Im Erwägungsgrund 63 der DSGVO heißt es wortwörtlich:

 „Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.“ 

Dieser Absatz fasst im Grunde genommen das Wesen des Auskunftsrechtes perfekt zusammen. 

Eine betroffene Person kann von dem Verantwortlichen eine Bestätigung darüber verlangen, ob er personenbezogene Daten von ihm verarbeitet. Ist dies nicht der Fall, weil bspw. der Verantwortliche keine Daten gespeichert hat oder alle Daten bereits gelöscht hat, so hat er trotzdem dem Betroffenen eine Auskunft zu erteilen. Diese Negativauskunft ist auch dann erforderlich, wenn der Verantwortliche über unwiderruflich anonymisierte personenbezogene Daten verfügt. 

Wenn jedoch Daten verarbeitet werden, darf die betroffene Person konkrete Auskünfte darüber verlangen, was verarbeitet wird. 

Der Antrag der betroffenen Person ist vollkommen formfrei. Das bedeutet, dass man mündlich sowie schriftlich den Antrag einbringen kann. Inhaltliche Anforderungen sind der DSGVO auch nicht zu entnehmen, jedoch ist man gut beraten, wenn einige Inhalte wie z.B. Name verständlich wiedergegeben sind, damit der Verantwortliche das Verfahren effizient und rasch bearbeitet kann. Der Antrag und seine Bearbeitung unterliegen dem Beantwortungs- und Beschleunigungsgebot des Art. 12 DSGVO. Der Verantwortliche hat grundsätzlich 1 Monat Zeit das Verfahren abzuschließen und dem Betroffenen das Ergebnis zu präsentieren – unterlassene oder unentschuldigt verspätete Antworten sind mit hohen Strafen bedroht, gem Art. 83 mit bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes! Weiters ist festzuhalten, dass Auskünfte unentgeltlich zu erfolgen haben. Übertreiben Sie es aber nicht, da beim Missbrauch Entgelte anfallen dürfen. 

Jetzt stellt sich nur noch die Frage: Wie kommen Sie schnell und unkompliziert zu Ihrer Auskunft? Es gibt tatsächlich bereits einige Online-Tools, welche die meiste Arbeit übernehmen. Ein Beispiel haben wir in einem früheren Blog genannt – selbstauskunft.net. Das Portal ermöglicht es Ihnen mit wenigen Klicks automatische Anschreiben zu erstellen, sodass Ihre einzige Aufgabe darin besteht, das Dokument abzuschicken. Jedoch ist auch die manuelle Methode – ohne Tool – nicht viel komplizierter. Im Urteil des LArbG Baden-Württemberg vom 17.3.2021, 21 Sa 43/20, hat das Gericht festgestellt, dass ein Antrag auf Auskunft bereits dann hinreichend bestimmt ist, wenn der Antragsteller mitteilt, welche Informationen er für welche Kategorien von personenbezogenen Daten begehrt. Dies ändert jedoch nichts daran, dass Sie insoweit auf die Form achten müssen, als sie der Verantwortliche Sie möglichst sicher identifizieren kann, damit er die gewünschten Informationen nicht an eine falsche Person schickt. Ergänzen Sie daher Ihr Ansuchen mit Ihren vollständigen Absenderangaben, ggf. mit Ihrer Kundennummer oder anderen Angaben, die eine sichere Identifizierung Ihrer Person ermöglichen.

Fazit: Das Auskunftsrecht ist ein grandioses Werkzeug. Die DSGVO sieht für Sie als

betroffene Person kaum Formvorschriften vor, sodass Sie das Ansuchen meist unkompliziert und rasch entsenden können. Sie können auch ganz simplen Online-Tools nutzen, um Musterbriefe für die gängigsten Unternehmen zu erstellen, wodurch ihr Aufwand nochmal geschmälert wird. Ob Daten gespeichert bzw. verarbeitet werden ist Interessant, jedoch ist viel wichtiger was verarbeitet wird. Insbesondere können sich falsche Daten schlecht auf Ihre Lebensqualität auswirken! Deswegen unser Rat an Sie – Nutzen Sie Ihr Recht! 

Haben Sie Ihr Auskunftsrecht bereits benutzt? Wir sind auf Ihre Erfahrungen gespannt – schreiben Sie es in die Kommentare!

Der Austritt des Vereinigten Königreichs aus der EU hat auf vielen Gebieten Auswirkung – die DS-GVO nicht ausgenommen. Durch den vollzogenen Brexit gilt UK nun als Drittland.In Hinsicht auf den Datenaustausch wurde England eine Übergangsfrist bis einschließlich heute, den 30. Juni 2021, eingeräumt. Verständlich, dass man nun handeln musste, um den Austausch für Datenexporteure und -Importeure zu erleichtern. 

Innerhalb der Union ist die Verarbeitung von personenbezogenen Daten im Sinne eines Auftrags gem. Art 28 soweit erleichtert, dass ein Auftragsverarbeitungsvertrag (AVV) ohne Weiteres zwischen den Parteien  abgeschlossen werden kann. Kommt jedoch der Datenimporteur aus einem Drittland sieht der Sachverhalt etwas anders aus. Da in der Union die informationelle Selbstbestimmung durch die DS-GVO einheitlich gesichert ist, müssen Vorkehrungen getroffen werden, um dies auch für EU-Ausland zu garantieren. Die für die Praxis relevantesten Tools sind hierbei die sog. Angemessenheitsbeschlüsse und die Standardvertragsklauseln (SCC). Zweiteres wird womöglich in einem späteren Beitrag näher erläutert.

Ein Angemessenheitsbeschluss ist salopp gesagt die „Créme de la Créme“ für die Übermittlung personenbezogener Daten an Drittländer. 

Die Kommission überwacht fortlaufend die Entwicklungen in Drittländern. Kommt sie zum Entschluss, dass ein Land ein ähnliches Datenschutzniveau wie die EU hat, wird das Land als „sicheres Land“ eingestuft. Dadurch wird das Abschließen von AVV gem. Art 28 soweit erleichtert, dass keine weiteren Verträge oder Einwilligungen abgeschlossen bzw. eingeholt werden müssen. 

Genau zu diesem Ergebnis ist die Eu-Kommission gekommen. Durch den Beschluss am 28. Juni gilt UK als solch ein sicheres Land. Nun können AVV weiterhin problemlos abgeschlossen werden. 

Jedoch darf man die Entscheidung der Kommission kritisch hinterfragen. Fast schon amüsant war hierbei der Weg zum Erlass. Dem Europäischen Parlament wurde der Entwurf zur Abstimmung vorgelegt. Am 21. Mai 2021 wurde er mehrheitlich abgelehnt. Kritikpunkte aus der Entschließung P9_TA (2021) 0262 sind unter anderem, die durch Edward Snowden aufgedeckte, Massenüberwachung und mangelnde Umsetzungen von datenschutzrechtlichen Vorgaben (selbst als UK noch Unionsmitglied war). Trotz vorliegenden Bedenken entschloß sich die Kommission ihr Vorhaben durchzubringen. Ob die Befürchtungen des Parlamentes sich bewahrheiten werden, bleibt abzuwarten.

Zusammenfassend lässt sich folgendes festhalten: Der Angemessenheitsbeschluss sorgt jedenfalls für Erleichterung für alle Datenexporteure (bspw. deutsche Unternehmen) und Datenimporteure (Englische Unternehmen). Sie können weiterhin ihre Datenverarbeitung im Auftrag auf Basis einer einfachen AVV gem. Art 28 DS-GVO fortsetzen. Nichtsdestotrotz sind Unternehmen gut beraten diese AVV in Hinblick auf die Anforderungen aus Art. 28 noch mal zu überprüfen. 

Haben Sie bereits Erfahrungen mit dem Thema Angemessenheitsbeschluss gemacht? Unter welchen Herausforderungen standen Sie dabei? Schreiben Sie es in die Kommentare, als Community können wir voneinander lernen!

Bei der Erstellung von Websites müssen jedoch auch datenschutzrechtliche Anforderungen eingehalten werden. Bedient sich der Nutzer einer solchen Plattform, muss er sicherstellen, dass seine Website am Ende auch datenschutzkonform ist, da der Nutzer als Betreiber der Website hierfür allein verantwortlich ist.

Der WIX-Baukosten als solches ist nicht automatisch datenschutzkonform und dies sollte der Nutzer auch nicht erwarten, da es sich hier um einen weltweiten Anbieter handelt. Der Nutzer muss einige Anpassungen an der Website vornehmen, um den Anforderungen der DSGVO gerecht werden zu können. Neben einer Datenschutzerklärung muss der Nutzer die Möglichkeit der Löschung von personenbezogenen Daten anbieten, sowie auch eine Löschung des Accounts des Users. Zudem sollte die Möglichkeit geschaffen werden, sich bspw. von Werbung oder Newslettern usw. abzumelden. All diese Bausteine sind in WIX nicht automatisch enthalten, weshalb bei der Erstellung einer Website mit WIX also grundsätzlich Vorsicht geboten ist. WIX bietet für diese Anforderungen jedoch auch Erweiterungen an, die zum Teil aber kostenpflichtig sind.

Letztlich müssen einige Informationen trotzdem selbst erstellt werden, wie z.B. die Datenschutzerklärung. WIX bietet hierfür eine juristische Textvorlage an. Allerdings ist auch hier Vorsicht geboten, da WIX selber darauf verweist, dass es sich bei der Vorlage nicht um eine Rechtsberatung handelt und empfiehlt selber die Einholung juristischen Rates.

So einfach wie es klingt, ist es also nicht. Haben Sie bereits Erfahrungen mit WIX gemacht? Unter welchen Herausforderungen standen Sie dabei? Schreiben Sie es in die Kommentare, als Community können wir voneinander lernen!

Bei Microsoft 365 handelt es sich um einen Online-Dienst, einer Office-Webanwendung und einem Office-Software-Abonnement, welches cloudbasiert ist. Faktisch haben weit über 90 % aller Unternehmen Microsoft-Produkte im Einsatz, meist handelt es sich dabei um Microsoft oder Office 365. Dies könnte in datenschutzrechtlicher Hinsicht nunmehr problematisch sein, da Microsoft zahlreiche Telemetriedaten seiner Nutzer sammelt. Diese Daten fallen jedoch unter den Anwendungsbereich der DS-GVO, da es sich um personenbezogene Daten handelt, diese jedoch durch die Datensammlung von Microsoft an ein Drittstaat übermittelt werden. Hierbei entsteht das eigentliche Problem in Sachen Datenschutz und Informationssicherheit.

Prüfung und Risikoabschätzung der internen Prozesse

In einem Whitepaper der audatis Consulting GmbH zeigt diese Lösungsansätze für den Einsatz von Microsoft 365 auf. Neben der Identifikation und Klassifizierung der Daten und organisatorischen Maßnahmen wird beispielsweise die Durchführung einer Risikoanalyse empfohlen. Dabei ist eine Datenschutz-Folgenabschätzung von besonderer Relevanz. Zu analysieren sind hier, ob die Prozesse grundsätzlich ein datenschutzrechtliches Risiko für betroffene Personen darstellen und ob diese ein Risiko für die als kritisch eingestuften Daten und Informationen darstellen. Zudem sollen ausreichende Maßnahmen etabliert werden, um die identifizierten Risiken zu minimieren.

Von zentraler Bedeutung sind die datenschutzrechtlichen Rahmenbedingungen, wozu der Abschluss der Online Service Terms und die darin enthaltenen EU-Standardvertragsklauseln zusammen mit dem Datenschutzbeauftragten gehört.

Darüber hinaus wird ein Berechtigungs- und Datenschutzkonzept empfohlen sowie u.a. ein mehrstufiges Rollout-Konzept mit Datenschutzbeauftragten, Informationssicherheitsbeauftragen und Betriebsrat für die Einführung von Microsoft 365.

Welche Maßnahmen halten Sie für sinnvoll? Sollten eventuell noch weitere Maßnahmen ergriffen werden? Schreiben Sie es in die Kommentare. Als Community können wir gemeinsam voneinander lernen.

Im letzteren Fall nennt man diese Cookie-Banner auch „Gatekeeper“. Sie stellen sowas dar, wie ein Türsteher, der einen nur dann „rein“ lässt, wenn man „OK“ geklickt hat. Die Nutzung solcher Gatekeeper ist im Übrigen rechtlich gar nicht mal so unumstritten. Aber das wäre ein anderer Blogbeitrag. 

Viele Nutzer machen es sich einfach und klicken den lästigen Cookie-Banner einfach „weg“ und haben dann irgendwann das unangenehme Gefühl von der Werbewirtschaft verfolgt zu werden: Sich mal eben für Rasenmäher interessiert, und schon tauchen Rasenmäher überall wieder auf – sei es bei Amazon, bei Facebook oder bei einem Newsportal.

Dem kann man in sehr vielen Fällen entgegenwirken, wenn man seine Gewohnheiten des einfachen „Wegklickens“ einfach ein wenig umstellt und sich und dem Datenschutz einen 2. Klick gönnt. Und so geht’s bei den allermeisten Cookie-Banner: 

1. Man klickt in dem jeweiligen Cookie-Banner erst auf „Einstellungen“ (oder dergleichen), statt gleich auf „OK“ oder „Alles akzeptieren“ zu klicken. 
2. Man klickt dann auf „Einstellungen speichern“ (o.ä.)

Das Recht verlangt nämlich eine datenschutzfreundliche Voreinstellung („Privacy by Design“). Danach muss in den Standardeinstellungen ein Tracking grundsätzlich ausgeschaltet sein. Man muss sich also in der Regel nicht die ganzen Einstellungen durchlesen und sich irgendwo austragen („Opt-Out“), sondern kann gleich auf „Einstellungen speichern“ klicken. 

Hier sehen ein Beispiel, welches häufig vorkommt:

Und ein zweites Beispiel:

Die Einstellungen werden dann lokal auf dem Rechner gespeichert. Und das ist in diesem Fall auch gut so: Denn beim nächsten Besuch der Webseite werden genau diese Informationen an den Provider übermittelt und auch die Info, dass ein Tracking nicht gewünscht ist. Und man kann ohne Trackingstress die Inhalte der Webseite genießen.

Haben Sie weitere Beispiele für eine 2-Klick Lösung von Cookie-Einwilligungen (gesehen)? Teilen Sie diese in den Kommentaren. So können wir als Community gegenseitig voneinander lernen.

Ihr Julius S. Schoor

• Man hat ab diesem Zeitpunkt keinen Zugriff mehr auf den Account
• Es kann aber immer noch bis zu 90 Tage dauern, bis die in Backup-Systemen gespeicherte Daten gelöscht sind. Ihre Informationen sind während dieser Zeit aber nicht auf WhatsApp verfügbar.
• ACHTUNG: Die Löschung hat keinen Einfluss auf die Informationen, die andere Benutzer über Sie haben, z. B. die Kopie der Nachrichten, die Sie gesendet haben.
• Kopien einiger Materialien (z. B. Log-Datensätze) können in der WhatsApp-Datenbank bei WhatsApp verbleiben, werden jedoch von persönlichen Kennungen getrennt (pseudonymisiert oder – je nach konkreter Info sogar – anonymisiert)
• Persönliche Informationen, die Sie mit den anderen Facebook-Unternehmen teilen bzw. geteilt haben, werden ebenfalls gelöscht.

Welche Erfahrungen haben Sie gemacht, als Sie Ihren WhatsApp-Account gelöscht haben? Schreiben Sie mir in den Kommentaren!

Ausgangspunkt

Bei dieser Betrugsmasche erhalten Sie bei Facebook eine an Sie namentlich adressierte Nachricht von einem Ihrer Freunde mit Emoticons sowie einem angeblichen Link zu einem YouTube-Video. Durch die namentliche Ansprache und die spärlichen Informationen sollen Sie neugierig auf das ominöse Video gemacht und damit zum Anklicken des Links verleitet werden.

So sehen die gefährlichen Nachrichten und der Link aus.

Wer seiner Neugier nachgibt, beim vertrauten Facebook-Freund nichts Böses ahnt und auf den Link klickt, kann laut der Polizei Niedersachsen in eine Falle tappen. Nutzer werden – sofern sie den Link auf dem Smartphone aktivieren – beispielsweise auf eine gefälschte Facebook-Login-Seite geleitet, die als Fälschung jedoch kaum bis gar nicht erkennbar ist. Auf dieser (gefälschten) Facebook-Seite werden Sie erneut um Eingabe Ihre Zugangsdaten – also E-Mail-Adresse und Passwort gebeten. Diese Daten werden anschließend per Phishing erbeutet – das heißt sie werden an Kriminelle weitergeleitet.
Wer den Link von seinem Computer aus anklickt, landet auf der YouTube-Startseite oder einer gefälschten Seite, die möglicherweise Malware auf dem PC einschleusen könnte.
Betroffene werden von den Betrügern meist auch gleich selbst als Nachrichten-Versender missbraucht, ohne es zu merken. In ihrem Namen werden wiederum die Nachrichten mit dem präparierten YouTube-Video an die gesamte Freundesliste versendet.
Wenn Sie eine solche Messenger-Nachricht erhalten haben, sollten Sie keinesfalls den Link anklicken, sondern die Mitteilung umgehend löschen.
Haben Sie doch auf den Link geklickt? Ändern Sie sofort Ihre Zugangsdaten. Sollten Sie Ihr „Facebook-Passwort“ auch an anderer Stelle verwenden, so ändern Sie es auch dort entsprechend.

Maßnahmen, um sich vor derartigen Angriffen besser zu schützen

Diese linke Masche ist leider nicht neu und wiederholt sich schneeballartig. Sie schauen unterwegs und nicht besonders aufmerksam auf Ihre Nachrichten, klicken auf den Link und schon ist es zu spät. Das geht schnell. Deswegen sollten Sie Ihr Facebook-Konto besser vor solchen Angriffen schützen. Verwenden Sie dafür die sog. Zwei-Faktor-Authentifizierung. Bei diesem Verfahren muss – neben dem Benutzernamen und Passwort – noch ein weiterer Faktor (darum Zwei-Faktor) hinzukommen, damit Sie sich anmelden können.

Facebook bietet hierfür zwei unterschiedliche Verfahren an.
Beim ersten authentifizieren Sie sich per Mobiltelefon. Bei jeder Anmeldung wird eine SMS mit einem Code versendet, der zusätzlich eingegeben werden muss. Dieses Verfahren nutzen die meisten Online-Banking-Seite ebenfalls.
Daneben können Sie auch auf bestimmte Authentifizierungsprogramme zurückgreifen, die auf dem Smartphone oder einen anderen Gerät – beispielsweise einem iPad – installiert werden müssen. Hier läuft das Verfahren ganz ähnlich: Auf der App (oder dem Drittgerät) wird beim Anmeldeversuch ein Code angezeigt, der bei der Facebook-Anmeldung zusätzlich eingegeben wird. Erst jetzt funktioniert Ihr Login.

Fazit

Auch über ein halbes Jahr nach dem Bekanntwerden funktioniert dieser Angriff auf unsere Facebook-Zugangsdaten. Leider.
Mit diesen fünf Tipps können Sie sich zukünftig besser schützen:

1. Bleiben Sie stets skeptisch!
2. Klicken Sie nicht auf Links, von denen Sie nicht wissen, wohin Sie führen!
3. Geben Sie niemals Ihre Zugangsdaten nach einer oben beschriebenen Weiterleitung ein!
4. Aktivieren Sie die Zwei-Faktor-Authentifizierung in Ihrem Account!
5. Verwenden Sie eine Firewall, einen aktuellen Virenscanner und führen Sie stets alle Updates des jeweiligen Betriebssystems durch!

Haben Sie ebenfalls eine manipulierte Nachricht erhalten?

Ich bin auf Ihre Erfahrungen gespannt.

Schreiben Sie mir gern einen Kommentar!

__

Titelbild (CCO Public Domain)

__

Problemaufriss – Vibrator mit WLAN und Kamera

Neben Erotikartikeln in Weihnachtskalendern ist die Vielfalt der Angebotspalette auch für Heiligabend grenzenlos, jede Nachfrage findet ein passendes Angebot.

Der technologische Fortschritt zeigt sich auch hier: So gibt es beispielsweise inzwischen Vibratoren, die vom anderen Ende der Welt mittels App oder aber über das heimische WLAN  ferngesteuert werden können. Das ist allerdings längst noch nicht alles. Nunmehr berücksichtigt der Markt auch die Nachfrage nach Vibratoren mit Kamera. Auf den Seiten der Hersteller heißt es hierzu: „…Momente der Liebe durch aufgenommene Bilder und Videos zum Leben erwecken….“

Versetzen Sie sich in die Situation, die auf einer wahren Begebenheit basiert und in den USA zu einer Millionen-Dollar-Klage (für den Hersteller) führte: Wegen einer sich anbahnenden Geschäftsreise schenkte ein Mann seiner Frau einen Vibrator zu Weihnachten, um die Zeit der Fernbeziehung „entspannter“ zu überbrücken. Dabei ahnte der Mann nicht, dass er nicht nur ein Produkt verschenkte, sondern ebenfalls ein neues Produkt erzeugte, nämlich die Intimsphäre seiner Frau.

Denn eben dieser Vibrator besaß eine Kamerafunktionalität. Ob diese Funktion zwingend notwendig ist und welche „Vorteile“ hiermit verbunden sind, bleibt Ihrer Fantasie überlassen und soll vorliegend nicht näher beleuchtet werden.

Gleichwohl ist hierbei interessant, dass durch die zusätzliche Implementierung einer Kamerafunktion naturgemäß höchst intime Momente erfasst werden, welche im Rahmen des Datenaustausches – hier durch Übermittlung der aufgenommenen Kamerabilder – selbstverständlich durch Hacker an- und abgreifbar sind.

Dabei bedarf es im Zweifel nicht einmal eines Hackerangriffs im klassischen Sinne. Denn häufig ist es so, dass das Webinterface mit voreingestellten Zugangsdaten ausgestattet ist, wobei die SSID des WLAN-Access-Points direkt nach dem Gerät benannt wird. Benutzername und Passwort sind standardisiert – d.h. beim Kauf der Endprodukte immer gleich. Damit wird jedem Laien klar, dass der Angriff auf diese standardisierten Sicherheitseinstellungen nahezu einladend wirkt. Auch im Internet gibt es bereits zu Hauf Anleitungen, wie man ohne großen Aufwand auf die Gerätschaften zugreifen kann.

So geschehen.

Die Vorstellung, dass ein 15-Jähriger aus Bandar Seri Begawan oder auch gerne ein 80-Jähriger aus Castrop-Rauxel in Deutschland, Ihre intimsten Momente mitverfolgen und aufzeichnen kann, ist nicht nur frappierend, sondern bezieht sich auch auf alle anderen vergleichbaren Endgeräte. Denken Sie dabei insbesondere an Babyfongeräte, die ebenfalls vorkonfigurierte und immer gleiche „Sicherheitseinstellungen“ aufweisen und damit kinderleicht angreifbar sind.

Fazit

Zunächst einmal drängt sich die Frage auf, ob die Kamerafunktion für die Funktionalität eines Vibrators notwendig ist und wenn ja, um welchen Preis? Diese Frage muss sich jeder im Hinblick auf den Schutz seiner Daten und die Wahrung der Intimsphäre selbst beantworten. Letztlich besteht nicht nur die Gefahr des Datenmissbrauchs durch (kriminelle) Dritte – wie beispielsweise Hacker – sondern schon die reguläre Datenerhebung und Speicherung auf den Servern der Hersteller/Anbieter ist höchst problematisch. In dem erwähnten Fall in den USA willigte der Vibrator-Hersteller inzwischen ein, jedem US-Nutzer die Summe von 10.000 US-Dollar (etwa 9.350 Euro) als Entschädigung zu zahlen, dessen Daten über die App auf den Servern des Unternehmens gespeichert wurden.

Schaffen also erst gar keine Gelegenheit, dass solche Daten von Ihnen und über Sie erhoben, übertragen und gespeichert werden.

Gleiches gilt für Babyfongeräte, Webcams und Selfie Kameras. Wenn die visuelle Aufzeichnung/Überwachung nicht nötig ist, dann kleben Sie die Kameralinse doch einfach ab.

Darüber hinaus sollten Sie voreingestellte Passwörter umgehend ändern. Der Maßstab für „sichere“ Passwörter wurde auf diesem Blog bereits vorgestellt.

Wie stehen Sie zu diesem Thema?

Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Während Schwarz-Rot vor der kommenden Wahl nochmals Einigkeit demonstrierte, mit dem Ziel, die Ausgestaltung des Strafverfahrens praxistauglicher und effektiver regeln zu wollen, sprachen die Oppositionsparteien „von einem finalen Angriff auf die Bürgerrechte“. Auch der deutsche Anwaltsverein bemühte Kritik und sprach im Zusammenhang mit den Änderungen der Strafprozessordnung von „einer Rechtsgrundlage für schwerwiegende Eingriffe in die Persönlichkeitsrechte der Betroffenen“ und äußerte im gleichen Atemzug verfassungsrechtliche Bedenken.

Worum geht es konkret

Das neue Gesetz enthält eine Vielzahl von rechtlichen Änderungen, die aber teilweise nicht auf den Datenschutz bzw. den Schutz von Persönlichkeitsrechten abzielen und deswegen hier nur am Rande Beachtung finden.

Die Online-Durchsuchung und Quellen-Telekommunikationsüberwachung gehört jedoch eindeutig zu den brisanten Themen. In den Lesungen des Bundestages wurden vielschichtige Bedenken gegen die Gesetzesänderung geäußert, doch leider ohne Erfolg. Die Online-Durchsuchung und Quellen-Telekommunikationsüberwachung (kurz: „Quellen-TKÜ“) fanden jeweils den Weg ins Gesetz (vgl. §§ 100a , 100b StPO).

Im neuen § 100a StPO liest man nun:

„Die Überwachung und Aufzeichnung der Telekommunikation darf auch in der Weise erfolgen, dass mit technischen Mitteln in von dem Betroffenen genutzte informationstechnische Systeme eingegriffen wird, wenn dies notwendig ist, um die Überwachung und Aufzeichnung insbesondere in unverschlüsselter Form zu ermöglichen. Auf dem informationstechnischen System des Betroffenen gespeicherte Inhalte und Umstände der Kommunikation dürfen überwacht und aufgezeichnet werden, wenn sie auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz in verschlüsselter Form hätten überwacht und aufgezeichnet werden können.“

Das bedeutet konkret, dass der Staat mittels einer speziellen Software unbemerkt in den heimischen Computer oder das eigene Smartphone eindringen kann, um die Daten im Verdachtsfall auszuspähen.

Beim Blick auf die nächste Norm des § 100b StPO („Online-Durchsuchung“) heißt es dann:

„Auch ohne Wissen des Betroffenen darf mit technischen Mitteln in ein von dem Betroffenen genutztes informationstechnisches System eingegriffen und dürfen Daten daraus erhoben werden (Online-Durchsuchung) …“

Den Ermittlungs- und Strafverfolgungsbehörden ermöglicht die Gesetzesänderung, dass sie auch verschlüsselte Nachrichten direkt auf dem Gerät des Verdächtigten überwachen und auslesen können. Dies wurde nötig, da viele Messenger-Dienste – wie auch „WhatsApp“ – eine sog. „Ende-zu-Ende-Verschlüsselung“ implementierten, sodass die Daten nun vor der Verschlüsselung, also noch direkt auf dem Smartphone/Computer abgefangen werden müssen, um an diese lesbar zu gelangen. Ein Ausspähen auf dem Übertragungsweg ist durch die Verschlüsselung der Kommunikation nun also nicht nur für Kriminelle erschwert, auch die Strafverfolgungsbehörden mussten sich etwas Neues einfallen lassen. Die hierfür notwendige Software hört auf den Namen „Staats-“ oder aber auch „Bundestrojaner“.

Fazit

Grundsätzlich kann wohl niemand etwas gegen eine effektivere und praxistauglichere Ausgestaltung des Strafverfahrens einwenden, insbesondere aufgrund der ständigen Bedrohung durch Terrorismus, überlasteter Ermittlungs-, Strafverfolgungs- und Justizbehörden sowie hoher Kriminalstatistiken.

Die altbekannte Abwägung zwischen Sicherheit und Datenschutz wurde also (wieder einmal) zu Ungunsten des Datenschutzes und der Wahrung von Persönlichkeitsrechten entschieden. Die Gesetzesänderung schießt also weit über das anvisierte Ziel hinaus.

Das zeigt sich beispielsweise auch in Kompetenzumverteilungen (so ergibt sich aus § 163 StPO nun auch eine Pflicht zum Erscheinen für Zeugen bei Vorladung der Polizei, während vorher ein Richter oder die Staatsanwaltschaft die Vorladung anordnen mussten) und ebenfalls durch einen Wegfall von logischen Verknüpfungen von der strafbaren Handlung (der Tat) und der daraus resultierenden Strafe (so ergibt sich aus dem neuen § 44 StGB, dass ein Fahrverbot von einem bis sechs Monaten als Nebenstrafe verhängt werden kann, auch wenn das strafrechtlich sanktionierte Verhalten in keinerlei Zusammenhang mit dem Führen eines Kfz oder einer Gefährdung des Straßenverkehrs steht), die im gleichen Reformpaket neu geregelt wurden.

Daher bleibt es abzuwarten‚ ob alle Änderungen in ihrer jetzigen Form tatsächlich Bestand haben werden. Aufgrund der von vielen Seiten geäußerten verfassungsrechtlichen Bedenken ist es wohl nur eine Frage der Zeit, bis sich das Bundesverfassungsgericht mit den vielfältigen Änderungen befassen wird.

Wie stehen Sie zu den Änderungen? Diskutieren Sie mit und schreiben Sie einen Kommentar!

__

Titelbild (CCO Public Domain)

__