelung des transatlantischen Datenaustauschs dargestellt und sich für eine rasche Einführung ausgesprochen. Das geht aus einer gestern veröffentlichten Pressemitteilung hervor. Heute will der EU-Innenauschuss erstmals zum Privacy Schild beraten und Einzelheiten zum geplanten „Datenschutzschild“ klären.

Privacy Shield – Safe Harbor 2.0?

Grund für das Urteil des Europäischen Gerichtshofs (PDF), die zuvor geltende Safe-Harbor-Regelung abzulehnen, war dessen Unvereinbarkeit mit der europäischen Grundrechtscharta. Durch die Snowden-Enthüllungen 2013 war bekannt geworden, dass Safe Harbor die persönlichen Daten von EU-Bürgern, vor dem Hintergrund geheimdienstlicher Überwachungs- aktivitäten der USA, nicht adäquat schützen kann. Das sollte sich mit Privacy Shield ändern.

Doch auch das geplante Privacy-Shield-Abkommen scheint die an der alten Vereinbarung geäußerten Bedenken und Kritik nicht ausräumen zu können. So forderten im März 2013 verschiedene zivilgesellschaftliche Gruppen in einem Brief (PDF) entschiedene Nachbesserungen an der Neuregelung. „Bei den Schutzrechten von Europäerinnen und Europäern im Falle von Datensammlungen durch US-Unternehmen, bei den Rechtsschutzmöglichkeiten und bei Fragen der Transparenz“ müsse entschieden nachgebessert werden.

Verstärkte NSA-Kooperation und datenschutzrechtliche Bemühungen

Ausgangspunkt der Anfrage der Grünen-Bundestagsfraktion (PDF) waren ebenfalls Bedenken an der Neuregelung des Datentransfers sowie Kritik an der Bundesregierung. Außerdem fragte sie die Bundesregierung nach ihrem Bemühen bezüglich der Schaffung von Rechtssicherheit, die unter anderem von Wirschaftsverbänden gefordert wurde.

Sie werfen der Bundesregierung vor, anstatt sich für entsprechende Lösungen einzusetzen, „ihre Kooperation mit der für das Urteil ursächlich gewordenen US-amerikanischen National Security Agency (NSA)“ weiter auszubauen, obwohl der EuGH moniert hatte, dass die weitgehenden Zugriffsmöglichkeiten von Sicherheitsbehörden nicht mit einem angemessenen Schutzniveau für Datentransfers vereinbar seien.

Die Anfrage forderte auch eine Positionierung der Bundesregierung bei dem Konflikt zwischen unkontrollierter Geheimdienstpolitik westlicher Regierungen und der Gewährleistung von Menschen- und Grundrechten. Zudem wollte die Fraktion die „Unterschiede zwischen US- und EU-Recht zur Frage der Schutzwürdigkeit von Privatsphäre und Privatheit“ erörtert haben und wissen, wie man die vom EuGH monierten Praktiken effektiv abzustellen versuche.

Bundesregierung vertraut auf US-Garantien

Die Bundesregierung sprach sich in ihrer Antwort grundsätzlich für das vom EuGH geforderte Schutzniveau aus, welches dem der EU entsprechen soll und sich „aufgrund der Richtlinie 95/46 im Licht der Charta“ ergibt. Zudem stellte man klar, dass der neue Entwurf im Anhang „sieben Schreiben der US-Administration mit von US-Unternehmen einzuhaltenden Datenschutzgrundsätzen sowie Zusicherungen der US-Regierung zu Garantien und Beschränkungen für den behördlichen Datenzugriff“ beinhalte.

Man erklärte, dass das Vertrauen in die Einhaltung von Datenschutzbestimmungen durch US-Geheimdienstverantwortliche sich „auf Zusagen der US-Regierung auf höchster politischer Ebene“ stütze. Die Tatsache, „dass diese veranlassten, z. B. heimlich den Telefonverkehr der Bundeskanzlerin abzuhören, und selbst gegenüber ihrem eigenen Parlament ein […] stark taktisches Verhältnis zur Wahrheitspflicht offenbaren“, scheint dem keinen Abbruch zu tun.

Die gesetzlichen Veränderungen der US-Rechtslage zur Einschränkung der Zugriffsmöglichkeiten der US-Behörden auf Daten von EU-Bürgern hält die Bundesregierung für ausreichend, obwohl der Zugriff „durch gezielte Anfragen an US-Telekommunikationsunternehmen“ immer noch möglich ist und etablierte datenschutzrechtliche Grundsätze nur gültig sind, „soweit mit nationalen Sicherheitsbelangen vereinbar“.

„Umbrella Agreement“ nicht im „Anwendungsbereich der Datenschutzrichtlinie“

Das „Umbrella Agreement“ ist ein transatlantisches Rahmenabkommen zum Datenschutz bezüglich der Verfolgung von Straftaten und besteht neben dem geplanten Privacy Shield. Zu einer möglichen Einschneidung der Beanspruchung eines gerichtlichen Rechtschutzes vor dem EuGH durch das Abkommen wollte sich die Bundesregierung, mit Verweis auf das noch nicht abgeschlossene Vertragsschlussverfahren, nicht äußern. Entgegen den Auffassungen des juristischen Dienstes des EU-Parlaments (PDF) ist die Bundesregierung der Meinung, das „Umbrella Agreement“ falle nicht unter den „Anwendungsbereich der Datenschutzrichtlinie und folglich auch nicht [die im] ‚Safe Harbor‘-Urteil vom EuGH aufgestellten Anforderungen“.

Verarbeitungen, „die die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates und die Tätigkeiten des Staates im strafrechtlichen Bereich betreffen“, fielen nicht unter den Anwendungsbereich der EU-Datenschutzrichtlinie.

Damit hat es die Bundesregierung wiedermal versäumt, sich klar zur Unantastbarkeit europäischer (Datenschutz-)Grundrechte zu bekennen. Wir werden weiterhin über die Entwicklung von Privacy Shield“ berichten, sobald Verhandlungsergebnisse des EU-Innenausschusses vorliegen.

Antwort auf die Kleine Anfrage aus dem PDF befreit

Kleine Anfrage

der Abgeordneten Dr. Konstantin von Notz, Renate Künast, Dieter Janecek, Luise Amtsberg, Volker Beck (Köln), Katja Keul, Monika Lazar, Irene Mihalic, Özcan Mutlu, Tabea Rößner, Ulle Schauws, Hans-Christian Ströbele und der Fraktion BÜNDNIS 90/DIE GRÜNEN

Konsequenzen aus dem „Safe Harbor“-Urteil des Europäischen Gerichtshofs

Vorbemerkung der Fragesteller:

Der Europäische Gerichtshof (EuGH) hat am 6. Oktober 2015 die sogenannte „Safe Harbor“-Regelung der Europäischen Kommission mit den Vereinigten Staaten von Amerika für unwirksam erklärt, ohne Übergangsfrist. Seit diesem Datum ist damit die notwendige zentrale Rechtsgrundlage der Privatwirtschaft für Informations- bzw. Datentransfers in die USA entfallen. Das Urteil betrifft über 4 000 Unternehmen, darunter auch zahlreiche bundesdeutsche Unternehmen. Nach Ablauf der von der Artikel-29-Gruppe der Datenschutzbeauftragten der EU-Mitgliedstaaten ausgesprochenen Frist präsentierte die Europäische Kommission am 2. Februar 2016 mündlich Inhalte einer Einigung mit den USA unter dem Namen EU-US Privacy Shield.

Über eigene Aktivitäten der Bundesregierung zur Lösung der nach dem EuGH-Urteil eingetretenen, auch nach der jüngsten Einigung unverändert rechtlich unsicheren Situation ist bislang nichts bekannt. Die Bundesregierung baut vielmehr ihre Kooperation mit der für das Urteil ursächlich gewordenen US-amerikanischen National Security Agency (NSA) weiter aus (vgl. Süddeutsche Zeitung vom 8. Januar 2016, BND und NSA kooperieren wieder in Bad Aibling, abrufbar unter: www.sueddeutsche.de/politik/abhoerskandal-bnd-und-nsa-kooperieren-wieder-in-bad-aibling‑1.2810828, zuletzt abgerufen am 2. Februar 2016). Dabei wirft die im Lichte der Enthüllungen von Edward Snowden getroffene, in seiner Reichweite kaum zu überschätzende Kernaussage des Gerichts, wonach zu weitgehende Zugriffsmöglichkeiten von Sicherheitsbehörden ein für Datentransfers in dieses Land bzw. das für Übermittlungen in die USA EU-rechtlich erforderliche angemessene Schutzniveau ausschließen, gravierende und weitergehende Fragen auf.

Wirtschaftsverbände auf beiden Seiten des Atlantiks monieren zu Recht die für ihre Unternehmen entstandene Rechtsunsicherheit (vgl. SPIEGEL ONLINE vom 18. Januar 2016, Safe Harbor: Verbände schreiben Brandbrief an EU und Obama, abrufbar unter: www.spiegel.de/netzwelt/netzpolitik/safe-harbor-unternehmer-verbaende-senden-brandbrief-a-1072543.html, zuletzt abgerufen am 2. Februar 2016). Der Ausgang der auf europäischer wie nationaler Ebene anstehenden Gespräche der im EuGH-Urteil gestärkten nationalen Datenschutzbehörden zu einer möglichen gemeinsamen Positionierung bleibt nach wie vor ungewiss. Auf Nachfragen des Parlamentes zur Positionierung reagiert die Bundesregierung aus Sicht der Fragesteller ausweichend (siehe die Antworten auf die Kleine Anfrage der Fraktion Die Linke. vom 21. Dezember 2016 auf Bundestagsdrucksache 18/7134).

Es erscheint angeraten, den dahinterliegenden, grundlegenden Konflikt zwischen einer ausgeuferten Geheimdienstpolitik westlicher Regierungen einerseits und den menschen- wie grundrechtlichen Gewährleistungen andererseits ebenso wie die Unterschiede zwischen US- und EU-Recht zur Frage der Schutzwürdigkeit von Privatsphäre und Privatheit schnellstmöglich und entschlossen mit allen beteiligten Akteuren anzugehen und die vom höchsten europäischen Gericht monierten Praktiken effektiv abzustellen.

Vorbemerkung der Bundesregierung:

Bevor die Kleine Anfrage bei der Bundesregierung eingegangen ist, hat die Europäische Kommission am 29. Februar 2016 als mögliche „Safe Harbor“-Nachfolgeregelung den Entwurf eines Angemessenheitsbeschlusses zu dem neu verhandelten „Privacy Shield“ (EU-US-Datenschutzschild) vorgelegt. Der Entwurf umfasst als Anhänge sieben Schreiben der US-Administration mit von US-Unternehmen einzuhaltenden Datenschutzgrundsätzen sowie Zusicherungen der US-
Regierung zu Garantien und Beschränkungen für den behördlichen Datenzugriff und ist auf der Internetseite der Kommission abzurufen (http://europa.eu/rapid/press-release_IP-16–433_en.htm).

Antworten der Bundesregierung:

1.
Teilt die Bundesregierung die Auffassung, wonach insbesondere die globale Abkehr der Mitgliedstaaten von der ungezielten Massenüberwachung der Zivilgesellschaften sowie allgemein eine rechtsstaatlich und menschenrecht-
lich effektive Einhegung von Überwachungseingriffen eine zentrale Grundlage für eine rechtssichere, auf dem globalen Austausch von Informationen und Daten basierende Weltwirtschaft darstellt?

Die Bundesregierung teilt die Auffassung, dass eine Vermeidung ungezielter Massenüberwachung von Zivilgesellschaften sowie allgemein eine rechtsstaatlich und menschenrechtlich effektive Einhegung von Überwachungseingriffen eine zentrale Grundlage für eine rechtssichere, auf dem globalen Austausch von
Informationen und Daten basierende Weltwirtschaft darstellt.

2.
Welche über das Urteil hinausgehenden Maßnahmen leitet die Bundesregierung national, supranational und international vor dem Hintergrund der Tatsache, dass Entscheidungen des Europäischen Gerichtshofs lediglich die zwingend von den Mitgliedstaaten zu beachtenden rechtlichen (Mindest-) Vorgaben enthalten, in die Wege, um das vom Gericht eindeutig artikulierte, zugrundeliegende Problem sowohl übermäßiger staatlicher Überwachung und mangelhafter rechtlicher Schutzvorkehrungen im Sinne der Menschen- und Grundrechte der Bürgerinnen und Bürger als auch der Wirtschaft konstruktiv und effektiv voranzubringen?

Die Bundesregierung setzt sich sowohl bilateral als auch international für die Wahrung von Menschenrechten online wie offline ein. Den Vereinten Nationen (VN) kommt dabei eine Schlüsselrolle zu. Auf eine deutsch-brasilianische Initiative hin wurde zum Beispiel in 2015 das Mandat für einen Sonderberichterstatter für das Recht auf Privatleben im Menschenrechtsrat der VN geschaffen. Zuvor hatte Deutschland ebenfalls zusammen mit Brasilien 2013 und 2014 Resolutionen zum Recht auf Privatheit im digitalen Zeitalter in die VN-Generalversammlung eingebracht, die dort im Konsens angenommen wurden. Die Bundesregierung bringt sich intensiv in die Reform der Europaratskonvention 108 ein (Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten). Menschenrechtliche Anforderungen haben auch die Verhandlungen zum EU-US-Rahmenabkommen „Umbrella Agreement“ und zum EU-US-Datenschutzschild „Privacy Shield“ geprägt.

3.
Unter welche Rechtsnormen des bundesdeutschen als auch des US-amerikanischen Rechts fällt die kürzlich in Bad Aibling wiederaufgenommene Kooperation der Bundesregierung mit der Obama-Administration bzw. von Bundesnachrichtendienst (BND) und National Security Agency (NSA) bei der Telekommunikationsüberwachung von Informationen und Daten (vgl. Süddeutsche Zeitung vom 8. Januar 2016, BND und NSA kooperieren
wieder in Bad Aibling, abrufbar unter: www.sueddeutsche.de/politik/abhoerskandal-bnd-und-nsa-kooperieren-wieder-in-bad-aibling‑1.2810828, zuletzt abgerufen am 2. Februar 2016), und aufgrund welchen faktischen
Prüfverfahrens sowie aufgrund welcher rechtlicher Grundlage bewertet die Bundesregierung diese Normen als auch das Wiederanfahren dieser Kooperation als mit den Grundsätzen des „Safe Harbor“-Urteils des Europäischen Gerichtshofs für vereinbar?

Die einschlägigen US-amerikanischen Rechtsnormen, unter denen es US-amerikanischen Behörden wie der National Security Agency (NSA) gestattet ist, Kooperationen einzugehen, sind der Bundesregierung im Einzelnen nicht bekannt. Die Kooperation des Bundesnachrichtendienstes (BND) mit ausländischen Behörden in Bad Aibling stützt sich auf § 1 Absatz 2 des BND-Gesetzes (BNDG). Übermittlungen zwischen Nachrichtendiensten waren und sind von dem Regelungsgehalt der Entscheidung der Europäischen Kommission vom 26. Juli 2000 („Safe Harbor“-Entscheidung) nicht erfasst, da sie nicht in den Anwendungsbereich der EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) fallen, deren Umsetzung die „Safe Harbor“-Entscheidung diente.

4.
Schließt die Bundesregierung auf der Grundlage der von ihr nach den Snowden-Enthüllungen inzwischen angeblich ergriffenen (www.tagesschau.de/inland/bnd-nsa-113.html) tatsächlichen und/oder rechtlichen Maßnahmen aus, dass ihre eigenen Überwachungsmaßnahmen als auch ihre Kooperationen mit ausländischen Nachrichtendiensten die Grundrechte von EU-Bürgerinnen und EU-Bürgern verletzen?

Die Grundrechte binden in ihrem Anwendungsbereich die vollziehende Gewalt als unmittelbar geltendes Recht. Die Nachrichtendienste des Bundes sind zudem für ihre Aufgabenwahrnehmung an das jeweils für sie geltende Fachrecht gebunden.

5.
Welche konkreten innerstaatlichen Rechtsvorschriften und internationalen Verpflichtungen sichern das angemessene Schutzniveau im Umgang des BND und des Bundesamts für Verfassungsschutz (BfV) mit Informationen
und Daten der Angehörigen von Drittstaaten, insbesondere von US-Bürgerinnen und US-Bürgern bei Datenerfassungen und Datenverarbeitungen durch die und in der Bundesrepublik Deutschland, um den zwingenden Vorgaben des „Safe Harbor“-Urteils, insbesondere der Pflicht zum Schutz der freien Kommunikation durch hinreichend konkrete und verhältnismäßige gesetzliche Regelungen zu genügen?

Die Erhebung und Verwendung von personenbezogenen Daten von Angehörigen von Drittstaaten durch den BND und das Bundesamt für Verfassungsschutz (BfV) richten sich nach den jeweils anwendbaren Fachgesetzen (BNDG, Bundesverfassungsschutzgesetz – BVerfSchG, Gesetz zur Beschränkung des Brief‑, Post- und Fernmeldegeheimnisses – G10-Gesetz). Diese gewährleisten einen angemessenen Datenschutz.

6.
Teilt die Bundesregierung die Auffassung, dass die deutsche Rechtslage etwa für die Erteilung eines „Freibriefes“ des Bundeskanzleramtes an die Deutsche Telekom für Massenzugriffe auf in Deutschland gelegene Glasfaserkabel sowie das Teilen der Ergebnisse des Abgriffes mit der NSA (vgl. Netzpolitk.org vom 12. Juni 2015, Live-Blog aus dem Geheimdienst-Untersuchungsausschuss, abrufbar unter: https://netzpolitik.org/2015/live-blog-aus-dem-geheimdienst-untersuchungsausschuss-ex-bnd-praesident-ernst-uhrlau-und-dieter-urmann/, zuletzt abgerufen am 2. Februar 2016) den im „Safe Harbor“-Urteil niedergelegten, aus Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union (GRCh) abgeleiteten Anforderungen des EuGH (siehe insbesondere Rn. 91 des Urteils) standhalten würde, und wenn ja, welche Rechtsschutzmöglichkeiten gab es für die von dem damaligen Abgriff Betroffenen?

Das „Safe Harbor“-Urteil des Europäischen Gerichtshofs (EuGH) vom 6. Oktober 2015 (Rs. C‑263/14) findet auf den Datenaustausch zwischen Nachrichtendiensten keine Anwendung; auf die Antwort zu Frage 3 wird insoweit verwiesen. Für den BND lassen sich hieraus keine zwingenden rechtlichen Vorgaben oder Anforderungen ableiten.

7.
Auf welche Weise unterstützte die Bundesregierung, wie auch etwa von den Datenschutzbeauftragten des Bundes und der Länder gefordert, konkret das Ziel der Europäischen Kommission, zeitnah ein neues „Safe Harbor“-Abkommen zu erreichen, und was stand einer zeitnahen Vereinbarung entgegen?

Die Europäische Kommission hat am 29. Februar 2016 als mögliche „Safe Harbor“-Nachfolgeregelung den Entwurf eines Angemessenheitsbeschlusses zu dem neu verhandelten „Privacy Shield“ vorgelegt. Damit hat die Kommission ihrer mit den USA am 2. Februar 2016 erzielten politischen Einigung zügig ein konkretes Maßnahmenpaket folgen lassen.

8.
Zu welchen konkreten Terminen welcher Gremien insbesondere des Rates fand insbesondere seit der Verkündung des Urteils sowie nach der Verkündung der Einigung mit den USA am 2. Februar 2016 auf welcher Rechtsgrundlage eine Einbeziehung der Mitgliedstaaten zum weiteren Vorgehen der Europäischen Kommission statt? Erfolgte etwa vorab eine inhaltliche Abstimmung bezüglich des Verhandlungsmandats der EU-Kommission für ein „Safe Harbor 2.0“, und wenn ja, welchen konkreten Inhalts?

Das Verhandlungsmandat der Europäischen Kommission ergibt sich direkt aus Artikel 25 Absätze 5 und 6 der EU-Datenschutzrichtlinie (Richtlinie 95/46/EG). Die EU-Mitgliedstaaten sind über den Artikel 31 – Ausschuss (einem Komitologie-Ausschuss gemäß Verordnung EU Nr. 182/2011) im Hinblick auf die Annahme des neuen Angemessenheitsbeschlusses beteiligt. Am 7. April 2016 wird dieser Ausschuss erstmals zum „Privacy Shield“ beraten. Die Europäische Kommission will dort Einzelheiten zum Datenschutzschild erläutern.

9.
Bestehen außer den in der Antwort der Bundesregierung auf die Kleine Anfrage der Fraktion DIE LINKE. zu Frage 5 genannten Fällen (siehe Bundestagsdrucksache 18/7134) weitere Fälle, insbesondere TK-Provider-Verträge und/oder Outsourcing- und Cloud-Verträge von Stellen im Geschäftsbereich der Bundesregierung, bei denen die beauftragten Unternehmen unter die „Safe Harbor“-Regelung fielen oder nach wie vor fallen? Falls ja, welche Konsequenzen hat die Bundesregierung zwischenzeitlich daraus gezogen?

Das Bundesministerium für Arbeit und Soziales (BMAS) hat zum 1. Januar 2016 einen neuen Vertrag mit der Firma Microsoft über Premier Support Services abgeschlossen, bei dem als Standard für den Datenschutz das „Safe Harbor“-Modell galt. Aufgrund der „Safe Harbor“-Entscheidung des EuGH wurde mit der Firma Microsoft ein EEA Data Privacy Offering als Add-On abgeschlossen. Über die EEA Data Privacy Services kann sichergestellt werden, dass im Rahmen des Problemlösungssupports anfallende Daten ausschließlich im Europäischen Wirtschaftsraum verarbeitet und gespeichert werden. Auch das Bundesministerium für Wirtschaft und Energie (BMWi) hat am 16. Juli 2015 eine Auftragsdatenvereinbarung mit Microsoft geschlossen, die festlegt, dass die Datenverarbeitung ausschließlich auf dem Gebiet der Bundesrepublik Deutschland zu erfolgen hat.

10.
Teilt die Bundesregierung die Auffassung, wonach die Gesetzeslage in Großbritannien und in Frankreich, die dort jüngst verabschiedeten Sicherheitsgesetze sowie die durch die Snowden-Dokumente bekanntgewordene Überwachungspraxis digitaler Kommunikation etwa des britischen Geheimdienstes GCHQ (Government Communications Headquarters) ein den Datenschutzrisiken für EU-Bürger mit den USA vergleichbares, unangemessenes Schutzniveau schafft, und mit welchen Mitteln beabsichtigt die Bundesregierung, gegen diese die Grundrechte der EU-Bürgerinnen und EU-Bürger ebenfalls und in ähnlich starkem Maße beeinträchtigende Situation vorzugehen?

Gemäß Artikel 51 Absatz 1 Satz 1 Charta der Grundrechte der Europäischen Union (GRCh) gilt diese für die Mitgliedstaaten ausschließlich bei der Durchführung des Rechts der Union. Gemäß Artikel 4 Absatz 2 Satz 3 Vertrag über die Europäische Union (EUV) fällt die nationale Sicherheit in die alleinige Verantwortung der einzelnen Mitgliedstaaten.

11.
Was hat die Bundesregierung konkret seit der Entscheidung des EuGH getan, um konstruktiv auf wirksame Schutzvorkehrungen für Verbraucherinnen und Verbraucher und Unternehmen hinzuarbeiten und damit den schwe-
lenden Konflikt zwischen EU und USA zu entschärfen?

Die Bundesregierung hat stets deutlich gemacht, dass zur Wiederherstellung einer sicheren Rechtslage die zügige Vorlage eines Vorschlags für ein konkretes Maßnahmenpaket durch die Europäische Kommission erforderlich ist, das im Einklang mit den vom EuGH aufgestellten Kriterien steht. Im Übrigen obliegt es den unabhängigen Datenschutzaufsichtsbehörden sicherzustellen, dass die Datenverarbeiter im Einklang mit den Vorschriften des Bundesdatenschutzgesetzes Daten in Drittstaaten übermitteln.

12.
Teilt die Bundesregierung die Auffassung, dass die Glaubwürdigkeit der EU-Verhandlungsposition eine Schwächung erfährt, wenn einige EU-Mitgliedstaaten selbst im Hinblick auf den aus Artikel 7 und 8 GRCh gebotenen, ableitbaren Grundrechtsschutz dringenden Nachholbedarf in ihrer Sicherheitsgesetzgebung aufweisen, und wenn ja, welche Schritte unternimmt sie, um diesen Missstand zu beheben?

Auf die Antwort zu Frage 10 wird verwiesen.

13.
Welche EU-Rechtsgrundlagen für Informations- bzw. Datenübermittlungen in die USA könnten nach Ansicht der Bundesregierung von dem jüngsten EuGH-Urteil zu „Safe Harbor“ ebenfalls betroffen sein (bitte konkrete Auflistung einschließlich gesonderter Datenabkommen wie PNR, SWIFT usw.), und was hat die Bundesregierung unternommen, um diese Frage zu klären und ggf. auch weitere Abkommen schnellstmöglich auf ihre Rechtskonfor-
mität hin zu überprüfen?

Es wird auf die Antwort der Bundesregierung zu Frage 26 der Kleinen Anfrage der Fraktion DIE LINKE. auf Bundestagsdrucksache 18/7134 vom 21. Dezember 2015 verwiesen. Die Rechtskonformität des Entwurfs eines PNR-Abkommens zwischen der EU und Kanada wird derzeit vom EuGH auf Antrag des Europäischen Parlaments gemäß Artikel 218 Absatz 11 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) überprüft.

14.
Welche nationalen Rechtsgrundlagen, bilateralen Abkommen sowie anderweitige US-Vorgaben und US-Anforderungen, die zwingend zu Datenübermittlungen von Behörden oder Unternehmen an US-Stellen führen oder Datenübermittlungen zwischen Behörden oder Unternehmen in Deutschland und den USA rechtlich legitimieren, könnten nach Ansicht der Bundesregierung von dem jüngsten EuGH-Urteil zu „Safe Harbor“ ebenfalls betroffen sein (bitte konkrete Auflistung), und was hat die Bundesregierung unternommen, um diese Frage zu klären und ggf. auch weitere Abkommen oder Vereinbarungen schnellstmöglich auf ihre Rechtskonformität hin zu überprüfen?

Eine Ressortabfrage hat ergeben, dass keine anderen Regelungen, die einen Datentransfer zwischen Behörden oder Unternehmen in Deutschland mit US-Behörden legitimieren, von dem EuGH-Urteil betroffen sind.

15.
Teilt die Bundesregierung die Auffassung des Europäischen Gerichtshofs, wonach Regelungen, die in allgemeiner und nicht näher bestimmter Art und Weise den Zugriff auf Inhaltsdaten elektronischer Kommunikation ermöglichen, als Beeinträchtigung des Kernbereichs („essence“) von Artikel 7 GRCh anzusehen sind, und entspricht die derzeitige gesetzliche Regelung der sogenannten „strategischen“ BND-Rasterfahndung (nach dem Artikel 10-Gesetz als auch die sog. „Routineerfassung“ nach dem Gesetz über den Bundesnachrichtendienst) nach Ansicht der Bundesregierung den aus Artikel 7 GRCh abgeleiteten gesetzlichen Anforderungen des EuGH?

Mit Blick auf die GRCh wird auf die Antwort zu Frage 10 verwiesen. Soweit die in der Charta verbrieften Grundrechte dem Grundrechte-Kanon des Grundgesetzes entsprechen, wird auf die Antwort zu Frage 4 verwiesen.

16.
Teilt die Bundesregierung den Ansatz des Europäischen Gerichtshofs, wonach unabhängig vom tatsächlichen Bestehen oder vom tatsächlichen Ausmaß von „Five Eyes“-Überwachungsprogrammen wie PRISM oder TEMPORA bereits die Untersuchung des geltenden US-Rechts im Hinblick auf den Schutz von Nicht-US-Bürgerinnen und ‑Bürgern Grundrechtsbeeinträchtigungen zumindest der Artikel 7 und 8 GRCh belegt und schon deshalb entsprechende, wie im Urteil dargelegte Schutzvorkehrungen zum Schutz des Telekommunikationsgeheimnisses und der Privatheit zu treffen sind, und wenn nein, warum nicht?

Die Bundesregierung begrüßt, dass mit dem von der Europäischen Kommission vorgeschlagenen EU-US-Datenschutzschild „Privacy Shield“ u. a. im US-Außenministerium eine Ombudsstelle eingerichtet wird, an die sich Unionsbürgerinnen und ‑bürger mit Rechtsschutzbegehren wenden können, die den Bereich der nationalen Sicherheit der USA betreffen und sie begrüßt, dass von der US-amerikanischen Presidential Policy Directive 28 aus dem Jahr 2014, die datenschutzrechtliche Grundsätze für den gesamten Bereich der Fernmeldeaufklärung etabliert, grundsätzlich auch Unionsbürgerinnen und ‑bürger erfasst werden (die nicht dem Schutz des Vierten Zusatzartikels zur Verfassung der Vereinigten Staaten unterfallen).

17.
Teilt die Bundesregierung die Auffassung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder (www.datenschutz.rlp.de/de/grem_dsbkonferenz/sonstiges/20151021_Positionspapier_DSK_Safe_Harbor.pdf), wonach den Datenschutzbehörden gesetzlich ein eigenes Klagerecht einzuräumen ist, und wenn ja, bis wann wird sie dazu einen Entwurf vorlegen? Wenn nein, warum nicht?

Die Bundesregierung prüft diese Frage im Zusammenhang mit der Anpassung des nationalen Datenschutzrechts an die EU-Datenschutzgrundverordnung.

18.
Teilt die Bundesregierung die Auffassung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder (www.datenschutz.rlp.de/de/grem_dsbkonferenz/sonstiges/20151021_Positionspapier_DSK_Safe_Harbor. pdf), wonach insbesondere die Entscheidungen der Europäischen Kommission zu Standardvertragsklauseln nach Fristablauf ebenfalls unwirksam sind bzw. umgehend an die im EuGH-Urteil gemachten Vorgaben anzupassen sind, und wenn ja, auf welche Weise plant die Bundesregierung, dies durch welche konkrete gesetzgeberische Tätigkeit zu berücksichtigen?

Die Überprüfung von Entscheidungen der Europäischen Kommission zu Standardvertragsklauseln fällt nicht in die Zuständigkeit der Bundesregierung, sondern der Kommission selbst. Zukünftig sieht Artikel 42 der EU-Datenschutzgrundverordnung vor, dass Feststellungen der Kommission zu Standardvertragsklauseln durch Beschluss der Kommission geändert, ersetzt oder aufgehoben werden. Neben der Kommission können die Standardvertragsklauseln nur vom EuGH für ungültig oder nichtig erklärt werden. Im Einzelfall kann die Rechtmäßigkeit einer Datenübermittlung auf der Grundlage alternativer Instrumente jederzeit durch die Datenschutzbehörden der Mitgliedstaaten überprüft werden. Nationalen gesetzgeberischen Handlungsbedarf sieht die Bundesregierung daher nicht.

19.
Teilt die Bundesregierung die Auffassung, dass die Einholung individueller Einwilligungen kaum eine praktikable, vor allem aber eine in vielerlei Hinsicht rechtlich fragwürdige alternative Rechtfertigung für den Wegfall des „Safe Harbor“-Abkommens darstellt (so etwa wegen der stets bestehenden Widerspruchsmöglichkeit) und deshalb kaum als Ersatz in Frage kommen kann?

Der EuGH hat sich in seinem „Safe Harbor“-Urteil nicht zum Instrument der Einwilligung geäußert. Sowohl das Bundesdatenschutzgesetz als auch die EU-Datenschutz-richtlinie 95/46/EG und zukünftig die EU-Datenschutzgrundverordnung sehen die Übermittlung aufgrund Einwilligung vor. Die Einwilligung kann
als Rechtsgrundlage eines Datentransfers herangezogen werden, in denen keine Angemessenheitsentscheidung bzw. kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt.

20.
Teilt die Bundesregierung die Auffassung, wonach das sogenannte Umbrella Agreement und der nach Auskunft der US-Regierung geplante und im US-Kongress anhängige Judicial Redress Act schon deshalb nicht den vom
EuGH verlangten individuellen Rechtsschutz für EU-Bürgerinnen und ‑Bürger bieten können, weil diese Instrumente Streitigkeiten zu den von Unternehmen in die USA übermittelten Daten entweder überhaupt nicht mitumfassen, sondern sich ausschließlich auf Übermittlungen zwischen behördlichen Stellen von EU und USA beziehen (Umbrella Agreement) oder deren Anwendungsbereich allenfalls einen geringen Bruchteil der im europäischen Datenschutz möglichen Rechte der von Datenverarbeitung Betroffenen in den USA verfolgbar machen würde?

Der EuGH hat in seinem „Safe Harbor“-Urteil ein Schutzniveau gefordert, das dem EU-Niveau gleichwertig ist, welches sich „aufgrund der Richtlinie 95/46 im Licht der Charta“ (der Grundrechte) ergibt. Vom Anwendungsbereich der Richtlinie sind gemäß Artikel 3 Absatz 2 EU-Datenschutzrichtlinie Verarbeitungen ausgenommen, die die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates und die Tätigkeiten des Staates im strafrechtlichen Bereich betreffen. Das „Umbrella Agreement“ bezieht sich auf der Strafverfolgung dienende Datenübermittlungen, unterfällt damit nicht dem Anwendungsbereich der Datenschutzrichtlinie und folglich auch nicht den im „Safe Harbor“-Urteil vom EuGH aufgestellten Anforderungen.

21.
Teilt die Bundesregierung die vom früheren Landesdatenschutzbeauftragten von Berlin vertretene Auffassung, wonach durchgehende und starke Verschlüsselungen der in die USA übermittelten Daten als technisch-organisa-
torische Schutzmaßnahme, neben anderen Maßnahmen, bei der Frage der rechtlichen Zulässigkeit der Datenübertragung positiv zu berücksichtigen sind, und wenn nein, warum nicht?

Die Bundesregierung teilt diese Auffassung.

22.
Teilt die Bundesregierung die Auffassung der Fragesteller, wonach besonderer Handlungsdruck für die Erzielung EU-grundrechtskonformer Ergebnisse auch deshalb geboten erscheint, weil aufgrund der voraussichtlich erst im Jahr 2018 zur Anwendung kommenden Europäischen Datenschutzverordnung und des darin geregelten Abstimmungsverfahrens der nationalen Datenschutzbeauftragten zwischenzeitlich für die Frage der transatlantischen Datenübermittlungen ein sogenanntes „forum shopping“ zum Nachteil der Rechte der Bürgerinnen und Bürger droht? Falls nein, warum nicht?

Die Bundesregierung hat stets die Notwendigkeit einer zügigen Nachfolgeregelung zu der „Safe Harbor“-Entscheidung deutlich gemacht. Wichtig ist eine stabile Rechtsgrundlage für den transatlantischen Datenaustausch, die den Anforderungen des EuGH gerecht wird und europaweit einheitlich angewandt wird.

23.
Wird die Bundesregierung die Gelegenheit der Vorgaben des EuGH-Urteils auch nutzen, um europäische und nationale Vorschläge und Lösungen beispielsweise im Bereich der IT- und Datensicherheit voranzutreiben? Falls ja, welche konkret? Falls nein, warum nicht?

Die Bundesregierung evaluiert stetig die Rechtsentwicklung und passt die Rechtslage an Entwicklungen aufgrund neuester Rechtsprechung oder Vorgaben der Europäischen Union an.

24.
Wie lautet konkret der Rat der Bundesregierung für bundesdeutsche Unternehmen, bzw. auf welche Weise unterstützt die Bundesregierung aktuell die Unternehmen, damit sie sobald als möglich die notwendige Rechtssicherheit für ihre transatlantischen Datenverkehre erlangen können?

Wie auch die Europäische Kommission mehrfach erläutert und ausgeführt hat, standen und stehen den deutschen Unternehmen nach der Ungültigerklärung der „Safe Harbor“-Entscheidung alternative Instrumente gemäß Bundesdatenschutzgesetz und Richtlinie 95/46 EG zur Verfügung, auf die ein Datentransfer gestützt werden kann. Neben der bereits erwähnten Einwilligung sind dies derzeit insbesondere die Standardvertragsklauseln, welche die Europäische Kommission nach Artikel 26 Absatz 4 der Richtlinie 95/46 EG vorgelegt hat. Auf nationaler Ebene hat die Bundesregierung beispielsweise im BMWi Round-Table-Gespräche mit Vertretern der Wirtschaft und Datenschutzbehörden zu den Regeln für Datentransfers aus der EU in die USA geführt.

25.
Gehen nach Auffassung der Bundesregierung die Regelungen des Umbrella Agreements allen sekundärrechtlichen Bestimmungen der EU vor, also auch den Bestimmungen des jüngst ausgehandelten Datenschutzreformpakets und wenn ja, weshalb?

Nach der Rechtsprechung des EuGH sind völkerrechtliche Verträge der Union integrierende Bestandteile der Unionsrechtsordnung. Rechtswirksam gewordene völkerrechtliche Verträge im Kompetenzbereich der Europäischen Union gehen im Verhältnis zur Vertragspartei entgegenstehendem sekundärem Unionsrecht vor.

26.
Teilt die Bundesregierung die Auffassung, dass das Umbrella Agreement den primärrechtlichen Vorgaben insbesondere der Artikel 7 und 8 GRCh genügen muss, und wenn nein, weshalb nicht?

Die Unionsorgane müssen die GRCh auch beim Abschluss völkerrechtlicher Verträge beachten.

27.
Teilt die Bundesregierung die Auffassung, wonach Artikel 5 Absatz 3 des Umbrella Agreements die Adäquanz-Entscheidung eines internationalen Abkommens an die Stelle der Adäquanz-Entscheidung der Europäischen Kommission setzt und damit Möglichkeiten der Beanspruchung gerichtlichen Rechtsschutzes vor dem EuGH abschneidet, und wenn nein, warum nicht?

Die Bundesregierung sieht den von den Fragestellern gezogenen Schluss nicht als zwingend an. Das Vertragsschlussverfahren zum „Umbrella Agreement“ wurde noch nicht abgeschlossen, bislang wurden noch nicht einmal die Ratsgremien mit den Inhalten des „Umbrella Agreement“ befasst. Die Bundesregierung will diesen Verhandlungen, die mutmaßlich auch die Frage des Verhältnisses zwischen Artikel 5 Absatz 3 des „Umbrella Agreement“ und Adäquanzbeschlüssen der Kommission auf Grundlage von Sekundärrecht betreffen werden, und der Entscheidungsfindung im Rat nicht vorgreifen.

28.
Teilt die Bundesregierung die Auffassung, wonach die Glaubwürdigkeit von Zusagen der Einhaltung von Datenschutzbestimmungen durch US-Geheimdienstverantwortliche gering zu veranschlagen ist angesichts der Tatsache, dass diese veranlassten, z. B. heimlich den Telefonverkehr der Bundeskanzlerin abzuhören, und selbst gegenüber ihrem eigenen Parlament ein nach Auffassung der Fragesteller stark taktisches Verhältnis zur Wahrheitspflicht offenbaren (vgl. etwa www.politifact.com/truth-o-meter/article/2014/mar/11/james-clappers-testimony-one-year-later/), und wenn nein, worauf stützt sich konkret das Vertrauen der Bundesregierung in die Zusagen von US-Geheimdiensten?

Die Bundesregierung teilt nicht die Auffassung der Fragesteller. Das Vertrauen der Bundesregierung stützt sich auf Zusagen der US-Regierung auf höchster politischer Ebene.

29.
Welche gesetzlichen Veränderungen der US-Rechtslage sind nach Auffassung der Bundesregierung zwischenzeitlich erfolgt, die unmittelbare Einschränkungen der durch die globalen NSA-Überwachungsprogramme bestehenden Zugriffsmöglichkeiten von US-Sicherheitsbehörden auf die Daten von EU-Bürgern nach sich ziehen?

Gesetzliche Veränderungen der US-Rechtslage erfolgten durch den USA Freedom Act of 2015, der der NSA die bis dahin nach Section 215 USA Patriot Act vorgenommene Erhebung von Metadaten untersagt. Die NSA kann auf die entsprechenden Daten unter den im Freedom Act geregelten Voraussetzungen nur noch mittelbar, durch gezielte Anfragen an US-Telekommunikationsunternehmen, zugreifen. Die entsprechenden Vorschriften des Freedom Act of 2015 sind am 29. November 2015 in Kraft getreten. Sie betreffen alle Telefonate, deren Ausgangs- oder Endpunkt in den USA liegt. Auf untergesetzlicher Ebene wurden mit der Presidential Policy Directive 28 vom 17. Januar 2014 zudem datenschutzrechtliche Grundsätze für den gesamten Bereich der Fernmeldeaufklärung etabliert, die, soweit mit nationalen Sicherheitsbelangen vereinbar, unterschiedslos auf US-Bürger und Ausländer Anwendung finden sollen.

30.
Teilt die Bundesregierung die Auffassung, wonach jegliche Zusagen einer US-Regierung keine Bindungswirkungen über die jeweilige Amtszeit hinaus entfalten können, und hält sie die damit verbundene Rechtsunsicherheit im Hinblick auf den gebotenen Schutz der EU-Grundrechte gleichwohl für hinreichend, wenn ja, weshalb?

Die Europäische Kommission ist verpflichtet, ihre Feststellung eines angemessenen Datenschutzniveaus regelmäßig zu überprüfen und ggf. anzupassen bzw. aufzuheben, so der EuGH in seiner „Safe Harbor“-Entscheidung (Rn. 76). Daran anknüpfend sieht auch der von der Europäischen Kommission vorgelegte Entwurf des Angemessenheitsbeschlusses vor, dass das „Privacy Shield“ jährlich gemeinsam überprüft wird und die Kommission zudem ein Verfahren zur Aussetzung ihres Angemessenheitsbeschlusses initiieren kann. Daraus, dass US-amerikanische Zusagen im Zusammenhang mit der Amtszeit der jeweiligen US-Regierung stehen, ergibt sich daher keine Rechtsunsicherheit.

31.
Teilt die Bundesregierung die Auffassung, wonach eine mit jeder Veränderung des US-Umgangs mit den vereinbarten Vorgaben und bei jedem Regierungswechsel notwendig werdende Neuverhandlung des Privacy-Shield weder praktikabel erscheint noch die gebotene Rechtssicherheit für Bürgerinnen und Bürger als auch Unternehmen erbringen kann, und wenn nicht, warum nicht?

Wendete die US-Administration Regelungen des „Privacy Shield“ nicht an, trüge dies nicht zur Rechtssicherheit bei. Die Bundesregierung befürwortet, dass das „Privacy Shield“ regelmäßig auf den Prüfstand gebracht wird – sei es im Wege der gemeinsamen jährlichen Kontrolle durch EU und USA, sei es durch ein Verfahren der Europäischen Kommission, mit der sie ggf. einen Angemessenheitsbeschluss aussetzen kann. Diese regelmäß ige Überprüfung ist Ausfluss des gebotenen Ausgleichs zwischen dem Grundrechtsschutz Betroffener und dem Rechtssicherheitsinteresse der Datenverarbeitenden.

32.
Lag oder liegt der Bundesregierung, etwa im Rahmen des Prüfverfahrens im Artikel 31-Ausschuss gem. Artikel 5 der Verordnung (EU) 182/2011 der Entwurf eines Verhandlungsmandats oder bereits der Entwurf der Adäquan-
zentscheidung der Europäischen Kommission selbst vor, und wenn ja, wie hat die Bundesregierung sich dazu gegenüber der Europäischen Kommission verhalten bzw. darüber abgestimmt?

Die Europäische Kommission hat am 29. Februar 2016 den Entwurf eines Angemessenheitsbeschlusses zu dem neu verhandelten „Privacy Shield“ veröffentlicht. Die Bundesregierung hat sich weder gegenüber der Kommission dazu verhalten, noch im Artikel 31-Ausschuss darüber abgestimmt.

33.
Kann es nach Auffassung der Bundesregierung vor dem Hintergrund der Entscheidungsgründe des „Safe Harbor“-Urteils eine tragfähige, rechtssichere Adäquanzentscheidung der Europäischen Kommission geben (Safe Harbor 2 oder EU-US Privacy Shield), ohne dass die USA Veränderungen an ihren materiellrechtlichen Befugnisnormen für den sicherheitsbehördlichen Zugriff auf Daten von EU-Bürgern vornimmt, und wenn ja, aufgrund welcher konkreten Argumente?

Die USA haben gesetzliche Veränderungen vorgenommen (auf die Antwort zu Frage 29 wird verwiesen). Ihren Entwurf eines Angemessenheitsbeschlusses zum „Privacy Shield“ stützt die Europäische Kommission unter anderem auf die geänderte Gesetzeslage.

von Jonas Klaus 7. April 2016 8
: Daten auf Mobiltelefonen: Was dürfen deutsche Ermittler?
: Daten auf Mobiltelefonen: Was dürfen deutsche Ermittler?

Alle Welt berichtete in den letzten Wochen über den Streit zwischen dem FBI und der Firma Apple um den Zugang zu Daten auf dem iPhone eines Verbrechers. Das Hickhack um Verschlüsselung auf Mobiltelefonen ist zwar nur ein weiterer Fall in einer schon lange währenden Diskussion, für uns aber Anlass, einen Blick auf die deutsche Rechtslage zu werfen. Wann dürfen hierzulande Computer und Telefone beschlagnahmt und ausgewertet werden, darf die Verschlüsselung umgangen werden?

Für Ermittler ist die Auswertung der Daten aus Mobiltelefonen besonders attraktiv, zum einen weil sie als gerichtsfest gelten, zum anderen weil die Fülle an Informationen wie Anrufdaten, Chat-Protokolle, Fotos und Lokationsangaben eine präzise Profilierung über das Verhalten und den zeitlichen Verlauf der Handlungen von Verdächtigen versprechen. Die Tatsache, dass mehr und mehr Geräte Daten standardmäßig verschlüsselt ablegen, erschwert jedoch Ermittlungen.

Technische Probleme beim Auswerten der Speicher von beschlagnahmten Systemen können wie im Fall von FBI vs. Apple die versehentliche Zerstörung oder Rücksetzung von Passwörtern sein sowie die Sicherung nachweislich unveränderter Beweismittel, um belegen zu können, dass beim Auswerten keine Daten verändert, gelöscht oder manipuliert worden sind.

Grundsätzlich gilt, dass informationstechnische Geräte als potentielle Beweismittel beschlagnahmt oder eingezogen werden dürfen, um digitale Spuren zu sichern, die darauf vorliegen. Man unterscheidet dabei:

Repressiv, also zur Aufklärung bereits begangener Straftaten: Die Rechtsgrundlagen hierzu sind in der Strafprozessordnung (StPO),

Präventiv, also zur Abwendung von Gefahren, unter anderem auch Straftaten: Hier gelten die Landespolizeigesetze und das BKA-Gesetz.

Grundrechte

Wie das Bundesverfassungsgericht in seinem Urteil zum Staatstrojaner 2008 ausführte, ist die Auswertung solcher beschlagnahmten Geräte ein schwerwiegender Eingriff in die Privatsphäre des Benutzers:

„Eine staatliche Datenerhebung aus komplexen informationstechnischen Systemen weist ein beträchtliches Potential für die Ausforschung der Persönlichkeit des Betroffenen auf. Dies gilt bereits für einmalige und punktuelle Zugriffe wie beispielsweise die Beschlagnahme oder Kopie von Speichermedien solcher Systeme […]“

Die Begründung ist naheliegend, denn die Fülle an darauf gespeicherten Informationen übertrifft…

„…herkömmliche Informationsquellen an Umfang und Vielfältigkeit bei weitem […] Dies liegt an der Vielzahl unterschiedlicher Nutzungsmöglichkeiten, die komplexe informationstechnische Systeme bieten und die mit der Erzeugung, Verarbeitung und Speicherung von personenbezogenen Daten verbunden sind. Insbesondere werden solche Geräte nach den gegenwärtigen Nutzungsgepflogenheiten typischerweise bewusst zum Speichern auch persönlicher Daten von gesteigerter Sensibilität, etwa in Form privater Text‑, Bild- oder Tondateien, genutzt. Der verfügbare Datenbestand kann detaillierte Informationen über die persönlichen Verhältnisse und die Lebensführung des Betroffenen, die über verschiedene Kommunikationswege geführte private und geschäftliche Korrespondenz oder auch tagebuchartige persönliche Aufzeichnungen umfassen.“

Leider ist nach dem Urteil die Übertragung des Schutzkonzepts, das im Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität von informationstechnischen Systemen dargelegt ist und eigentlich auf alle Systeme mit Massenspeichern zwingend anzuwenden wäre, vom Gesetzgeber nicht umgesetzt worden. Da aber die Vertraulichkeit und Integrität technisch nur durch Verschlüsselung herzustellen ist, wird deutlich, dass das Bundesverfassungsgericht in seinem Urteil zum Staatstrojaner kryptographische Methoden explizit als legitimes Mittel zum digitalen Selbstschutz erkannt hat.

Verschlüsselung überwinden oder umgehen

Wenn keine Verschlüsselungsmaßnahmen verwendet wurden, sind die Daten auf den Mobiltelefonen technisch sehr einfach auszulesen, auch zuvor gelöschte Daten können wiederhergestellt werden. Sofern sie dazu technisch in der Lage sind, dürfen Ermittler auf Daten von SIM-Karten zugreifen oder eine Verschlüsselung umgehen oder überwinden, wenn die Beschlagnahme oder Einziehung des Geräts erfolgt ist. Dafür wird eine ganze Reihe von Werkzeugen zur „Password Recovery“ verwendet. Das ist vergleichbar mit dem Vorgehen bei einem Durchsuchungsbeschluss für ein Haus: Ist die Tür verschlossen, kann sich die Polizei mitunter auch mit brachialen Mitteln und unter Zerstörung der Tür Zutritt verschaffen oder auch etwa einen unter der Fußmatte gefundenen Schlüssel zum Öffnen nutzen, ohne den Hausbesitzer zu fragen.

Hersteller von Betriebssystemen und Verschlüsselungssoftware sind in Deutschland jedoch nicht dazu verpflichtet, Hintertüren in ihre Technologien einzubauen, die die Verschlüsselung der Nutzer umgeht.

Ob die Ermittlungs- und Gefahrenabwehrbehörden eine solche Hintertür überhaupt benötigen würden, steht aber auf einem anderen Blatt. Die Aussagen von Polizisten hinsichtlich ihrer Fähigkeiten bei der Entschlüsselung sind mitunter widersprüchlich. André Schulz, Bundesvorsitzender des Bundes Deutscher Kriminalbeamter, führte letztes Jahr über die Verschlüsselungsproblematik beispielsweise aus (Wortprotokoll des Videos):

„Es gibt so gut wie keine Verschlüsselung, die wir nicht knacken könnten – aus verschiedenen Gründen. […] Abgesehen davon du hast ein normales iPhone 6, was ja heute schon verschlüsselt, von sich aus, von der Hardware aus, [das] uns dann schon vor ernste Probleme stellt.“

Grundsätzlich gilt: Jede Beschlagnahme als Beweismittel setzt einen hinreichenden Verdacht voraus und ist bei schweren Straftaten immer möglich. Schließlich dient das der Sicherstellung von Beweismitteln. Die Durchsuchung des beschlagnahmten Geräts muss allerdings richterlich angeordnet werden. Nur in Eilfällen darf ausnahmsweise der Staatsanwalt die Durchsuchung anordnen.

Für Durchsuchungen von beschlagnahmten Geräten gibt es allerdings keinen Katalog an Straftaten wie etwa bei Abhörmaßnahmen. Das entscheidende Kriterium ist die Verhältnismäßigkeit.

Wenn es allerdings zu einer Durchsuchung und Auswertung eines informationstechnischen Systems kommt, die unrechtmäßig war, existiert kein generelles Verwertungsverbot, das es verbieten würde, die erlangten Daten gegen den Gerätbesitzer zu verwenden. Beweisverwertungsverbote greifen auch dann nicht, wenn beispielsweise ein Verstoß gegen das Fernmeldegeheimnis vorliegt. Ein Verwertungsverbot ist hierzulande nur bei Folterfällen oder vergleichbar schweren Missbräuchen zwingend gegeben.

Massenhafte Beschlagnahmungen

Dass sämtliche elektronische Systeme im Umkreis eines Verdachts einer Straftat einkassiert werden, ist keine Seltenheit. Bei einer einzigen Demonstration in Leipzig waren das etwa hundertfünfzig Mobiltelefone, drei Laptops, sechs SIM-Karten, drei iPods sowie vier SD- und zwei externe Mini-SD-Karten. Denn wer aus dem Polizeikessel in Leipzig raus wollte, musste seine Geräte und Speicherkarten abgeben. Die Verhältnismäßigkeit und damit Rechtmäßigkeit dieser Maßnahme ist allerdings umstritten.

Was vielen außerdem nicht bewusst ist: Von Mobiltelefonen oder auch Geräten wie Fotokameras mit GSM-Modul, Tablets, eBook-Readern oder Navigationsgeräten kann auch auf Daten zugegriffen werden, die etwa über Cloud-Dienste (oder andere „remote services“) entfernt abgelegt wurden. Solche Dienste werden mittlerweile sehr verbreitet genutzt. Einschlägig ist hier § 110 StPO, Absatz 3:

Die Durchsicht eines elektronischen Speichermediums bei dem von der Durchsuchung Betroffenen darf auch auf hiervon räumlich getrennte Speichermedien, soweit auf sie von dem Speichermedium aus zugegriffen werden kann, erstreckt werden, wenn andernfalls der Verlust der gesuchten Daten zu besorgen ist. Daten, die für die Untersuchung von Bedeutung sein können, dürfen gesichert werden.

Und in Zukunft?

Natürlich muss immmer abgewogen werden zwischen den Grundrechten von Betroffenen und der jeweiligen Rechtfertigung für die Beschlagnahme und Durchsuchung. Das Beschlagnahmen und die Durchsuchung aller elektronischen Geräte bei Ermittlungen ist aber alltäglich geworden, obwohl mittlerweile jeder von uns sehr persönliche Daten darauf speichert. Es drängt sich zu oft der Eindruck auf, dass die Strafverfolgungsbehörden und auch die Gerichte die Tiefe des Eingriffs nicht ausreichend würdigen und deshalb zu leichtfertig und teilweise formelhaft Durchsuchungs- und Beschlagnahmebeschlüsse durchwinken.

Das Urteil zum Staatstrojaner aus dem Jahr 2008, das der Gesetzgeber bisher zu wenig umgesetzt hat, misst dem Kernbereich privater Lebensgestaltung eine hohe Bedeutung bei, wenn es um die Durchsuchung von informationstechnischen Systemen geht – zumal die heimliche. Vielleicht kann das lange erwartete Urteil zum BKA-Gesetz am 20. April, das sich wieder mit diesem „Kernbereich“ und dem Staatstrojaner auseinandersetzt, neue Denkanstöße geben, wie man in Zukunft angemessener mit unseren ausgelagerten Gehirnen umgehen kann.

Bildlizenz:
Polizei-Sperrzone: CC BY 2.0, via flickr/swiss-truth.

von Constanze 5. April 2016 20
: Vorbild NSA: Niederländer demonstrieren Leichtigkeit der Daten-Spionage

: Vorbild NSA: Niederländer demonstrieren Leichtigkeit der Daten-Spionage

Eine niederländische Gruppe von Internetaktivisten demonstriert, wie einfach das Erlangen persönlicher Daten über das Internet ist. Unter dem Projekt „National Birthday Calendar“ baut die gemeinnützige Organisation Medialab „Setup“ eine Datenbank auf, die Namen, Adressen, Geburtstage und etliche weitere Angaben zu vielen niederländischen Bürgern enthält.

Die Aktivisten verstehen sich selbst als eine Gruppe von kreativen Programmierern, Künstlern und kritischen Aktivisten. In Zeiten rasanten technischen Fortschritts will „Setup“ den Menschen helfen, die ständig neuen technischen Möglichkeiten zu verstehen und sich diesbezüglich eine Meinung zu bilden.

Ausgangspunkt ihrer neuesten Unternehmung war die simple Frage, wie schwer es sein würde, eine Datenbank über alle niederländischen Staatsbürger aufzubauen. Die scheinbare Leichtfüßigkeit, mit der Regierungen und Konzerne im großen Stile Daten über ihre Bürger beziehungsweise Kunden sammeln, motivierte „Setup“. Das Kollektiv sah sich berufen, dieser Praxis einmal eigenhändig nachzugehen und so das allgegenwärtige Bestreben zum Sammeln großer Datensätze aufzuzeigen.

„Nationaler Geburtstagskalender“ demonstriert die Leichtigkeit des Datensammelns

Der Clou am „National Birthday Calendar“ (YouTube) der selbsternannten „Do-it-yourself-NSA“: Er hilft nicht nur, sich an Geburtstage zu erinnern. Zusätzlich werden Ideen für passende Geburtstagsgeschenke präsentiert, auf Basis einer algorithmischen Auswertung der im Netz gefundenen Vorlieben der Gelisteten.

„Our calendar increases happiness and supports attentive people spread their love“ verspricht das Kollektiv. Um ungewollten Geschenken den Kampf anzusagen, wurde der Service durch Tests und Weiterentwicklungen optimiert. So wurde die Datenbank ausgebaut, man trat in Verbindung mit Online-Shops und integrierte einen Link zum Senden von Online-Grußkarten.

Die Aktion soll den Menschen die Zugänglichkeit und Bedeutung der riesigen (persönlichen) Datenmengen bewusst machen. Freilich dient er vielmehr der Demonstration der umfassenden Möglichkeiten des Datensammelns und weniger als tatsächlicher Geburtstagskalender.

Our goal is to create public awareness, so we are now selling the project as a fictional service called „The National Birthday Calendar.“ […] In this session we share what we gathered, talk about the public’s reaction, and ask the bigger questions: how can we spark people’s interest in the way Big Data is invisibly changing their lives.

Vom Telefonbuch zu Datingwebseiten

Mit dem Zusammentragen der Daten waren 20 Experten vier Wochen lang beschäftigt, indem sie im Netz verschiedenste persönliche Informationen erhackten. Die Hacker waren dabei oftmals überrascht, hinsichtlich der einfachen Verfügbarkeit und großen Menge der gefundenen Daten.

Auf dem South by Southwest Festival in Austin stellte die gemeinnützige Organisation ihre Aktion nun in einer Präsentation mit dem Titel „DIY NSA: Our Dubious Database of all the Dutch“ vor und erläuterte Details zur Entstehung. Zeit Online berichtet über die drei Phasen des Projekts „National Birthday Calendar“.

In der ersten Phase holten die Aktivisten von „Setup“ die nötigen Befugnisse von offiziellen Stellen ein. Zusammen mit Datenschützern und Behörden legten sie Grundregeln für ihr Projekt fest. So durften die Daten keine empfindlichen Informationen wie sexuelle Orientierung, Hautfarbe oder ähnliche identifizierende Merkmale enthalten. Weitere Voraussetzung war die ausschließliche Beschaffung über öffentliche Quellen und nicht etwa durch kriminelle Hacks. Außerdem durfte das Projekt nicht öffentlich online abrufbar sein, sondern musste auf einem verschlüsselten Server liegen.

Die zweite Phase war die Suche nach Unterstützern. Während drei Hackathons fand man kompetente Mitstreiter. Programmierer und Hacker wurden damit beauftragt, Webseiten auf persönliche Daten zu untersuchen. Auch im Umgang mit Suchmaschinen versierte Menschen waren willkommen. Das Filtern der Daten nach Relevanz war dabei anspruchsvoller als das eigentliche Aufspüren.

In der dritten Phase ging es dann ums eigentliche Datensammeln. Über 17 Millionen Niederländer sollte möglichst viel herausgefunden werden. Ausgangspunkt der Sammlung war eine bestehende Datenbank, das Telefonbuch. Ausgehend davon vertiefte man die Suche via Facebook, Twitter und LinkedIn bezüglich Adressen, Geburtstage, Arbeitgeber und Hobbys der Bürger. Durch Portale wie archive.org konnten auch auf ältere Informationen zugegriffen werden. Viele persönliche Angaben wurden zudem durch Datingwebseiten ersichtlich.

In der Schnittstelle zwischen Kunst, Protest und Hacking verortet, zeigt dieses Projekt, wie porös die verschiedenen Sammelbecken von sensiblen Informationen im Netz sind. Der „National Birthday Calendar“ ist eine gelungene Demonstration der zunehmenden Gläsernheit der meisten Internetnutzer. Es bleibt zu hoffen, dass die Intention des Projektes bei den Bürgern ankommt und ein Überdenken der oft unbedachten Zurschaustellung von Persönlichem im Internet erwirkt.

von Jonas Klaus 21. März 2016 3
: Umfrage: Datenschutz wird wichtiger, aber schwieriger

Titelblatt-Motiv des <a href="https://www.open-xchange.com/fileadmin/user_upload/open-xchange/document/report/open-xchange_coi_report_2016.pdf" >Consumer Openness Index</a>

: Umfrage: Datenschutz wird wichtiger, aber schwieriger

Der Schutz der Privatsphäre ist ein Grundrecht, da sind sich 80 Prozent der Befragten aus Deutschland, Großbritannien und den USA einig. Die Nürnberger Open-Source-Firma Open-Xchange hat am Montag in Zusammenarbeit mit March Communications zum zweiten Mal den Consumer Openness Index (pdf) veröffentlicht, eine Studie über Online-Gewohnheiten und Einstellungen gegenüber Themen wie Privatsphäre und Datenschutz. Hierfür wurden 3000 Internetnutzer_innen, jeweils 1000 aus Deutschland, Großbritannien und den USA, vom Marktforschungsunternehmen OnePoll befragt.

Im Vergleich zu 2015 geben mehr Befragte an, im Falle einer Sicherheitslücke den betroffenen Dienst nicht mehr nutzen zu wollen – 53 Prozent immerhin auch bei Social Media Kanälen. Dass Unternehmen wie Facebook, Google und Twitter jedoch in keinem Fall Nutzerdaten teilen dürfen, finden in Deutschland nur 47 Prozent. Die meisten (34 Prozent) sehen eine Weitergabe dann als legitim an, wenn sie Strafverfolgungsbehörden dabei hilft, mehr Sicherheit zu erzielen.

Verantwortlich für den Schutz von Nutzerdaten sind für die US-amerikanischen und britischen Befragten mehrheitlich die Unternehmen, welche die Daten speichern. 35 Prozent der deutschen Nutzer_innen, und damit die meisten, sehen die Verantwortung dagegen bei den Nutzer_innen selbst – erst dann bei den jeweiligen Unternehmen (26 Prozent), und an dritter Stelle schließlich bei der Regierung (20 Prozent).

Während der Schutz der Privatsphäre also als sehr wichtig und ihre Gewährleistung als eigene Verantwortung empfunden wird, ist der Anteil derer, die sich für sehr fähig halten, ihre persönlichen Daten zu schützen, von durchschnittlich 27 Prozent in 2015 jedoch auf 22 Prozent gesunken.

68 Prozent der befragten Deutschen gehen also davon aus, ihre persönlichen Daten einigermaßen gut zu schützen. 52 Prozent sind sich sicher, dass ihre Daten noch nie kompromittiert wurden – 28 Prozent in Deutschland und den USA geben an, dies nicht zu wissen. In Großbritannien sind es sogar 36 Prozent.

Vertrauen auf sichere Daten, auch ohne Verschlüsselung

Während 43 Prozent der deutschen Befragten angeben, „einigermaßen vertraut“ mit Verschlüsselung zu sein, nutzen nur 14 Prozent sie bei jeglicher Online-Kommunikation. Im Gegensatz zu 30 Prozent der US-amerikanischen und britischen Befragten geben allerdings nur 14 Prozent der deutschen an, nie zu verschlüsseln. Durchschnittlich 31 Prozent der Nutzer_innen wissen nicht, ob sie Verschlüsselung nutzen.

Bei der Frage, ob sie zukünftig ihre Online-Kommunikation verschlüsseln möchten, geben 40 Prozent der befragten Deutschen an, dass dies „unwahrscheinlich“ sei. Die Gründe dafür liegen vor allem in der Handhabung: Verschlüsselung sei zu kompliziert und könne nicht leicht genug eingebunden werden. Wäre dies anders, hätten rund 47 Prozent aller Befragten Interesse daran, all ihre Daten zu verschlüsseln sowie zu verfolgen, wer Zugang zu diesen hat oder sie überwacht.

Erschreckende 23 Prozent, und damit mehr als in Großbritannien und den USA, geben an, keine Daten zu versenden, die verschlüsselt werden müssten – das „wer verschlüsselt, hat etwas zu verbergen“-Argumentationsmonster freut sich. Gleichzeitig gehen 19 Prozent der deutschen Befragten davon aus, dass Verschlüsselung sowieso nichts nützt.

Sicherheit vs. Privatsphäre – oder einfach beides

75 Prozent der deutschen Befragten geben an, die Debatte über das Verhältnis staatlicher Überwachung zum Schutz der Privatsphäre sehr oder einigermaßen sorgfältig zu verfolgen – deutlich mehr als in den USA mit 56 Prozent und in Großbritannien mit 46 Prozent. Besorgt darüber, wer in der jeweiligen Regierung Zugriff zu Nutzerdaten hat, sind 62 Prozent der Befragten. Dennoch befürworten mehr als 50 Prozent einen Zugriff der Regierung auf verschlüsselte Daten zum Schutz vor einem Angriff aus dem Ausland. 60 Prozent heißen sogar den Zugriff durch Strafverfolgungsbehörden gut, wenn dieser zur Ergreifung von Kriminellen führt. Einen generellen Zugriff auf persönliche Daten lehnen 29 Prozent der US-Amerikaner, 18 Prozent der Briten und 35 Prozent der Deutschen ab. 54 Prozent der deutschen Befragten geben zudem an, dass Unternehmen Forderungen der Regierung nach Herausgabe von Daten abweisen sollen.

In der ewigen Debatte Sicherheit vs. Datenschutz entscheiden die Befragten sich ungern: Knapp 55 Prozent der deutschen und britischen Nutzer_innen wünschen sich, dass ihre Regierungen die nationale Sicherheit und das Recht auf Privatsphäre gleichermaßen schützen, in den USA sind es sogar 74 Prozent. Eine verständliche, aber in der Praxis eher unrealistische Hoffnung. Unter den Entschlosseneren fällt die Wahl auf die nationale Sicherheit: 24 Prozent gewichten diese höher als das Recht auf Privatsphäre (14 Prozent).

Hintertüren unnötig, Regierung hat sowieso Zugriff

58 Prozent der Befragten gehen davon aus, dass Hintertüren es nicht nur der jeweiligen Regierung, sondern auch Kriminellen erleichtern, an verschlüsselte Daten heranzukommen. Die Hälfte sieht jedoch sowieso keinen Nutzen in Hintertüren, da die Regierung so oder so an die gewünschten Daten herankäme.

81 Prozent der US-amerikanischen Befragten geben an, sich für die Positionen der Präsidentschaftskandidat_innen in Datenschutz-Fragen zu interessieren, die Hälfte wünscht sich eine breitere Auseinandersetzung damit. Die jeweilige Haltung der Kandidat_innen bezüglich des Datenschutzes kennen jedoch mehr als 50 Prozent nicht. In allen drei Ländern ist sich eine Mehrheit der Befragten einig, dass die Präsidentschaftswahl nicht nur Folgen für den Datenschutz in den USA hat: 77 Prozent der befragten Deutschen etwa gehen davon aus, dass die Wahl Einfluss auf weltweite Datenschutzthemen haben wird.

Während 50 Prozent der Nutzer_innen in Deutschland angeben, nichts über die Safe-Harbor-Entscheidung des Europäischen Gerichtshofs zu wissen, befürworten doch 46 Prozent die Entscheidung. 76 Prozent sind generell dagegen, Daten an die USA weiterzugeben – 49 Prozent sind ebenfalls dagegen, dass deutsche Unternehmen Daten an die nationale Regierung weitergeben.

Insgesamt lässt sich sagen, dass die Mehrheit der Befragten grundsätzlich einen starken Datenschutz befürwortet. Die meisten gehen davon aus, ihre Daten gut schützen zu können – falls jedoch jemand Zugriff darauf haben möchte, vor allem von staatlicher Seite, könnten Nutzer_innen wie Unternehmen dem kaum etwas entgegensetzen. Eine aktive Weitergabe von Daten durch Unternehmen wird jedoch abgelehnt – dient diese jedoch der (nationalen) Sicherheit, nehmen viele der Befragten dies hin.

von Andrea Jonjic-Beitter 16. März 2016 3
: Bundestag hintergangen: Innenminister ist nun doch für „Verknüpfung“ von EU-Polizeidatenbanken

: Bundestag hintergangen: Innenminister ist nun doch für „Verknüpfung“ von EU-Polizeidatenbanken

Der Bundesinnenminister Thomas de Maizière (CDU) fordert eine Verknüpfung von bestehenden europäischen Datenbanken. In einem Interview mit der Tageszeitung WELT erklärte der Minister, auf diese Weise einen größeren Nutzen aus dem Schengener Informationssystem (SIS), der Fingerabdruckdatei EURODAC oder dem Visa-Informationssystem (VIS) ziehen zu wollen. Auch soll die Europäische Union „endlich“ ein Passagierdatenregister (EU-PNR) einrichten.

Nicht nur aus Gründen des Datenschutzes können Datenbanken nicht einfach miteinander „verknüpft“ werden. Errichtungsanordnungen und Durchführungsgesetze sehen die Anwendung nur für einen bestimmten Zweck vor. Allerdings wurden die Informationssysteme längst schrittweise ausgebaut.

Die Abgabe von Fingerabdrücken ist mittlerweile bereits bei der Beantragung eines Visums im Heimatland verpflichtend. Die nur zum Abgleich von Asylanträgen eingerichtete Fingerabdruck-Datei EURODAC ist nun für andere Polizeibehörden zugänglich. Das SIS in seiner neuen Generation kann ebenfalls Fingerabdrücke speichern, bald soll hierzu eine Suchfunktion zur Verfügung stehen.

Vorschlag der Kommission für „Intelligente Grenzen“ am 23. März

Die Europäische Kommission und der Rat arbeiten derzeit an der Errichtung eines Systems „Intelligente Grenzen“ für den Schengen-Raum. Von allen Einreisenden – auch TouristInnen, Geschäftsreisenden oder Studierenden – sollen Fingerabdrücke und womöglich das Gesichtsbild abgenommen und gespeichert werden. Auch „Intelligente Grenzen“ war eigentlich zum Zweck der Migrationskontrolle angekündigt worden. Nach derzeitigen Plänen entwickelt es sich aber zu einer europäischen Superdatenbank.

Dass auch Polizeibehörden zugreifen dürfen, ist hinter den Kulissen bereits beschlossen. Frankreich fordert sogar die Ausweitung auf Staatsangehörige der Europäischen Union. De Maizière deutet gegenüber der WELT an, dass das System die gewünschte Verknüpfung von VIS, EURODAC und SIS besorgen soll. So sei es für den „Kampf gegen den internationalen Terrorismus, kriminelle Banden und die illegale Migration“ notwendig, Zeitpunkt und Ort der Ein- sowie Ausreise von Drittstaatenangehörigen in den Schengenraum zu erfassen.

Für die Administration von VIS, EURODAC und SIS hat die Europäische Union in Riga eine „Agentur für das Betriebsmanagement von IT-Großsystemen“ eingerichtet. Dort würde auch das System „Intelligente Grenzen“ angesiedelt. Am 23. März will die Kommission hierzu einen erneuerten Vorschlag präsentieren. Auf Ratsebene versuchen die Regierungen der Mitgliedstaaten deshalb, ihren Änderungswünschen zu mehr Gewicht zu verhelfen. Die Aussage von de Maizière dürfte in diese Richtung gemeint sein.

Staatssekretärin verschweigt EU-Vorstoß

Mit dem Vorstoß düpiert der Minister jedoch den Bundestag. Denn zwei Wochen zuvor hatte der Abgeordnete Alexander S. Neu gefragt, inwiefern die EU-Datenbanken untereinander vernetzt werden könnten oder sollten. Die Antwort der Staatssekretärin im Bundesministerium, Emily Haber:

Sowohl die Europäische Kommission als auch der Rat unter verschiedenen Präsidentschaften haben in der Vergangenheit wiederholt Überlegungen zur Verbesserung der Interoperabilität und Interkonnektivität der Systemlandschaft auf EU-Ebene im Justiz- und Innenbereich angestellt und zur Diskussion gestellt. Die Bundesregierung nimmt solche Überlegungen zur Kenntnis und prüft sie jeweils eingehend auf ihren operationellen Nutzen und ihre Vereinbarkeit mit datenschutzrechtlichen Grundsätzen.

Das klingt äußerst passiv und bleibt weit hinter der gestrigen Forderung von de Maizière zurück. Dass sich Haber und de Maizière in dieser Frage nicht koordinieren ist unwahrscheinlich. Deutlich wird vielmehr die Aushöhlung des Frage- und Informationsrechts von Abgeordneten mit verschwurbelten oder nachweislich falschen Antworten.

Die Staatssekretärin hat sich aber nicht nur vor einer wahrheitsgemäßen Antwort gedrückt, sondern das Parlament hintergangen. Denn im Februar wurde bekannt, dass das Bundesinnenministerium die Kommission selbst zu einer Prüfung aufforderte, wie eine solche „Verknüpfung“ von Polizeidatenbanken umgesetzt werden könnte. In der Antwort an Alexander S. Neu findet sich dazu nicht einmal eine Andeutung. Auf Ratsebene prescht die deutsche Delegation also vor, während die deutschen Abgeordneten im Unklaren bleiben.

Bundesregierung schafft Fakten

Zum Aufbau des Systems „Intelligente Grenzen“ hatte die Kommission vergangenes Jahr ein Pilotprojekt durchgeführt. Unter anderem am Flughafen Frankfurt und dem Kreuzfahrt-Terminal in Rostock-Warnemünde wurden Verfahren zur Abnahme und Kontrolle biometrischer Daten getestet. Von Interesse war, inwiefern die Grenzkontrollen dadurch womöglich verzögert würden. Das Pilotprojekt wurde von der Europäischen Agentur für das Betriebsmanagement von IT-Großsystemen verantwortet. In Deutschland beteiligten sich daran die Bundespolizei, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundesverwaltungsamt.

Die Tests liefen bis Ende September 2015. Schon vorher entschloss sich die Bundesregierung, die Pilotstudie auf eigene Faust weiterzuführen. Dies wurde erst durch die Mitteilung eines beteiligten Softwareunternehmens bekannt. Dem Bundesinnenministerium gingen die EU-Erprobungen nicht weit genug, weshalb die Bundesbehörden das System nun in einem „Ende-zu-Ende Grenzkontrollprozess“ ausprobieren.

Um den Pilotbetrieb „noch realitätsnäher gestalten zu können“ hat das Bundesverwaltungsamt ein „rudimentäres“ Ein- und Ausreisesystem programmiert. Es basiert auf dem EU-System, wurde aber um einige Features erweitert und per Schnittstelle zur Bundespolizei in den Grenzkontrollprozess integriert. Die Kosten für die Fortführung der Erprobung schätzt das Bundesinnenministerium bis Herbst 2016 auf 1,4 Millionen Euro.

Erweiterung durch „Back Office“

Vor einigen Tagen attestierte das Bundesinnenministerium dem derzeitigen EU-System schwere Mängel. So seien unerwartet viele „fachliche Sonderfälle“ aufgetreten, etwa Reisende mit mehreren gültigen Visa, Personen mit mehreren Pässen oder Ausnahmen aufgrund bilateraler Abkommen. Auch sei ein signifikanter Anteil von mangelhaften Dokumentendaten sowie von falsch gespeicherten Daten festgestellt worden.

Eine Korrektur bei der Kontrolle der Betroffenen sei zu aufwändig und sollte laut der Staatssekretärin Emily Haber besser an ein „Back Office“ verlagert werden. Nähere Erläuterungen zu diesem „Hintergrundbüro“ fehlen.

Jedoch wäre denkbar, bereits vorhandene Personendaten der Informationssysteme VIS, EURODAC und SIS heranzuziehen: Die von de Maizière geforderte „Verknüpfung“ der europäischen Datenbanken.

von Matthias Monroy 13. März 2016 9
: Gerichtsurteil: „Social-Plugins“ dürfen keine Daten ohne Zustimmung erheben

Gefällt nicht allen: Die Sammelwut von "Social-Plugins" (Foto:

: Gerichtsurteil: „Social-Plugins“ dürfen keine Daten ohne Zustimmung erheben

Das Landgericht Düsseldorf hat in einem Urteil (Az. 12 O 151/15, pdf) die direkte Einbindung von „Social Plugins“ auf Webseiten für unzulässig erklärt. Die Verbraucherschutzzentrale NRW hatte gegen das Bekleidungsunternehmen Peek & Cloppenburg geklagt, weil schon beim einfachen Aufrufen der Internetpräsenz Daten über das Online-Verhalten der Nutzer an Facebook weitergeleitet werden. Das Gericht teilte am Mittwoch mit, dass die Integration sogenannter „Page Plugins“ gegen Datenschutzvorschriften verstößt, da unter anderem die IP-Adresse der Besucher ohne deren Zustimmung an Facebook übermittelt werden. Das Urteil könnte weitreichende Folgen für alle Webseiten haben, die entsprechende Plugins verwenden. Es ist allerdings noch nicht rechtskräftig.

Persönlichen Daten wie IP-Adressen oder in Cookies gespeicherte Informationen werden bereits beim Seitenaufbau über die „Social-Plugins“ an Facebook, Google oder Twitter übertragen – und zwar auch, wenn der Besucher der Webseite kein Konto bei diesen Unternehmen hat oder die Funktionen der Plugins letzlich nicht nutzen will. Ist der Nutzer bei Facebook eingeloggt, identifiziert ihn das Unternehmen sogar eindeutig. Facebook erfährt damit, welche Seiten er besucht, und speist so das interne System zu Anzeige personenbezogener Werbung.

Umstrittene Auslegung der Datenschutzbestimmungen

Der Fachanwalt für IT-Recht und Gewerblichen Rechtsschutz Thomas Stadler nimmt auf seinem Blog Stellung zum Urteil des Düsseldorfer Landgerichts. Er bezeichnet es als strittigen Punkt in der Entscheidung, dass der Webseitenbetreiber verantwortlich im Sinne des Datenschutzrechts sein soll. Die Auffassung der Richter basiere darauf, dass der Betreiber einer Webseite letztendlich die Daten beschafft, die Facebook dann verarbeitet. Stadler schreibt:

Nach Art. 2 d) der Datenschutzrichtlinie ist Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Stadler betrachtet jedoch den Webseitenbetreiber nicht als Verantwortlichen für den Datenschutz. Denn er entscheide nicht über die Art und Ziele der Datenverarbeitung, auch wenn er mit dem Plugin zur Datenverarbeitung durch Facebook beiträgt.

Ist verantwortliche Stelle also nur derjenige, der die Kontrolle und Herrschaft über die Daten und den Datenverarbeitungsvorgang hat, oder darüber hinausgehend jeder, der in kausaler Weise an der Beschaffung oder Verarbeitung der Daten mitwirkt? Diese Frage wird die Rechtsprechung eindeutig zu klären haben.

Die Frage, ob die Seitenbetreiber für die Datenschutz-Ignoranz der Plugin-Anbieter belangt werden können, hatten Gerichte bisher mit der Begründung der Nichtzuständigkeit der deutschen Datenschützer abgewiesen: Es gelte das irische Recht, da Facebook dort den Sitz seiner europäischen Niederlassung hat. Dem Europäischen Gerichtshof liegt dieser Punkt momentan zur Entscheidung vor.

Nun argumentierten die Richter in Düsseldorf, dass allein die „Ermöglichung“ zur Erhebung von Daten durch den Plugin-Einbau für eine Verantwortlichkeit ausreicht. Im entsprechenden Paragraphen des Bundesdatenschutzgesetzes ist eine „Ermöglichung“ als Bedingung einer datenschutzrechtlichen Verantwortung jedoch nicht geregelt.

Rechtmäßige Verwendung von „Social-Plugins“ uneindeutig

Um rechtswidriges Handeln zu vermeiden, dürfen Nutzerdaten laut Telemediengesetz nur pseudonym erhoben werden. Dem Landgericht gelten die IP-Adressen der Besucher allerdings als personenbezogen. Eine Erhebung ist daher nur dann legal, wenn die Nutzer ausdrücklich einwilligen – der Hinweis darauf allein in den Datenschutzbestimmungen reicht nicht aus. Selbst wenn der Nutzer beim Besuch der Seite gefragt wird: Damit eine solche Einwilligung überhaupt wirksam ist, muss eindeutig geklärt sein, wie die Daten verwendet werden. Eine wirksame Einwilligung dürfte allerdings weder von Nutzern von Facebook noch von Nicht-Nutzern vorliegen.

Eine Möglichkeit, die „Social-Plugins“ rechtskonform zu nutzen, ist die sogenannte „Zwei-Klick-Lösung“, wie wir sie anbieten. Dabei erscheinen die eigentlichen „Like-“ und „Share-Buttons“ erst durch einen Klick. Eine vorherige Übertragung der Daten findet nicht statt, mit dem Klick erklärt der Besucher sich mit der Übertragung einverstanden. Ob diese Lösung zulässig ist, wollte das Gericht nicht entscheiden – die Frage sei nicht Gegenstand der Verhandlung gewesen. Allerdings dürfte die „Zwei-Klick-Lösung“ den Anforderungen entsprechen.

Die Piratenpartei forderte in einer Stellungnahme die bundesweite Durchsetzung des Urteils. Wie der Datenschutzbeauftragte Patrick Breyer mitteilte, ist…

Dieses Urteil […] wegweisend für den Schutz von Internetnutzern vor der allgegenwärtigen Speicherung und Auswertung ihres Surfverhaltens, ihrer Vorlieben und Interessen durch Internetkonzerne und Werbenetzwerke. Die Verantwortlichkeit der deutschen Webseitenbetreiber wird ebenso anerkannt wie der naheliegende Personenbezug von IP-Adressen und das Klagerecht der Verbraucherzentrale.

Konsequenterweise müsste das Urteil alle eingebetteten Inhalte und Verlinkungen betreffen, sofern diese unter anderem dem Zweck des Trackings dienen. Da das Urteil aber noch nicht rechtskräftig ist, kann man davon ausgehen, dass es noch angefochten wird. Auf jeden Fall ist mit einer Zunahme von datenschutzrechtlichen Abmahnungen zu rechnen. Es ist zu hoffen, dass sich auch andere juristische Instanzen am Urteil des Landgerichts Düsseldorf orientieren.

von Jonas Klaus 10. März 2016 18
: Berliner Polizei auf Krawall gebürstet: Anmeldung einer Versammlung nur mit „Ja“ zu Vorratsdatenspeicherung

Bild: Freiheitsfoo

: Berliner Polizei auf Krawall gebürstet: Anmeldung einer Versammlung nur mit „Ja“ zu Vorratsdatenspeicherung

Die Versammlungsbehörde des Landes Berlin will eine Kundgebung nur dann erlauben, wenn der Anmelder einer Speicherung in einer „stadtweiten Veranstaltungsdatenbank“ zustimmt. Dort sammelt die Behörde Informationen über den Verlauf angemeldeter Versammlungen, darunter die Namen der AnmelderInnen, OrdnerInnen oder – etwa im Falle von PolitikerInnen – auch Teilnehmenden.

Pikant: In der nicht ermöglichten Kundgebung ging es um den Protest gegen genau jene „stadtweite Veranstaltungsdatenbank“.

Alle in der „stadtweiten Veranstaltungsdatenbank“ erhobenen Daten werden mindestens drei Jahre lang aufgehoben. Zugriff haben um die 2.000 PolizeibeamtInnen, darunter auch der Staatsschutz des Landeskriminalamtes (LKA). Die Behörde ist für die Führung der Datei sogar selbst verantwortlich: In Berlin werden Versammlungsanmeldungen nicht vom Ordnungsamt bearbeitet, sondern vom LKA. Der Leiter der entsprechenden Abteilung hat nicht nur gute Beziehungen zum Staatsschutz, er ist in der Vergangenheit sogar selbst bei Demonstrationen handgreiflich geworden.

Die Existenz der „stadtweiten Veranstaltungsdatenbank“ ist erst durch eine von einem Anmelder gestellte Anfrage nach dem Informationsfreiheitsgesetz publik geworden. Nach einem Auskunftsersuchen bei der Polizei und der folgenden Akteneinsichtnahme erfuhr der Betroffene Details der Vorratsdatenspeicherung. Hierzu gehörte nach seiner Aussage „eine lange Liste mit Datum und Thema der von mir angemeldeten Kundgebungen und Demonstrationen“.

Die ohne eigene Rechtsgrundlage errichtete Datenbank könnte Personen von der Anmeldung weiterer Versammlungen abhalten. Sie widerspricht wohl auch dem Grundrecht auf informationelle Selbstbestimmung, da die Speicherung offensichtlich nicht abgelehnt werden kann. Weil es sich dabei um einen tiefen Eingriff in die Versammlungsfreiheit handeln dürfte, wird die Praxis des Berliner Senats auf Antrag des Betroffenen am Montag vor Gericht verhandelt.

Dort sollte auch die nun abgesagte Protestkundgebung „Keine anlaßlose Erfassung von Demonstrationen durch die Polizei – Für das sofortige Aus der Veranstaltungsdatenbank!“ stattfinden. Die im Anmeldeformular angegebene Anzahl der erwarteten Teilnehmenden betrug „vermutlich deutlich weniger als 10“.

Laut Freiheitsfoo wurde dem Anmelder in einer unverschlüsselten E‑Mail mitgeteilt, dass die Behörde die Versammlung nur zulassen würde, wenn der Anmelder einer Speicherung in der „stadtweiten Veranstaltungsdatenbank“ zustimmt. Dieser zog die Anmeldung daraufhin zurück.

Woher sich das Landeskriminalamt die E‑Mail-Adresse des Anmelders besorgte, bleibt nebulös. In dem Anmeldeformular für die Versammlung hatte er diese zur Kontaktaufnahme jedenfalls nicht angegeben, dafür aber seine Telefonnummer.

Die Verhandlung gegen die „stadtweite Veranstaltungsdatenbank“ findet am Montag, den 7. März, um 10 Uhr am Verwaltungsgericht Berlin statt.

von Matthias Monroy 5. März 2016 54
: Abschreckung einkalkuliert: Datensammlungen der Berliner Polizei vor Gericht

Demonstration gegen G8-Gipfel in Berlin. (Bild: Montecruzfoto)

: Abschreckung einkalkuliert: Datensammlungen der Berliner Polizei vor Gericht

Klage gegen die Speicherung in der Berliner „stadtweiten Veranstaltungsdatenbank” und gegen die komplette Spiegelung des polizeilichen Datenbestandes: Am kommenden Montag, 7. März, findet im Verwaltungsgericht Berlin die mündliche Verhandlung zur Speicherung der AnmelderInnen von Versammlungen statt. Ebenfalls vor Gericht steht das seit 2012 betriebene Kopieren des kompletten Datenbestandes der Berliner Polizei für Zwecke eines nicht mehr existierenden Untersuchungsausschusses.

Wir haben mit dem Kläger über die Bedeutung des Verfahrens gesprochen.

M.M.: Unter dem Aktenzeichen „1 K 250.14“ verhandelt das Berliner Verwaltungsgericht eine umfangreiche Klage von dir. Unter anderem geht es um eine Mitteilung, die alle Personen erhalten, wenn sie ein Auskunftsersuchen über Speicherungen in Berliner Polizeidatenbanken stellen: Dort heißt es dann, dass nicht nur im System POLIKS (Polizeiliches Landessystem zur Information, Kommunikation und Sachbearbeitung) Daten vorhanden sind. Vielmehr habe der Senat eine Komplettsicherung des POLIKS und seiner Fallanalysedatei CASA vorgenommen. Wieso eigentlich?

H.S.: Als ich das Schreiben der Polizei las, war ich zunächst erschrocken. Dort stand:

Für die Zwecke des 2. Untersuchungsausschuss des Deutschen Bundestages ‚Terrorgruppe nationalsozialistischer Untergrund (NSU)‘ wurde im November 2012 eine Sicherung des polizeilichen Datenbestandes vorgenommen, die auch Ihre zu diesem Zeitpunkt gespeicherten personenbezogenen Daten umfasst.

Zwar war weiter unten angegeben, dass für meine Daten jetzt „von Amts wegen die Löschung veranlasst“ wurde, aber Gedanken habe ich mir bei den im Raum stehenden Morden einer Terrorgruppe natürlich trotzdem gemacht.

Der gesamte Berliner Datenbestand von Polizei und Verfassungsschutz ist also doppelt vorhanden?

Zunächst ging aus dem Schreiben lediglich hervor, dass eine „Sicherung des polizeilichen Datenbestandes“ für Zwecke des Untersuchungsausschusses vorgenommen wurde. Warum aber gerade meine Daten darin aufgenommen wurden, blieb unklar. Mir waren noch die skandalösen Schredderaktionen beim Inlandsgeheimdienst „Verfassungsschutz“ aus der Presseberichterstattung im Gedächtnis, dass jedoch auch dort verschiedene Komplettspiegelungen des Datenbestandes stattgefunden haben, ging erst aus dem 2014er Tätigkeitsbericht des Berliner Datenschutzbeauftragten und einer Anregung des ersten NSU-Untersuchungsausschusses an den Regierenden Bürgermeister hervor. Darin hat der ehemalige Vorsitzende Sebastian Edathy angeregt zu erwägen, ob für den Berliner Geheimdienst und die Staatsschutzabteilung der Polizei eine Anordnung in Betracht kommt, dass „vorläufig keinerlei Akten mit Bezügen zum Rechtsextremismus vernichtet“ werden.

Fehlerhafte Speicherungen werden verschleiert

Es hätte doch in der Logik der Untersuchungsausschüsse gereicht, nur die Daten mit Bezug zu Rechtsextremismus zu spiegeln, etwa die einschlägigen PMK-Dateien zu „politisch motivierter Kriminalität – rechts“? Es wird ja auch nicht die komplette INPOL-Datei des Bundeskriminalamtes oder das NADIS vom Verfassungsschutz mit Stand von 2012 aufbewahrt. Oder?

In Edathys Anregung war einerseits nur von Akten und nicht von Datenbanken die Rede, andererseits erwähnte er auch nur solche mit Bezügen zum Rechtsextremismus. Ich sehe mich deshalb zu Unrecht stigmatisiert und durch die Speicherung quasi dem „Rechtsextremismus“ zugeordnet. Deshalb möchte ich vom Verwaltungsgericht feststellen lassen, dass es rechtswidrig gewesen ist. Erst später hat die Berliner Polizei gegenüber dem Verwaltungsgericht vorgetragen, dass angeblich keine differenzierte Spiegelung des zentralen Vorgangsverwaltungssystem POLIKS möglich gewesen sei und deshalb der komplette Bestand kopiert wurde, d.h. inklusive aller Anzeigen, Tätigkeitsberichte, Verkehrsordnungswidrigkeiten u.s.w. Es sind also vermutlich zehntausende Personen von dieser stigmatisierenden Speicherung betroffen, zumal die zunächst auf wenige Monate befristete Anordnung mehrfach verlängert wurde – nachweislich bis mindestens 31.10.2015.

Du willst auch Papiere zur Errichtung und zum Betrieb des POLIKS-Systems und schließlich alle zu dir im POLIKS gespeicherten Daten einsehen. Was steht da vermutlich drin?

Für die gerichtliche Sachverhaltsaufklärung habe ich u.a. beantragt, alle Anordnungen und Funktionsbeschreibungen hinsichtlich POLIKS beizuziehen. Damit möchte ich nachweisen, dass ein differenziertes Kopieren (Datenbankexport) anhand einschlägiger Datenbankfelder (z.B. PMK-rechts, Banküberfälle, Sprengstoffanschläge) technisch sehr wohl möglich gewesen wäre. Leider ist das Gericht bisher nicht auf meine Beweisanträge eingegangen. Wenigstens waren dem übermittelten Verwaltungsvorgang die genauen Auszüge zu meiner Person beigefügt. Darin zeigt sich, dass es die Polizei mit den Grundrechten und ihrer gesetzlichen Ausgestaltung nicht so genau nimmt: Beispielsweise wurde laut einem Vermerk eine zu meiner Person noch gespeicherte Ordnungswidrigkeitsanzeige nicht gemäß § 50 ASGO ordnungsgemäß beauskunftet, sondern vorsorglich einfach gelöscht (im polizeilichen Sprachjargon eine so genannte „Schnelllöschung”), um damit einen eigenen Erfassungsfehler zu verschleiern. Diese rechtsmissbräuchliche Praxis war mir allerdings bereits aus den nicht mitgeteilten Speicherungen einer anderen polizeilichen Datenbank bekannt.

Berliner Staatsschutz pflegt „stadtweite Veranstaltungsdatenbank“

Über dein Auskunftsersuchen und Akteneinsichtnahmen bei der Versammlungsbehörde hast du 2013 erfahren, dass du als Anmelder von Versammlungen in einer eigens dafür angelegten Datensammlung gespeichert wirst. Erst durch eine spätere Anfrage nach dem Informationsfreiheitsgesetz wurde die Existenz dieser „stadtweiten Veranstaltungsdatenbank“ (VDB) in Berlin und darüber hinaus bekannt…

Zunächst war mir diese Datenbank völlig unbekannt, denn obwohl ich in Berlin seit 2010 hin und wieder Versammlungen angemeldet hatte, tauchten diese Speicherungen in den von mir regelmäßig angefragten Datenauskünften nie auf. Erst 2013 – also fast zehn Jahre nach Einrichtung der VDB – bekam ich eine lange Liste mit Datum und Thema der von mir angemeldeten Kundgebungen und Demonstrationen. Da sich die Berliner Polizei eine üppige Speicherfrist von drei Jahren genehmigt, waren nur wenige der dort gespeicherten personen- und versammlungsbezogenen Daten gelöscht, so dass sich ein umfassendes Bild zu meinen politischen Aktivitäten bot. Das hat mich dann doch etwas erstaunt: die Dreistigkeit, die Speicherungen einerseits jahrelang den Betroffenen zu verschweigen und andererseits der gravierende Eingriff in die informationelle Selbstbestimmung, ohne dass eine spezielle gesetzliche Grundlage für diese Datensammlung existiert.

Welche Informationen werden dort gesammelt?

Natürlich waren in der mir zugestellten Liste auch nicht alle in der VDB gespeicherten personen- oder versammlungsbezogenen Informationen wiedergegeben. Erst durch eine Anfrage nach dem Informationsfreiheitsgesetz (IFG) wurde später die Errichtungsanordnung bekannt, die einige Datenfelder und deren Beschreibungen genauer auflistet. Gerade Freitextfelder tendieren schnell zu unüberschaubaren Datenmengen; bei mir ist neben Anschriften und Telefonnummer auch eine E‑Mail-Adresse gespeichert. Auch versammlungsrechtliche Auflagen, Streckenverläufe und fragwürdige Mutmaßungen oder Kommentare der Behörde sind enthalten.

Bei der Anmeldung von Versammlungen kommt es häufig vor, dass die Polizei zu einem so genannten Kooperationsgespräch einlädt. Dort werden allerdings lediglich Auflagen verkündet. Wurdest du bei diesen Gesprächen auf die Vorratsdatenspeicherung von AnmelderInnen hingewiesen?

Nein. Vermutlich war den höheren BeamtInnen durchaus klar, dass hier der Rubikon des (verfassungs)rechtlich Zulässigen möglicherweise überschritten ist. Immerhin zeigt ein datumsloser Vermerk zu meinen damaligen Anträgen auf Akteneinsicht, dass sich bei der Polizei nicht alle mit dem Verschweigen der VDB anfreunden konnten:

[…] Auskunftsumfang nach § 50 ASOG […] der sich auf alle Personendaten in elektronisch gestützten Datenbanken bezieht, nämlich jetzt hoffentlich auch bald die Veranstaltungsdatenbank. Diese Nummer ist ihm doch mitgeteilt worden?

“Bei Widerstand gegen die Staatsgewalt erfolgt Waffengebrauch, ich warne Neugierige“

Die „stadtweite Veranstaltungsdatenbank“ wird beim Berliner Landeskriminalamt geführt. Warum eigentlich?

Die Situation ist reichlich skurril: Die zuständige Versammlungsbehörde ist in Berlin beim ordnungsbehördlichen Staatsschutz angesiedelt, d.h. die Daten von AnmelderInnen landen ohnehin dort, wo sie aus Gründen der Versammlungsfreiheit (z.B. chilling effects) eigentlich nicht hingehören sollten. Dieser Teil des LKA wird von Joachim Haß geleitet, der in „Kooperationsgesprächen“ gern AnmelderInnen mit falschen Unterstellungen bezichtigt, in seinen Diensträumen Plakate mit der Aufschrift „Die Straße dient lediglich dem Verkehr, bei Widerstand gegen die Staatsgewalt erfolgt Waffengebrauch, ich warne Neugierige” hängen hat und auch nicht davor zurückschreckt, in Versammlungslagen selbst handgreiflich zu werden. Dass sich Berlin einen solchen versammlungsfeindlichen Behördenchef leistet, spricht schon mal Bände.

2.000 Personen sind zugriffsberechtigt, die Datei ist durchsuchbar. Vermutlich auch von der Staatsschutz-Abteilung…

Formal wird die stadtweite Veranstaltungsdatenbank von einer Gemeinsamen Leitstelle Bund-Berlin (GLSt) geführt, die als Teil des Lagezentrums dem Leitungsstab des Berliner Polizeipräsidenten zugeordnet ist. Maßgeblich gepflegt und befüllt wird sie allerdings vom LKA. Neben Herrn Haß haben berlinweit noch viele weitere Beamte Zugriff, wenn auch nur lesend oder zeitlich beschränkt. Ausweislich der Errichtungsanordnung dient die Datei angeblich der „Planung von Einsatzkräften“, der „Erfassung von Abschlussmeldungen“, der „Erstellung von Führungsdokumenten, Übersichten, Lagebildern und Statistiken“ und einer „Gefährdungsbewertung zukünftiger Veranstaltungen“. Dafür wären meines Erachtens jedoch gerade keine personenbezogenen Daten der AnmelderInnen erforderlich. Sollten individuelle Verstöße gegen das Versammlungsgesetz im Raum stehen, werden diese ohnehin in POLIKS erfasst. Um die Speicherung der VDB-Daten für drei Jahre dennoch zu rechtfertigen wird gegenüber Betroffenen seitens der Polizei argumentiert:

Danach ist eine zeitlich befristete Dokumentation erforderlich, um behördliches insbesondere polizeiliches Handeln nachträglich jederzeit abrufbar zur Verfügung zu halten und gegebenenfalls soweit erforderlich auch gerichtlich überprüfen zu lassen.

Warum die Dokumentation in Form einer leicht manipulierbaren und kopierbaren Datenbank und nicht wie üblich auf Papier erfolgt, bleibt bis zur gerichtlichen Verhandlung ungeklärt.

Abschreckungseffekt für die Versammlungsfreiheit

Was forderst du in der Verhandlung? Außer der Bewertung der dubiosen Speicherung deiner eigenen Daten hat der Fall ja eine besondere Bedeutung auch für die Öffentlichkeit, immerhin höhlt die Exekutive das Versammlungsgesetz aus…

Ich sehe in der dreijährigen anlasslosen Speicherung zunächst einen unverhältnismäßigen Eingriff in die informationelle Selbstbestimmung. Solche sensiblen Daten, die zudem auch nicht erforderlich sind, gehören spätestens nach dem Ende der Versammlung gelöscht. Oder um es in den Worten des Bundesverfassungsgerichts zu sagen: Wer damit rechnet, dass die Teilnahme an einer Versammlung behördlich registriert wird und dass ihm dadurch Risiken entstehen können, wird möglicherweise auf eine Ausübung seiner entsprechenden Grundrechte verzichten. Und damit sind wir auch schon beim Abschreckungseffekt dieser Datensammlung, der die Versammlungsfreiheit und folglich auch die individuelle Selbstbestimmung als eine elementare Funktionsbedingung des „auf Handlungsfähigkeit und Mitwirkungsfähigkeit seiner Bürger begründeten freiheitlich demokratischen Gemeinwesens” massiv beeinträchtigt. Denn alle öffentlichen Versammlungen unter freiem Himmel müssen laut § 14 Versammlungsgesetz unter Angabe von Personendaten angemeldet werden.

Hast du seit Bekanntwerden der Speicherungen noch Versammlungen in Berlin angemeldet?

Nein, denn ich befürchte begründet, dass diese umfangreiche Datensammlung früher oder später missbraucht werden wird. Genügend Beispiele für solche Missbräuche gibt es bereits – trotz Rechtsstaat und Datenschutzbeauftragten.

von Matthias Monroy 1. März 2016 10
: Von Storch postet Namen und Bild des Tortenwerfers auf Facebook: Auf den Pranger folgen Morddrohungen

<a href="https://tortenbefehl.wordpress.com/2016/02/28/tortaler-krieg-afd">Hier</a> wurde Beatrix von Storch "getortet".

: Von Storch postet Namen und Bild des Tortenwerfers auf Facebook: Auf den Pranger folgen Morddrohungen

Beatrix von Storch hat ihren mutmaßlichen Tortenwerfer mit Bild und vollem Namen am Sonntagabend an den Facebook-Pranger gestellt. Damit verstößt von Storch wohl nicht nur gegen den guten Geschmack einer Torte: Sie verletze auch die Persönlichkeitsrechte des Aktivisten vom „Peng!“-Kollektiv, so der Medienanwalt Ansgar Koreng gegenüber netzpolitik.org.

Der Aktivist bekommt seitdem zahlreiche Gewalt- und Mordrohungen und hat Anzeige bei der Staatswaltschaft erstattet. Er verlangt nach eigener Aussage auch eine Unterlassungserklärung von Frau von Storch. Nach Auskunft von Koreng stehen die Chancen hierfür gut.

„Der tortale Krieg“

Die Torte im menschlichen Antlitz sei einer der bedeutendsten Einfälle des internationalen Humors, sprach schon Loriot. Mit eben diesem Einfall haben am Sonntag zwei Aktivisten des „Peng!“-Kollektivs die Bundesprogrammkommission der AfD besucht. Zwei Tortenböden, vier Mal Sprühsahne und ein Hotelzimmer haben die Aktivisten noch gebraucht, bis die erste Torte von Storch im Gesicht trifft, begleitet von einem „Happy Birthday“. Der stellvertretende AfD-Sprecher Albrecht Glaser kann eine zweite Torte noch mit dem Arm abwehren. Der tortenwerfende Aktivist muss sich wegen Beleidigung verantworten und erklärt auf einer Aktionsseite:

Kein Aktivist will einen Politiker torten. Ich will das auch nicht. Aber zur Ultima Ratio gehört der Einsatz von Sahnetorten. Und derzeit ist der Gebrauch von Torten das moralische Gebot der Stunde. Der Tortenwurf ist letztes Mittel am Grenzbaum zur Unmenschlichkeit und dringlichster Ausdruck direkter Demokratie.

Reaktionen, nicht nur der Getorteten

Von Storch kommentiert den Tortenwurf auf Facebook: „Wer keine Argumente hat, der zündet Autos an. Oder schmeißt mir Torten ins Gesicht.“ In ihrem Beitrag lädt sie auch ein Bild vom Aktivisten P. hoch und nennt dabei seinen vollen Namen (weitere Reaktionen bei Metronaut).

Zum einen dürfte dies das Namensrecht sowie das Recht am eigenen Bild des Aktivisten (§ 23 Abs. 2 Kunsturhebergesetz) verletzen. Nach Auskunft Korengs habe sich der Aktivist durch den Tortenwurf zwar in die Öffentlichkeit begegeben, was ihn zum Ziel der Berichterstattung macht. Eine identifizierende Berichterstattung sei jedoch unzulässig, wenn ihr eine Prangerwirkung zukommt. Dies dürfte hier der Fall sein. Damit von Storch auch das Bild und P.s Namen von ihrer Facebook-Seite löscht, hat der Aktivist nach eigenen Angaben inzwischen eine Unterlassungserklärung gefordert. Mit guten Aussichten auf Erfolg, so Koreng.

Zum anderen lassen sich mit dem Namen weitere Details herausfinden: Gestern Abend schreibt ein Unbekannter P.s Adresse sowie Telefonnummer unter das Bild. Inzwischen sind diese Kommentare nicht mehr zu sehen. Unklar ist, ob sie von Storch oder von Zuckerberg gelöscht wurden. Was bleibt, sind Foto und Name des Aktivisten auf von Storchs Facebook-Seite – und die vielen Gewalt- und Morddrohungen, die P. nun erreichen. Am Telefon werde von Hinrichtung gesprochen, auch nationalsozialistische Ausrufe muss er sich anhören sowie massenhaft per SMS und Mail lesen.

P. hat bei der Staatsanwaltschaft inzwischen Anzeige gegen die Urheber der Morddrohungen erstattet und kommentiert das Geschehen:

Torten haben immer auch etwas Demaskierendes: Man wirft eine kleine Torte auf die AfD und Morddrohungen kommen raus.

Medienanwalt Koreng dazu:

Ein Gewaltaufruf ist mit von Storchs Veröffentlichung nicht verbunden. Es mag aber sein, dass die Autorin in die Haftung für derartige Aufrufe durch Dritte gerät, wenn sie sie kennt und nicht dagegen einschreitet.

Eine Presseanfrage hierzu ließ von Storch bis zum jetzigen Zeitpunkt unbeantwortet. Wir wollten wissen, wie sie es mit den Persönlichkeitsrechten des Aktivisten P. hält und, ob von Storch die Gewaltandrohungen gegenüber P. auf ihrer Facebook-Seite nicht löschen möchte. Wir warten noch auf eine Rückmeldung.

Hinweis (02.03.; 17.12 Uhr): Anders als von Tagesspiegel (inzwischen korrigiert) und jetzt.de mit Verweis auf diesen Beitrag berichtet, ist Ansgar Koreng nicht der Anwalt des Peng!-Aktivisten. Er hat sich netzpolitik.org gegenüber lediglich zu dem Fall geäußert. Von Frau von Storch haben wir, anders als andere Medien, noch keine Rückmeldung erhalten.

von Fabian Warislohner 1. März 2016 199
: Dokumente zu Privacy Shield veröffentlicht: Safe Harbor in neuem Anstrich

"They put ten layers of lipstick on a pig" - Max Schrems <a href="https://twitter.com/maxschrems/status/704278172708302848">via Twitter</a>

: Dokumente zu Privacy Shield veröffentlicht: Safe Harbor in neuem Anstrich

Die EU-Kommission hat gestern Dokumente zum EU-US-Privacy-Shield veröffentlicht. Privacy Shield soll den Datenaustausch von Firmen zwischen den USA und der EU regeln, nachdem der Vorgänger Safe Harbor vom Europäischen Gerichtshof im letzten Oktober für ungültig erklärt wurde. Als Privacy Shield Anfang Februar vorgestellt wurde, waren viele Datenschützer skeptisch, eine handfeste Beurteilung war aber aufgrund mangelnder schriftlicher Unterlagen noch nicht möglich.

Einer der Hauptaspekte, der Safe Harbor zu Fall brachte, war das Thema Massenüberwachung und Weiterleitung von Daten an US-Geheimdienste. Um europäischem Recht zu entsprechen, müsste diese Standardweiterleitung gestrichen werden, doch Privacy Shield bietet hier keine ernstzunehmende Abhilfe:

[T]he U.S. government has given the EU written assurance from the Office of the Director of National Intelligence that any access of public authorities for national security purposes will be subject to clear limitations, safeguards and oversight mechanisms, preventing generalised access to personal data.

Die „klare Begrenzung“ eines Datenzugriffs stellt sich so dar, dass Massenüberwachungsdaten nur noch in sechs Fällen genutzt werden dürfen. Dazu gehören dehnbare Begriffe wie „Cybersecurity“ und „länderübergreifende kriminelle Bedrohungen“.

Zur besseren Durchsetzung von Rechten gegenüber den US-Geheimdiensten soll im US-Außenministerium eine Ombudsperson eingerichtet werden. Sie soll Beschwerden und Anfragen bearbeiten. Bereits an diesem Punkt gerät man ins Stocken. Eine Ombudsperson muss unabhängig sein, sonst wäre sie keine Ombudsperson. Doch ist eine solche im Außenministerium der USA angesiedelt, lässt sich diese Voraussetzung nicht erfüllen. Diesen Widerspruch stellte auch die aktuelle Ombudsfrau der EU, Emily O’Reilly, fest und richtete ein Schreiben an die mit Privacy Shield befasste EU-Kommissarin Věra Jourová:

According to the International Ombudsman Institute, an Ombudsman „offers independent and objective consideration of complaints“; it „should not receive any direction from any public authority which would compromise its independence“. The Ombudsman Association further specifies that, as regards independence, an „Ombudsman must be visibly and demonstrably independent from those whom the Ombudsman has the power to investigate“.

Für US-Außenminister John Kerry, der die Rolle mit Unterstaatssekretärin Catherine A. Novelli besetzen will, ist das kein Problem. Novelli sei unabhängig von den US-Geheimdiensten und berichte ihm direkt.

Privacy Shield beinhaltet noch weitere Maßnahmen, etwa das Recht, innerhalb von 45 Tagen Antwort auf Beschwerden an Unternehmen zu bekommen. All das kratzt nur an der Oberfläche. Dass US-Geheimdienstpraktiken nicht mit EU-Datenschutzrecht vereinbar sind und es keine wirksamen Datenschutzregelungen in den USA gibt, lässt sich nicht wegdiskutieren. Jan-Philipp Albrecht von den Grünen im EU-Parlament spricht von einer „neu vermarkteten“ Variante von Safe Harbour. Max Schrems, von dem die Klage ausging, die zum Fall von Safe Harbor geführt hatte, bezweifelt, dass sich Datenschutzbehörden und der Europäische Gerichtshof zufriedengeben werden, nur weil man das Schwein mit zehn Lagen Lippenstift angemalt hat.

Joe McNamee von European Digital Rights kommentiert:

The European Commission has given Europe a lesson on how not to negotiate. This isn’t a good deal, it hardly deserves to be called a ‚deal’ of any kind.

Zusammengefasst: Die Skepsis bei der ersten Vorstellung von Privacy Shield hat sich bestätigt. Noch ist aber nichts entgültig entschieden. Es folgt eine Konsultation der Artikel-29-Datenschutzgruppe. ~~Zum Abschluss muss Privacy Shield auch von EU-Parlament und Rat abgesegnet werden.~~ Laut Hinweis aus den Kommentaren (Danke!) muss das gar nicht passieren, da nach Artikel 25(6) der EU-Datenschutzrichtlinie die Kommission Entscheidungen über Drittstaaten mit angemessenem Schutzniveau trifft.

von Anna Biselli 1. März 2016 15
: Anhörung zu EU-Datenschutzverordnung: „Wird künftigen Herausforderungen nicht gerecht“

Der Kasseler Rechtsprofessor Alexander Roßnagel kritisierte scharf die EU-Verordnung zum Datenschutz. Screenshot: Parlamentsfernsehen

: Anhörung zu EU-Datenschutzverordnung: „Wird künftigen Herausforderungen nicht gerecht“

Grundsätzlich sei die Einigung auf die EU-Datenschutzgrundverordnung zu begrüßen, lautete der Tenor vergangene Woche im deutschen Bundestag – gefolgt von einem großen „Aber“ der meisten Sachverständigen, die zu einer Anhörung zur Neuregelung des europäischen Datenschutzes geladen waren. „Es war ein guter Tag für Europa und auch ein guter Tag für den Datenschutz“, sagte Andrea Voßhoff, Beauftragte für den Datenschutz und die Informationsfreiheit. „Bei aller Kritik im Detail“ werde das europäische Datenschutzrecht „durchaus auf hohem Niveau künftig Geltung haben“, erklärte die Datenschützerin vor dem Ausschuss Digitale Agenda (Video, Schriftliche Stellungnahmen).

So schreibe die Verordnung die „bewährten Prinzipien des grundrechtsorientierten Datenschutzrechtes“ fest, indem etwa das informationelle Selbstbestimmungsrecht des Einzelnen Grundlage des Datenschutzes bleibe. Auch weitere Prinzipien wie Datensparsamkeit, Zweckbindung, Transparenz oder Datensicherheit fänden sich „dem Grunde nach“ in der Verordnung wieder. Der – freilich noch nicht finalisierte – Gesetzestext werde wirtschaftliche Entwicklung nicht hemmen, sondern eher „Ansätze für innovative und intelligente Geschäftsmodelle“ liefern, die sich durch „guten Datenschutz auszeichnen und ein Qualitätsmerkmal der europäischen Wirtschaft sein können“, versuchte Voßhoff die Bedenken datenhungriger Unternehmen auszuräumen.

„Verordnung wird künftigen Herausforderungen nicht gerecht“

Bei der nationalen Umsetzung sollte der Beschäftigtendatenschutz einen hohen Stellenwert erhalten und mit Hilfe der Öffnungsklausel (in Artikel 35) mit Leben gefüllt und ausgebaut werden. Diese stellt es den EU-Mitgliedsstaaten frei, ob sie betriebliche Datenschutzbeauftragte verbindlich verankern oder nicht. Sollte sich die deutsche Regierung dagegen entscheiden, dann würde das in diesem Bereich eine Verschlechterung im Vergleich zum derzeitigen Zustand bedeuten.

Deutlich kritischer zeigte sich der Kasseler Rechtsprofessor Alexander Roßnagel, der vor einer generellen Absenkung des Datenschutzes in Deutschland warnte und „gewaltige Lücken“ und daraus folgende Rechtsunsicherheit in der EU-Verordnung ausmachte. „Sie wird den künftigen Herausforderungen wie zum Beispiel Big Data, Ubiquitous Computing, Cloud-Computing und datenzentrierten Geschäftsmodellen nicht gerecht, und versucht sie nicht einmal zu addressieren“, erklärte Roßnagel.

Wirrwarr an Vorschriften

Es sei das ursprüngliche Ziel verfehlt worden, ein unionsweit einheitliches Datenschutzrecht zu schaffen, da die Verordnung nur dann Vorrang vor nationalen Regelungen genieße, wenn die Anwendung der jeweiligen Regeln zu unterschiedlichen Ergebnissen führe. „Dies führt dazu, dass das künftige Datenschutzrecht aus einem unübersichtlichen Konglomerat von Unions- und nationalem Recht besteht, und große Unsicherheit entsteht, welche nationale Vorschrift künftig noch anwendbar ist“, sagte Roßnagel.

Statt einer schwer zu durchschauenden Gemengelage von europäischen und deutschen Vorschriften brauche es Regelungen, „die die Verordnung erst vollzugsfähig machen“, so der Jurist. Insgesamt leide der Gesetzentwurf an der „Unterkomplexität ihrer Regelungen“ und am hohen Abstraktionsgrad. Den 45 Artikeln der Verordnung stellte Roßnagel die „tausenden Vorschriften“ des deutschen Datenschutzrechts gegenüber, die die gleichen Probleme behandelten. Daran lasse sich ablesen, „welche Defizite die Datenschutzgrundverordnung aufweisen muss“.

Marktortprinzip soll Datenschutzoasen verhindern

Auch in Österreich sei man mit dem Kompromiss „nicht ganz so glücklich“, machte die Datenschutzexpertin Waltraut Kotschy ihre „grundsätzlich vielleicht eher negative Haltung“ deutlich. Es stehe noch viel Arbeit bevor, insbesondere von den Aufsichtsbehörden und vom europäischen Datenschutzausschuss, um das Beste aus der Verordnung zu machen. Als eine „wirklich große Errungenschaft“ bezeichnete sie das Marktortprinzip, „weil es endlich die Unterschiedlichkeit in den Regeln für verschiedene Marktteilnehmer beseitigt“.

Dem schloss sich Jan Oetjen von der United Internet AG an und betonte, dass „hierbei keine Datenschutzoasen entstehen“ dürften. Sonst drohe ein Wettkampf der einzelnen Mitgliedstaaten um die Attraktivität des Standortes. Auch die erwähnten Öffnungsklauseln sollten klarer gefasst beziehungsweise so mit Leben gefüllt werden, dass sie keine Hintertüren öffnen.

Opt-in-Inflation befürchtet

Für begrüßenswert hielt Oetjen das Einwilligungs- und Transparenzprinzip, das jedoch nicht überspannt werden dürfte. Eine befürchtete „Opt-in-Inflation“ könnte dazu führen, dass Nutzer alles blind abnicken oder das gleich von einer Browser-Erweiterung erledigen lassen. Im Vorteil sah er dabei Anbieter von großen Plattformen und vor allem von Betriebssystemen, die im Unterschied zu kleineren Betreibern kaum Schwierigkeiten haben dürften, von ihren Nutzern Einverständniserklärungen einzuholen.

Im Gegenzug dazu brauche es laut Oetjen Anreize, die Pseudonymisierung von Nutzerdaten voranzutreiben, um bei Big-Data-Anwendungen nicht von der US-Konkurrenz abgehängt zu werden. Da die Verordnung die gleichen rechtlichen Voraussetzungen an Opt-ins stelle, wenn es um die Verarbeitung von pseudonymisierten Daten und Klardaten gehe, würden Firmen dazu tendieren, „sich ein volles Opt-in für die Verarbeitung von Klardaten zu besorgen“, prophezeite Oetjen.

Pseudonymisierung nur Zwischenschritt

Gleichwohl handle es sich bei Pseudonymisierung nur um einen Zwischenschritt, sagte die brandenburgische Datenschützerin Dagmar Hartge, ebenso der Gebrauch anonymisierter Daten, was aufgrund der hohen Datenmengen nicht sicher bleiben werde: „Wir werden erkennen müssen, dass man mit beiden Punkten nicht auf Dauer wird arbeiten können. Das Datenschutzproblem wird sich verlagern“. So habe etwa die Telekom Deutschland eingeräumt, dass selbst „Anonymisierung letztenendes gar nicht mehr so richtig funktioniert“. Hier nahm sie neben der Wirtschaft auch die Wissenschaft in die Pflicht, Ansätze zu „Privacy by Design“ mitzuentwickeln: „Ich glaube auch, dass Modelle kippen würden, wenn man die Bürgerrechte ausklammert, um im Geschäftsbereich sehr erfolgreich zu sein, weil das irgendwann nicht mehr akzeptiert werden würde“.

von Tomas Rudl 29. Februar 2016 4
: Noch einiges zu tun: Hamburg bringt Bundesratsinitiative zum EU-US-Umbrella-Agreement ein

Das Umbrella Agreement soll den Datentransfer zu Strafverfolgungszwecken zwischen EU und USA regeln. - <a href="https://creativecommons.org/licenses/by-nc-nd/2.0/">CC BY-NC-ND 2.0</a> via flickr/<a href="https://www.flickr.com/photos/howardignatius/13541944255/in/photolist-mCE1ev-56wNbr-6QNXQR-q2QHJk-8YCdAb-9WLeVB-pkATum-daWw7G-8ZrygU-s464PN-coEXwo-o1Uigi-rGhjZW-fCyp2s-cj32yQ-6csXfy-28onv-pCY82q-dKU43v-8GKz4W-daWuE8-9rnrxU-PjH3T-rTjeYX-514GE7-5jub4b-krQB9y-6bi73H-4GWbhK-jHdME-p8UAoA-eYPSs5-ddZ4mn-d7cwSh-aoHQGu-bNw1Kx-nDm4AR-7EBgn1-61EFZ6-rHFHqb-a3zp7E-cVCW6s-7kWndb-5ZS5Nx-gBSYVM-cEwizS-75hiXC-iDxiWK-6LvZF-fyqmEZ">howardignatius</a>

: Noch einiges zu tun: Hamburg bringt Bundesratsinitiative zum EU-US-Umbrella-Agreement ein

In der EU wurden Ende letzten Jahres die Verhandlungen für das EU-US-Umbrella-Agreement zu Ende gebracht, das den Datenschutz bei dem Transfer persönlicher Daten für Strafverfolgungszwecke zwischen den USA und der EU regeln soll.

Der verhandelte Endstand enthält noch einige Datenschutz-Schlupflöcher. Das findet auch der Hamburger Senat, der nun eine Bundesratsinitiative eingebracht hat, die bestehende Probleme anspricht und nebenbei gut zusammenfasst.

Zweckbindung und Datenweitergabe nicht konsequent geregelt

Zwar ist eine Zweckbindung für Belange der Strafverfolgung im Text verankert, eine effektive Einschränkung, dass die Empfängerbehörde Daten an Dritte weitergibt, findet sich jedoch nicht. Daten können nationalen Regelungen entsprechend an andere Behörden übermittelt werden. Die Einschränkung, dass Daten für den spezifischen Fall relevant sein müssen und die Weitergabe nicht unverhältnismäßig sein darf, lässt Interpretationsspielraum.

Datenweitergabe an Drittstaaten ist laut dem Umbrella Agreement weiterhin möglich. Dass diese Staaten ein angemessenes Datenschutzniveau gewährleisten müssen, ist schwer kontrollierbar, vor allem wenn diese Staaten ihrerseits nach nationaler Gesetzgebung Daten weiterübermitteln und eine Nachverfolgung zunehmends schwieriger wird.

Ebenso fehlt ein Ausschluss der Datenweitergabe, falls die Daten zur Verhängung einer Todesstrafe führen könnten. Das hatte der Bundesrat im Dezember 2015 gefordert.

Der Hamburger Justizsenator Till Steffen kommentiert gegenüber netzpolitik.org:

Für unsere Strafverfolgungsbehörden gelten enge Grenzen für den Umgang mit den Daten der Bürgerinnen und Bürger. Darauf gründet das Vertrauen in Polizei und Justiz. Deswegen braucht es klare Regeln für die Übergabe von Daten an Staaten außerhalb der EU. Eine Übermittlung muss in den Fällen ausscheiden, in denen die Verwendung der Daten in einem Strafverfahren die Todesstrafe nach sich ziehen könnte. Auch muss sichergestellt sein, dass die übermittelten Daten nicht noch weiteren Staaten zur Verfügung gestellt werden, denen die europäischen Datenschutzstandards egal sind. Diesen Schutz bietet das geplante Umbrella Agreement zwischen der EU und den USA zum Datenaustausch zu Strafverfolgungszwecken bisher nicht. Unsere Bundesratsinitiative will diese Schutzlücken schließen.

Rechtsansprüche für Betroffene nicht garantiert

Eine der Bedingungen der EU beim Abschluss des Abkommens war, dass EU-Bürger ihre Rechtsansprüche bezüglich Einsicht, Löschung und Korrektur von Daten durchsetzen können. Ein entsprechender Passus findet sich auch, er gewährleistet nur unzureichenden Schutz. Wir schrieben bereits im letzten Jahr:

Wenn es darum geht, dass dem Bürger Auskunftsrecht gewährt werden soll, sieht es ähnlich aus. Es bleibt die ~~Hinter~~Vordertür, dass der Zugang zu den persönlichen Daten nach „den rechtlichen Rahmenbedingungen des Staates geregelt wird, in dem der Zugang gesucht wird.“ Und die Möglichkeiten, den Zugang zu blockieren gehen noch weiter. Sieben verschiedene Gründe gibt es, „angemessene Beschränkungen in inländischem Recht“ umzusetzen, natürlich mit guten Bekannten wie der Gefährdung nationaler Sicherheit und der Behinderung der Arbeit von Strafverfolgern. Es wird also faktisch immer einen Weg geben, einen Auskunftsanspruch zu verweigern. Gleiches gilt für Transparenzpflichten.

Will man Rechtsmittel einlegen, gilt wieder die Anwendung nationaler Gesetze. Von einer Abschaffung der Ungleichbehandlung von US-Personen und Nicht-US-Personen ist man dementsprechend noch meilenweit entfernt, solange die USA letztere nicht als Menschen mit vollem Anspruch auf Grundrechte ansehen.

Gleichstellung von US-Personen und Nicht-US-Personen rückt näher

Für das Inkrafttreten des Umbrella Agreements war eine Gesetzesänderung in den USA notwendig, die Nicht-US-Personen gleiche Rechte wie US-Personen bezüglich ihrer Daten zugesteht. Dieser Judicial Redress Act würde das oben genannte Problem mildern. Präsident Obama muss das vom Senat verabschiedete Gesetz noch unterzeichnen.

Das Umbrella Agreement ist nicht das einzige Datenschutzabkommen zwischen EU und USA, das derzeit in Planung ist. Am 2. Februar hat die Europäische Kommission bekannt gegeben, dass mit den USA ein Nachfolger für Safe Harbor verhandelt wurde, das „EU-US Privacy Shield“. Datenschützer haben das Privacy Shield überwiegend kritisiert. So lange aber kein konkreter Text veröffentlicht ist, lässt sich das Gesamtpaket schwer beurteilen. Wir sind gespannt, wann ein erster Entwurf veröffentlicht wird.

von Anna Biselli 19. Februar 2016 1