(Das komplette Schreiben finden Sie am Ende des Artikels.)

Die Behörde leitet ihr Schreiben mit dem bekannten Urteil des Europäischen Gerichtshofs (EuGH) ein. Der EuGH entschied am 05. Juni 2018, dass der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten der Seitenbesucher verantwortlich ist.

Bei einer gemeinsamen Verantwortung sieht Artikel 26 DSGVO spezielle Anforderungen vor. Diese sind:

• Schließen einer Vereinbarung, in der transparent festgelegt ist, wer welche datenschutzrechtlichen Verpflichtungen erfüllen muss.
• Diese Vereinbarung muss die tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen widerspiegeln.
• Den betroffenen Personen, in diesem Fall die Seitenbesucher, muss das Wesentliche dieser Vereinbarung zur Verfügung gestellt werden.

Auf Grundlage dieses EuGH-Urteils fasste die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) am 05. September 2018 den Beschluss, dass der Betrieb einer Facebookseite rechtswidrig ist, solange keine solche Vereinbarung zwischen Facebook und Betreiber geschlossen wird.

Am 11. September 2018 veröffentliche Facebook dann ihre Seiten-Insights-Ergänzung. Facebook verweist darin nicht direkt auf Artikel 26 DSGVO. Die Datenschutzbehörde geht aber in ihrem Schreiben davon aus, dass Facebook damit seinen Pflichten als gemeinsam Verantwortlicher nachkommen will.
(Einen sehr guten Überblick über die Historie gibt der Kollege Dr. Thomas Schwenke unter https://drschwenke.de/anleitung-facebook-datenschutz-page-controller-addendum/)

Ganz offensichtlich reicht dies der Aufsicht noch nicht. Sie möchte noch sehr viel genauere Informationen über die Ausgestaltung der gemeinsamen Verantwortlichkeit und formuliert in ihrem Brief folgende 15 Fragen an den Seitenbetreiber.

Haben Sie die Insights-Ergänzung mit Facebook abgeschlossen? Wenn ja, auf welche Weise ist dies erfolgt?

Zu welchem Text / zu welcher Vereinbarung stellt die Insights-Ergänzung eine Ergänzung dar?

Handelt es sich bei der Insights-Ergänzung um eine Vereinbarung i.S.d. Art. 26 Abs. 1 Satz 1 DSGVO?

Für welche konkreten Verarbeitungen personenbezogener Daten besteht nach dieser Vereinbarung eine gemeinsame Verantwortung? Bitte stellen Sie dies im Detail dar.

Was ist unter den in der Insights-Ergänzung und in den Insights-Informationen genannten „Insights-Daten“ zu verstehen? Bitte erläutern Sie abschließend.

In der Insights-Ergänzung wird auf die „Verarbeitung von Insights-Daten“ Bezug genommen. Um welche konkreten Verarbeitungen zu welchen Zwecken handelt es sich hierbei? Bitte erläutern Sie im Detail.

Auf welche Art und Weise werden die betroffenen Personen (Facebook-Mitglieder sowie Nicht-Mitglieder) über das Wesentliche der Vereinbarung nach Art. 26 Abs. 2 DSGVO informiert?

Welche Informationen haben Sie erhalten bzw. erhalten Sie von Facebook über die Verarbeitung personenbezogener Daten der Besucherinnen und Besucher Ihrer Fanpage? Ermöglichen es die Ihnen zur Verfügung stehenden Informationen, dass Sie Ihren Verpflichtungen nach der DSGVO, insbesondere Ihrer Pflicht aus Art. 5 2 DSGVO, nachkommen können?

Bitte erläutern Sie, wie die personenbezogenen Daten der Besucherinnen und Besucher Ihrer Fanpage verarbeitet werden. Zu welchen Zwecken erfolgen diese Verarbeitungen?

Auf welcher Rechtsgrundlage bzw. auf welchen Rechtsgrundlagen verarbeiten Sie die personenbezogenen Daten der Besucherinnen und Besucher Ihrer Fanpage?

Auf welche Art und Weise und mit welchem Inhalt werden die betroffenen Personen (Facebook-Mitglieder sowie Nicht-Mitglieder) über die Verarbeitung ihrer Daten beim Besuch Ihrer Fanpage gem. Art. 12 und Art. 13 informiert?

Wie stellen Sie sicher, dass die Betroffenenrechte (Art. 12 ff. DSGVO) erfüllt werden können, insbesondere die Rechte auf Löschung nach Art. 17 DSGVO, auf Einschränkung der Verarbeitung nach Art. 18 DSGVO, auf Widerspruch nach Art. 21 DSGVO und auf Auskunft nach Art. 15 DSGVO?

In der Insights-Ergänzung heißt es im Zusammenhang mit den Betroffenenrechten: „Wenn eine betroffene Person oder eine Aufsichtsbehörde gemäß DSGVO hinsichtlich der Verarbeitung von Insights-Daten und der von Facebook Ireland im Rahmen dieser Seiten-Insights-Ergänzung übernommenen Pflichten Kontakt mit Dir aufnimmt (jeweils eine „Anfrage“), bist Du verpflichtet, uns unverzüglich, jedoch spätesten innerhalb 7 Kalendertagen sämtliche relevanten Informationen weiterzuleiten. Zu diesem Zweck kannst Du dieses Formular einreichen. Facebook Ireland wird Anfragen im Einklang mit den uns gemäß dieser Seiten-Insights-Ergänzung obliegenden Pflichten beantworten. Du stimmst zu, zeitnah sämtliche angemessenen Anstrangungen zu unternehmen, um mit uns an der Beantwortung jedweder derartigen Anfrage zusammenzuarbeiten. Du bist nicht berechtigt, im Namen von Facebook Ireland zu handeln oder zu antworten.“ Bitte erläutern Sie konkret, wie Facebook mit den von Ihnen eingereichten Anfragen verfährt und welche konkreten Maßnahmen Sie ergriffen haben, um zu prüfen, ob die Rechte der betroffenen Personen auf diesem Wege entsprechend der DSGVO erfüllt werden.

Werden beim Erstaufruf Ihrer Fanpage auch bei Nicht-Mitgliedern Einträge im so. Local Storage erzeugt? Zu welchem Zweck und auf welcher Rechtsgrundlage erfolgt dies?

Werden nach Aufruf einer Unterseite innerhalb Ihres Fanpage-Angebots ein Session-Cookie und drei Cookies mit Lebenszeiten zwischen vier Monaten und zwei Jahren gespreichert? Zu welchen Zwecken und auf welcher Rechtsgrundlage erfolgt dies?

Wer sich bereits mit der Materie beschäftig hat, dem wird auffallen, dass einige Fragen sehr stark an den Fragenkatalog der DSK angelehnt sind. Und tatsächlich fügt die Behörde ihrem Schreiben die 8 Fragen der DSK noch einmal gesondert an.
Die Aufsicht geht mit Ihren Formulierungen hier aber einen ganz klaren Schritt weiter.
Sie bringt den Stein wieder ins Rollen. Von Facebook sah man nach dem EuGH Urteil bis auf die Insights-Ergänzung keine weiteren Reaktionen. Es ist aber relativ unwahrscheinlich, dass ein Seitenbetreiber alle Fragen ohne die Hilfe von Facebook beantworten kann. Facebook muss diese Fragen öffentlich klären, wenn es verhindern will, dass große Unternehmen u.U. ihre Seiten und Werbeanzeigen abschalten. Denn der Betrieb einer Facebookseite scheint zum derzeiten Stand datenschutzrechtlich mehr als nur bedenklich zu sein.

Betreiben Sie eine Facebookseite? Könnten Sie alle Fragen der Aufsichtsbehörde beantworten? Welche der Fragen bereitet Ihnen vielleicht Kopfschmerzen? Ich freue mich auch Ihren Kommentar!

Ausgangspunkt

Das gute alte Bargeld kommt allmählich aus der Mode. Schweden brüstet sich als Vorzeige-Land beim bargeldlosen Bezahlen. Im ganzen Königreich verweigert längst eine wachsende Zahl von Geschäften und Restaurants die Annahme von Scheinen und Münzen. Verbraucher zahlen zunehmend mit Kreditkarten oder gar ihrem Mobiltelefon.
In Deutschland ist ein ähnlicher „Trend“ zu beobachten – wenn auch in abgeschwächter Form. Besonders kleine Geschäfte und Restaurants bieten jedoch hierzulande oftmals keine Kartenzahlung oder mobiles Bezahlen an. Aber die Akzeptanz und das Interesse bei Händlern und Kunden wächst.

Informationen zu Apple Pay

Die bei Apple Pay zum Einsatz kommende Near Field Communication (NFC)-Technik ist auch nicht mehr neu. NFC steht hier für den kabellosen Datenaustausch zwischen zwei Geräten: dem iPhone/iPad/Apple Watch… und dem Kassenterminal. Viele EC- und Kreditkarten nutzen diese Technologie bereits – mit all seinen Vor- und Nachteilen.
Aber was ist denn nun eigentlich der Mehrwert/die Innovation von Apple Pay? Der Dienst soll eine bequeme, sichere und vertrauliche Methode zur Bezahlung mit der Apple Watch, dem iPhone, iPad und Mac bieten. Ähnlich wie bei PayPal, soll man mit Apple Pay auch direkt in der App „Nachrichten“ Geld an Freunde und Verwandte senden oder von diesen empfangen können.

Partner von Apple Pay

Welche Banken im Detail ihre Konten und Karten für den Zahlungsdienst freischalten steht ebenfalls noch nicht fest. Mit dabei sind allerdings „große Player“ wie die Hypovereinsbank und die Deutsche Bank. Daneben ist Apple Pay mit den drei großen Kreditunternehmen American Express, Visa und Mastercard kompatibel. Kreditkarten von Amazon sollen wohl aber nicht unterstützt werden. Bei den Händlern ist die bisherige Liste der Teilnehmenden schon länger – u.a. sind Aldi, Lidl, Netto, Real, Kaufland, H&M, S. Oliver, Esprit, Aral, Shell, Saturn, Media Markt, Burger King, McDonald’s, Starbucks und Vapiano bereits mit von der Partie.

Vorteile von Apple Pay

Apple Pay fungiert nicht als eigenes Konto oder Kreditkarte – vielmehr werden bestehende Kreditkarten oder Bankkonten in Apple Pay hinterlegt. Die Konto- und Kreditkartennummer wird allerdings nicht direkt zur Identifikation herangezogen. Stattdessen wird eine interne Gerätekontonummer seitens Apple für den Bezahlvorgang verwendet und an das Kassenterminal übertragen. Dadurch können Händler die privaten Karten-/Konto-Informationen nicht zurückverfolgen. Die Kreditkartendaten sind dadurch grundsätzlich besser geschützt. Die Authentifikation wird bei Apple Pay mit einem Fingerabdruck oder der sog. Face-ID (Gesichtserkennung) auf dem iPhone realisiert.
Ein weiterer großer Vorteil: Apple Pay ist komfortabel und einfach. Eine volle Geldbörse, eine PIN, die man sich schlecht merken kann und zickige Chipkartenleser gehören damit der Vergangenheit an. Einfach nur das iPhone oder die Apple Watch an das Kassenterminal halten, bestätigen, fertig.

Nachteile

Die Zahl der qualifizierten Apple-Geräte, die zur Nutzung von Apple Pay freigeschaltet sind, ist überschaubar. Es können nur neuere Apple-Geräte genutzt werden. Diese Einschränkung trifft ebenfalls auf die genannten Bank- und Handelspartner zu. Mithin kann (bislang) nur von einer „Insellösung“ gesprochen werden.
Daneben teilt Apple Pay das Schicksal jeder App: Neue Updates der Software können Bugs und Fehler mit sich bringen. In der Folge kann der Bezahlungsvorgang nicht durchgeführt werden. In Ländern, in den Apple Pay bereits nutzbar ist, gab es bereits Zwischenfälle auf Seiten des Lesegerätes, wodurch dort – schlussendlich – nicht mit Apple Pay bezahlt werden konnte.

Fazit

Aus der Perspektive des Datenschutzes, ist die Authentifizierung mit dem Fingerabdruck oder einer Gesichtserkennung (Face-ID) prinzipiell als sicherer einzustufen, als auf eine PIN zurückzugreifen. Positiv ist auch, dass Apple nur mittelbar die persönlichen Karten- und Kontoinformationen verwendet, indem an den Händler die Geräte-ID des Apple Pay-Geräts und nicht die Kartennummer übertragen wird.
Problematisch ist allerdings, dass es sich bei jedem dieser Zahlungsdienstleister – wie auch bei dem Konkurrenten Google Pay – um Drittanbieter handelt. Sie stellen also diesen Anbietern Ihre sensiblen Kontodaten zur Verfügung. Dabei setzen Sie sich grundsätzlich immer der steigenden Gefahr im Bezug auf Cyberkriminalität aus.
Gewiss, Sie brauchen, wenn Sie Apple Pay nutzen, keine physische Kreditkarte mehr (die Ihnen gestohlen werden und auf diese Weise missbraucht werden könnte), aber auch die erhöhte Sicherheit von Apple-Geräten ist nicht „unhackbar“.
Daher empfehle ich Ihnen – wenn Apple Pay in Deutschland zur Verfügung steht, sofern Sie ein qualifiziertes Apple Produkt und auch eine teilnehmende Kreditkarte besitzen – möglichst wenige Konten/Karten zu hinterlegen und deren Abbuchungen regelmäßig zu kontrollieren. Überdies sollten Sie sich bei Ihrer Bank über die Haftungsbedingungen im Missbrauchsfalle informieren.

Besitzen Sie ein kompatibles Apple-Gerät?
Zahlen Sie bereits mit mobilen Bezahlungsmethoden?
Ich bin auf Ihre Erfahrungen gespannt.
Lassen Sie uns diskutieren und kommentieren Sie diesen Beitrag!
__
Titelbild (CCO Public Domain)
__

Problemaufriss – Vibrator mit WLAN und Kamera

Neben Erotikartikeln in Weihnachtskalendern ist die Vielfalt der Angebotspalette auch für Heiligabend grenzenlos, jede Nachfrage findet ein passendes Angebot.

Der technologische Fortschritt zeigt sich auch hier: So gibt es beispielsweise inzwischen Vibratoren, die vom anderen Ende der Welt mittels App oder aber über das heimische WLAN  ferngesteuert werden können. Das ist allerdings längst noch nicht alles. Nunmehr berücksichtigt der Markt auch die Nachfrage nach Vibratoren mit Kamera. Auf den Seiten der Hersteller heißt es hierzu: „…Momente der Liebe durch aufgenommene Bilder und Videos zum Leben erwecken….“

Versetzen Sie sich in die Situation, die auf einer wahren Begebenheit basiert und in den USA zu einer Millionen-Dollar-Klage (für den Hersteller) führte: Wegen einer sich anbahnenden Geschäftsreise schenkte ein Mann seiner Frau einen Vibrator zu Weihnachten, um die Zeit der Fernbeziehung „entspannter“ zu überbrücken. Dabei ahnte der Mann nicht, dass er nicht nur ein Produkt verschenkte, sondern ebenfalls ein neues Produkt erzeugte, nämlich die Intimsphäre seiner Frau.

Denn eben dieser Vibrator besaß eine Kamerafunktionalität. Ob diese Funktion zwingend notwendig ist und welche „Vorteile“ hiermit verbunden sind, bleibt Ihrer Fantasie überlassen und soll vorliegend nicht näher beleuchtet werden.

Gleichwohl ist hierbei interessant, dass durch die zusätzliche Implementierung einer Kamerafunktion naturgemäß höchst intime Momente erfasst werden, welche im Rahmen des Datenaustausches – hier durch Übermittlung der aufgenommenen Kamerabilder – selbstverständlich durch Hacker an- und abgreifbar sind.

Dabei bedarf es im Zweifel nicht einmal eines Hackerangriffs im klassischen Sinne. Denn häufig ist es so, dass das Webinterface mit voreingestellten Zugangsdaten ausgestattet ist, wobei die SSID des WLAN-Access-Points direkt nach dem Gerät benannt wird. Benutzername und Passwort sind standardisiert – d.h. beim Kauf der Endprodukte immer gleich. Damit wird jedem Laien klar, dass der Angriff auf diese standardisierten Sicherheitseinstellungen nahezu einladend wirkt. Auch im Internet gibt es bereits zu Hauf Anleitungen, wie man ohne großen Aufwand auf die Gerätschaften zugreifen kann.

So geschehen.

Die Vorstellung, dass ein 15-Jähriger aus Bandar Seri Begawan oder auch gerne ein 80-Jähriger aus Castrop-Rauxel in Deutschland, Ihre intimsten Momente mitverfolgen und aufzeichnen kann, ist nicht nur frappierend, sondern bezieht sich auch auf alle anderen vergleichbaren Endgeräte. Denken Sie dabei insbesondere an Babyfongeräte, die ebenfalls vorkonfigurierte und immer gleiche „Sicherheitseinstellungen“ aufweisen und damit kinderleicht angreifbar sind.

Fazit

Zunächst einmal drängt sich die Frage auf, ob die Kamerafunktion für die Funktionalität eines Vibrators notwendig ist und wenn ja, um welchen Preis? Diese Frage muss sich jeder im Hinblick auf den Schutz seiner Daten und die Wahrung der Intimsphäre selbst beantworten. Letztlich besteht nicht nur die Gefahr des Datenmissbrauchs durch (kriminelle) Dritte – wie beispielsweise Hacker – sondern schon die reguläre Datenerhebung und Speicherung auf den Servern der Hersteller/Anbieter ist höchst problematisch. In dem erwähnten Fall in den USA willigte der Vibrator-Hersteller inzwischen ein, jedem US-Nutzer die Summe von 10.000 US-Dollar (etwa 9.350 Euro) als Entschädigung zu zahlen, dessen Daten über die App auf den Servern des Unternehmens gespeichert wurden.

Schaffen also erst gar keine Gelegenheit, dass solche Daten von Ihnen und über Sie erhoben, übertragen und gespeichert werden.

Gleiches gilt für Babyfongeräte, Webcams und Selfie Kameras. Wenn die visuelle Aufzeichnung/Überwachung nicht nötig ist, dann kleben Sie die Kameralinse doch einfach ab.

Darüber hinaus sollten Sie voreingestellte Passwörter umgehend ändern. Der Maßstab für „sichere“ Passwörter wurde auf diesem Blog bereits vorgestellt.

Wie stehen Sie zu diesem Thema?

Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Die besten Tipps für den persönlichen Datenschutz

1. Cookies nehmen auf dem Rechner unnötig viel Platz ein, wenn sie nicht regelmäßig gelöscht werden. Sie sind so richtige Datensammler, da sie alle Daten bei der Navigation erfassen, also alle Seiten die wir im Internet besucht haben mit dem entsprechenden Datum und der Zeitangabe. Es ist auf jeden Fall empfehlenswert, die Cookies regelmäßig und vor allem in kurzen Abständen zu löschen. Das ist natürlich auch ein großer Vorteil, wenn der PC auf Viren oder Malware überprüft wird, da die Überprüfung auch die Cookies einschließt und das nur unnötige Zeit in Anspruch nimmt, da man sie viel schneller löschen kann.

2. Der Datenschutz spielt selbstverständlich auch bei den Mailadressen eine sehr wichtige Rolle. Die E-Mail sollte auf keinen Fall persönliche Daten oder Hinweise auf die eigene Identität geben. Wer also dabei seinen kompletten Namen angibt und vielleicht auch noch den Wohnort, braucht sich auch nicht wundern, wenn die Daten nicht geschützt sind. Es ist lohnenswert, eine Kombination aus Buchstaben und Zahlen zu nehmen. Eine zweite Mailadresse ist empfehlenswert, um sich im Internet bei Online-Anbietern oder Communities anzumelden. Die persönliche Mail sollte nur Vertrauenspersonen vorbehalten werden.

3. Im Netz ist es oft notwendig, seine persönlichen Daten anzugeben, also den Namen, die Adresse und manchmal natürlich auch die Bankverbindungen, wenn es um Online-Käufe geht. Allerdings gibt es auch Fallen, wie beispielsweise bei Meinungsumfragen oder Glücksspielen, wo man sich angeblich unbedingt eintragen muss und auch nach Hobbys oder nach dem Einkommen gefragt wird. Wer Wert auf Datenschutz legt, sollte diese Angaben möglichst vermeiden und sich im Zweifelsfall die Mühe machen, lieber telefonisch erst einmal nachzufragen. Auf keinen Fall darf man seine benützten PINs oder Passwörter herausgeben.

4. Beim Online-Banking und natürlich auch beim Einkauf im Internet ist unbedingt auf verschlüsselte Verbindungen zu achten. Zeigt die aufgerufene Webseite kein „HTTPS“ vor der Internetadresse an, dann bitte auf keinen Fall persönliche Daten preisgeben, da es sich dabei um eine nicht sichere Seite handelt, auch dann nicht, wenn es die eigene Bank für Online-Banking ist.

5. Wer möglichst spurenlos im Internet surfen möchte, kann dies über einen anonymen Proxy machen. Dabei handelt es sich übrigens nicht darum, dass man persönlich etwas zu verbergen hat. Wer einen anonymen Proxyserver benützt, wird von den benützten oder besuchten Webseiten auch nicht durch die eigene IP-Adresse erkannt. Nicht nur unser eigener Service Provider protokolliert in den Logfiles alle von uns aufgerufenen Seiten, sondern auch die Gegenseiten. Dadurch erhalten sie Informationen über unsere IP-Adresse, das benützte Betriebssystem, Browsereinstellungen und natürlich auch über unser Herkunftsland. Diese aufgezeichneten Protokolle lassen sich vermeiden.

6. Obwohl Virenschutz und Firewalls auch nicht zu einem hundertprozentigen Schutz beitragen, vermindern sie das Risiko von ungewünschten Angriffen. Der Personal Firewall ist in der Regel bereits in den Betriebssystemen integriert, das Virenschutzprogramm sollte allerdings regelmäßig aktualisiert werden. Auch die Sicherheitsupdates der installierten Programme sind notwendig, um auf dem Rechner optimale Schutzmaßnahmen zu unternehmen. Es lohnt sich gegebenenfalls, die automatische Update Funktion zu aktivieren.

7. Um sich im Netz zu schützen, darf man auf keinen Fall mit dem Administrator Konto ins Internet gehen. Dafür gibt es bei allen gängigen Betriebssystem die Benutzerkonten, die nur eingeschränkte Rechte haben. Die Admin-Konten sollten in der Regel nur einem vertrauenswürdigen Techniker zugänglich sein oder wenn man selbst hervorragende Computerkenntnisse aufweisen kann. Neue Benutzerkonten lassen sich übrigens kinderleicht auch als Laie auf dem PC oder einem anderen Endgerät einrichten.

8. Aufpassen heißt es auch beim Online-Shopping im Ausland. In vielen Ländern sind die Datenschutzvorschriften viel lockerer als in Deutschland. Vor dem Kauf sollte man sich also unbedingt über die Sicherheit der persönlichen Datenangabe informieren. Werden diese Informationen nicht veröffentlicht oder sind sie beispielsweise in einer anderen Sprache vorhanden, die man nicht ausreichend beherrscht, dann sollte man im Zweifelsfall darauf verzichten oder sich anderweitig erst einmal über die Seriosität vom Anbieter informieren.

9. Ein weiteres Risiko für den Datenschutz können auch die aktiven Inhalte wie beispielsweise JavaScript oder ActiveX sein. Mit diesen Inhalten können zwar manche Webseiten nicht vollständig angezeigt werden, aber dafür können auch über den Browser keine Daten ausgelesen werden. Die notwendigen Einstellungen hierzu werden über dem Browser vorgenommen.

10. Der Datenschutz kann nicht gewährleistet werden, wenn man häufig kostenlose Programme vom Internet herunterlädt. Es ist auf jeden Fall vorher abzuwägen, ob man auch wirklich auf diese Programme angewiesen ist oder nicht, da es sich dabei durchaus um Malware oder um Spyware handeln kann, also um Programme die nur Schaden anrichten oder Daten ausspionieren. Auch hier lohnt es sich, wenn man sich über die jeweiligen Anbieter vorher genauestens informiert.

Dieser Artikel ist im Rahmen eines Gastbeitrags erschienen.

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Nachdem Facebook den Messengerdienst WhatsApp 2014 gekauft hatte und zunächst erklärte, die Daten der beiden Unternehmen nicht zusammenführen zu wollen, kam es im Sommer 2016 zu einer Kehrtwende. WhatsApp ließ verlauten, die Telefonnummer der User an das Mutterunternehmen zu übermitteln. Auch weitere Profildaten wie das Profilbild, der Status, der Profilname und nicht zuletzt der Zeitpunkt der letzten Nutzung sollten weitergegeben werden. Diese Informationen waren dafür gedacht, den Suchalgorithmus für Freunde bei Facebook auszubauen und die Werbung besser an die Interessen der Nutzer anzupassen. Gern können Sie sich über den Info-Dienst (oben, rechts) zu neuen Artikeln informieren lassen.
Es wurde jedoch beteuert, dass das soziale Netzwerk keinen Zugriff auf die Inhalte der Nachrichten erhalten werde, was nicht zuletzt die Ende-zu-Ende-Verschlüsselung garantiere.

Inhalte der gerichtlichen Auseinandersetzung

Doch diese Zusicherungen gingen dem Hamburger Datenschutzbeauftragten Johannes Caspar nicht weit genug und er untersagte Facebook am 23. September 2016 im Wege einer sofort vollziehbaren Anordnung die Nutzung der Daten deutscher WhatsApp-User. Der Betreiber habe keine vorherige Einwilligung der Nutzer eingeholt, die den deutschen Datenschutzbestimmungen genüge.
Diese Anordnung bestätigte das Gericht nun.
Dabei gab das Verwaltungsgericht zu, es sei noch nicht einmal hinreichend geklärt, ob deutsches Datenschutzrecht überhaupt zur Anwendung komme. Zweifel bestehen, da der amerikanische Internetkonzern seinen internationalen Sitz in Irland hat und daher irisches Datenschutzrecht für anwendbar hält.
Unstrittig ist jedoch, dass eine den deutschen Anforderungen genügende Einwilligung nicht vorlag und nach einer Interessenabwägung die wirtschaftlichen Belange des amerikanischen Konzerns hinter dem Datenschutzinteresse der deutschen User zurücktreten muss.
In einem anderen Punkt unterlag der Datenschutzbeauftragte Caspar jedoch vor Gericht: Daten, die bereits vor der Anordnung erhoben worden waren, müssen nicht sofort gelöscht werden. Allerdings ist bis auf weiteres auch die Nutzung untersagt.

Facebook will sich nicht geschlagen geben

Facebook plant, gegen die Gerichtsentscheidung (einstweiligen Verfügungsverfahren) in Berufung zu gehen. Das letzte Wort ist also noch nicht gesprochen.
Facebook & WhatsApp stehen immer wieder in der Kritik von Datenschützern.
Diese Entscheidung reiht sich ein in die bedenkliche Entwicklung im Spannungsfeld zwischen Datenschutz und des Informationshungers sozialer Netzwerke wie dem Facebookkonzern. Berühmtheit erlangte beispielsweise der Rechtsanwalt und Datenschützer Maximilian Schrems, der wiederholte Male und durch alle Instanzen gegen das von Mark Zuckerberg gegründete Unternehmen und seine Datenschutzpolicy vorging.

Fazit

Die Probleme, die sich aus der Benutzung von WhatsApp ergeben, lassen sich nicht vollumfänglich durch die Einstellmöglichkeiten des Dienstes beseitigen, daher empfahl Caspar bereits im Herbst 2016 der völligen Verzicht auf die App.
In dem Artikel können Sie sich nach Alternativen zu WhatsApp umsehen. So empfiehlt etwa auch Edward Snowden das alternative Nachrichtentool Signal.
Beobachten Sie weiter mit mir die spannende Entwicklung im Datenschutzrecht, gerade wenn es um Dienste geht, die viele Menschen beinahe täglich nutzen. Ich bleibe für Sie am Ball und werde hier über das weitere Verfahren berichten.
Könnten Sie auf WhatsApp verzichten? Ich freue mich auf Ihre Beiträge in den Kommentaren!

Update (13.05.2017)

Auch in Italien muss sich WhatsApp mit den Behörden auseinandersetzen. Die italienische Wettbewerbsbehörde verhängte gegen WhatsApp ein Bußgeld in Höhe von drei Millionen Euro. Die Nutzer seien in dem Glauben gelassen worden, den Kurzmitteilungsdienst nicht mehr nutzen zu können, sollten sie den neuen Nutzungsbedingungen und insbesondere der Weitergabe persönlicher Daten an die Konzernmutter Facebook nicht komplett zustimmen.

__

Titelbild (CCO Public Domain)

__

Der (Hacker-) Wettbewerb

Die Aufgabenstellung klingt erst einmal nicht leicht. Es stehen unterschiedliche Geräte mit verschiedenen Betriebssystemen – wie Windows, mac OS oder Linux – bereit. Die teilnehmenden Hacker müssen sich von außen Zugriff und die vollständige Kontrolle über das Gerät verschaffen. Hierfür setzen die Hacker nicht auf Zauberei, auch wenn es den Anschein erweckt, sondern sie nutzen Sicherheitslücken innerhalb der Betriebsysteme und/oder verschiedener Standardprogramme. Zu diesen üblichen Programmen zählen beispielsweise Adobe Flash oder der Acrobat Reader – diese Programme sind extrem verbreitet und finden sich daher sehr häufig auf der Festplatte, insbesondere auf Computern mit dem Windows-Betriebssystem.
Manche der Sicherheitslücken sind bekannt und noch nicht behoben, die meisten Lücken werden jedoch durch die Wettbewerber entdeckt und ausgenutzt. Lösen die Teilnehmer diese Aufgabenstellung, können sie einerseits das gekaperte Gerät behalten und sich über ein stattliches Preisgeld freuen. In diesem Jahr liegt über eine Million US-Doller im Preisgeld-Topf. Die Belohnungen steigern sich je nach Schwierigkeit des Hackings. Am Ende wird aber erst einmal der Deckmantel der Verschwiegenheit über die entdeckten Sicherheitsprobleme gedeckt. Die Softwarehersteller bekommen die Ergebnisse übermittelt und erhalten dadurch die Möglichkeit, ihre Software oder ihr Betriebsystem entsprechend zu verbessern. Im Ergebnis erhalten die Kunden dann ein Update für das entsprechende Betriebssystem, welches die Lücken schließen soll.

Nichts scheint mehr sicher – wir sind alle betroffen

Der diesjährige Contest zeigt eindrucksvoll, dass alle Betriebsysteme angreifbar sind. Konkret schafften es die Hacker unberechtigten Zugriff auf Geräte mit dem neuen Edge-Browser von Microsoft, aber auch auf das Pendant von Apple – Safari – unter dem aktuelles Betriebssystem mac OS zu erlangen. Ein System mit der Linux-Variante Ubuntu war ebenso wenig sicher vor den Teilnehmern. Gerade Linux- und Mac-Systeme sind für eine höhere Sicherheit im Vergleich zur Windows-Konkurrenz bekannt. Deswegen sind diese Ergebnisse besonders brisant.

Fazit – ein Plädoyer für ständige Updates

Zusammenfassend muss festgestellt werden, dass auch bei vermeintlich sicheren Systemen keine absolute Sicherheit zu gewährleisten ist. Überall zeigten sich gefährliche Sicherheitslücken. Eine pauschale Faustformel nach der man mit Mac- und Linux-Systemen per se sicherer unterwegs ist, wurde durch diesen Wettbewerb dahingehend relativiert, dass auch diese Systeme angreifbar sind.
Am Ende kristallisiert sich also heraus, dass nicht nur Windows-Systeme gravierenden Lücken bezüglich der Sicherheit aufweisen; es sind praktisch alle Betriebssysteme betroffen und es gibt nur eine Möglichkeit, wie Sie sich davor schützen können: Führen Sie regelmäßig sicherheitsrelevante Updates durch, die Ihnen Ihr Betriebssystem bereitstellt. Wir empfinden die wiederkehrende Update-Meldungen von Flash, Windows & Co nicht selten als nervig – jedenfalls geht es mir damit so; oftmals sind auch noch ein Neustart und weitere zeitraubende Installationen erforderlich. Dieser Wettbewerb verdeutlich aber ganz plastisch, warum wir unsere Systeme stets auf dem neusten Stand halten sollten.

Machen Sie also regelmäßige Updates für Ihre Sicherheit, den Schutz Ihrer persönlichen Daten und zur Abwehr vor Cyberkriminalität.

Welche Updates führen Sie regelmäßig durch und welche Aktualisierungen nerven Sie?

Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Die Nutzerzahlen von Facebook und Twitter steigen kontinuierlich an. Der Austausch über diese Plattformen ist vielfältig. Es steht nicht nur private Kommunikation, sondern auch die rasante Verbreitung von Nachrichten des Tagesgeschehens im Mittelpunkt. Um nichts zu verpassen nutzen viele Nutzer Twitter und Facebook nicht bloß am heimischen Computer. Viel bequemer ist es doch, die dazugehörigen Apps aus dem Play- oder Apple-Store zu laden, um beispielsweise den Schnappschuss sogleich in einem der beiden sozialen Netzwerke teilen zu können.

So weit, so gut. Oder doch nicht? Schon beim Installieren der Apps direkt von Facebook und Twitter werden weitreichende Berechtigungen gefordert: Vom Zugriff auf das Adressbuch über die Standortdaten bis hin zum Mikrofon. Viele dieser Daten lesen die Apps regelmäßig aus – auch wenn Sie die App gerade nicht aktiv benutzen (denn diese läuft stets im Hintergrund). Dieser Datenhunger schreckt bereits einige kritische Benutzer ab. Die meisten Facebook- und Twitter-Fans lassen sich hiervon aber (leider) nicht abhalten.

Das Problem lässt sich auch noch von einer zweiten Seite beleuchten. Da die Apps dieser beiden Dienste permanent im Hintergrund laufen, werden dadurch enorm viele Ressourcen gebunden und verbraucht. Darunter ist nicht nur die Rechenleistung und der Arbeitsspeicher von Ihrem mobilen Endgerät, sondern vor allem der Akku betroffen. Gerade die Facebook-App verbraucht viel Strom.

Lösungsvorschlag

Was können Sie gegen die Akku- und Ressourcenfresser einerseits und die (unerwünschte) Datensammlung andererseits tun? Ein erster Gedanke wäre natürlich: Warum Facebook und Twitter nicht einfach auf dem Smartphone direkt über den Browser abrufen? Dieser Weg ist zwar möglich, aber z.B. bei Facebook mit gravierenden Funktionslücken verbunden. Eine dieser Lücken ist die direkte Benutzung des Messengers. Diesbezüglich werden Sie auf die Facebook-Messenger-App verwiesen.

Ganz so einfach ist es also nicht, wenn Sie ohne die angebotenen Apps der sozialen Dienste auskommen möchten. Eine Antwort auf die eingangs gestellte Frage liefern die sog. „Wrapper“. Hinter dem Begriff verstecken sich alternative Anwendungen für Ihr Smartphone. Diese Apps nutzen einen einfachen Trick: Sie rufen beispielsweise die Website von Facebook auf, wie es ein normaler Browser (egal ob mobil oder auf dem Computer) tun würde – und stellen anschließend die Informationen für den Smartphone-Bildschirm neu zusammen. Im Ergebnis haben sie den gleichen Funktionsumfang, wie am PC oder Mac, aber verzichten trotzdem auf die energie-, daten- und speicherhungrige App von Facebook.

Dabei sind die meisten dieser Wrapper-App-Alternativen schneller und bedeutend datenschutzfreundlicher als „das Original“. Sie fordern nur die notwendigsten Berechtigungen, um Bilder auf Facebook zu veröffentlichen, Netzzugriff zu erhalten und sich gegebenenfalls an bestimmten Orten einzuloggen. Die Nutzer müssen aber weder ihre Identität, noch ihre Telefonnummer oder ihr Adressbuch preisgeben.

Konkrete Alternativen für Android und iOS

A) Für Android 

Geräte mit Android finden im Google-Play-Store zwei gute Derivate. Einmal die App „Messenger for Facebook“ – die als kostenlose Version mit eingeschränktem Funktionsumfang und als Pro-Version angeboten wird. Daneben kann auch „Metal for Facebook“ empfohlen werden.

Meinen persönlichen Tipp erreichen Sie nicht über den Google-Play-Store. Hierfür benötigen Sie den alternativen App-Store „F-Droid“. Dort gibt es eine hervorragende Anwendung namens „SlimSocial for Facebook“. Diese kostenlose Applikation bietet uneingeschränkten Funktionsumfang, bei den niedrigsten Berechtigungszugriffen.

Ebenso über F-Droid gelangen Sie zu einem alternativen Twitter-Client, der sich „Tinfoil for Twitter“ nennt.

B) Für iOS

Geräte mit Apples iOS können auf „Friendly – One App for Facebook and Messenger“ oder „Puffin“ zurückgreifen.

Fazit

Wenn Sie Ihrem Akku, den Ressourcen Ihres Geräts und außerdem dem Schutz Ihrer persönlichen Daten etwas Gutes tun möchten, dann verzichten Sie nicht auf die Apps von Facebook und Twitter, sondern laden Sie sich schnell und einfach eine Alternative herunter, die um einiges besser ist, als das Original. Auf diesem Wege lassen sich Datenschutz und Praxistauglichkeit zu einem Gewinn verbinden.

Welche App-Alternative überzeugte Sie?

Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

Ausgangssituation – die Technologie und ihre Anwendung in der Praxis

Zunächst ist eine kurze Begriffsklärung nötig, um die Gefahren, die sich aus der Benutzung einer Kredit- oder Girokarte ergeben, richtig einordnen zu können. NFC steht für „Near Field Communication“ (Nahfeld-Kommunikation) und bezeichnet eine Funktechnologie, bei der Daten über kurze Strecken kontaktlos übertragen werden. NFC ermöglicht den Datenaustausch in zwei Richtungen: Das Lesegerät kann einerseits Daten auslesen und andererseits auch zurück an die Karte übermitteln. Neben dem bargeldlosen Bezahlen bei neuen Bankkarten oder mit dem Smartphone kommt die NFC-Technik zum Beispiel bei elektronischen (Jahres- und Monats-)Fahrscheinen im öffentlichen Personennahverkehr zum Einsatz.

Der Einzelhandel stellte seine Bezahlterminals bereits um. Aldi Nord, Edeka, Galeria Kaufhof, Netto, Rewe und viele weitere haben ihre Kassensysteme seit letztem Jahr mit NFC aufgerüstet. Der neue, seit 2011 ausgegebene Personalausweis unterstützt ebenfalls diese Technologie. Theoretisch könnte er als Geldkarte oder digitaler Schlüssel genutzt werden, doch es gibt noch keine praxisrelevante Anwendung.

Die NFC-Bankkarte im Einsatz

Wird der Bezahlvorgang mit Hilfe einer NFC-Bankkarte abgewickelt, fallen dabei erst einmal nicht mehr Daten an als beim herkömmlichen Einsatz der Bankkarte mit PIN oder Unterschrift. Die Karte muss nicht mit einem bestimmten Betrag aufgeladen werden, sondern die Summe wird direkt vom (Kreditkarten-)Konto abgebucht. Der einzige Unterschied besteht in der kontaktlosen Auslesemöglichkeit: Ausgelesen werden kann die Karte in einem Abstand von bis zu 4 Zentimetern zum Lesegerät, womit ein versehentliches Zahlen ausgeschlossen werden soll. Mit der CVC-Prüfziffer oder der normalen Karten-PIN kann der Händler betrügerische Zahlungen ausschließen. Sie wird aber nicht immer abgefragt. Bei einem Bezahlvorgang bis zu 25 Euro fällt die Eingabe einer PIN völlig weg. Der Kartenherausgeber haftet grundsätzlich für die Zahlungen wie bei einer Kreditkarte. Das heißt, dass Kunden ihre Kontoauszüge regelmäßig kontrollieren und ggf. nicht autorisierte Abbuchungen melden müssen. Ebenfalls besteht für den Kunden jederzeit die Möglichkeit der Kartensperrung. Einige Banken verlangen eine PIN, wenn Zahlungen unter 25 Euro schnell aufeinander folgen. Auf den NFC-Karten werden nicht mehr Daten gespeichert als auf der herkömmlichen Bankkarte. Gespeichert werden beispielsweise die letzten fünfzehn Zahlungsvorgänge mit der Terminalnummer des Händlers sowie Datum und Betrag des Kaufs. Überdies können das Jugendschutzmerkmal „unter/über 18 Jahre“, der Kartentyp und die Kartennummer ausgelesen werden.

Kritik

Die Grundidee besteht in der Vereinfachung der Zahlungsvorgängen für den Kunden (denn dieser muss bei Beträgen von weniger als 25 Euro keine PIN mehr eingeben) und einer Beschleunigung für den Händler (denn eine Bezahlung ohne PIN-Eingabe und Überprüfung geht wesentlich schneller). Es klingt gut, doch die Nebenwirkungen aus Gesichtspunkten des Datenschutzes sind alarmierend. Drei Punkte sind dabei besonders problematisch:

1. Ein grundsätzliches Problem ergibt sich aus der Tatsache, dass bei kleineren Beträgen (bis 25 Euro) keinerlei Authentifizierung stattfindet. Es genügt die physische Gewalt über die Bankkarte mit NFC. Wer diese in seinem Besitz hat, kann shoppen gehen. Ob es sich um den rechtmäßigen Besitzer der Karte handelt, wird wohl nur selten (durch Überprüfung eines Ausweises) nachgewiesen; denn wenn bei jeder Bezahlung mit NFC-Bankkarte der Ausweis überprüft werden würde, wäre der zeitliche Vorteil gegenüber der klassischen EC-Zahlung mit PIN-Eigabe obsolet.
2. Das zweite gravierende Problem ergibt sich aus der Technologie selbst. Während immer mehr Geschäfte mit NFC aufrüsten, wird dieser Standard auch bei Smartphones immer verbreiteter. Dass bereits Apps existieren, die über NFC den gesamten Datenbestand der Bankkarten mit dieser Funktion auslesen können, überrascht also nur wenig. Einige Fernsehbeiträge illustrieren sehr deutlich, wie einfach es geht: App installieren, NFC aktivieren, Handy auf die Karte oder die Geldbörse legen (denn 4 cm Abstand genügen), kurz warten und schon zeigt das Smartphone alle Daten der Karte – inkl. der sensiblen Kartennummer sowie dem Ablaufdatum der Karte. Diesen beiden Angaben genügen bereits, um sich beispielsweise bei Amazon auf Shoppingtour begeben.
3. Der letzte Kritikpunkt richtet sich an die Kreditinstitute, die die Karten (mittlerweile im großen Stil) ausgeben. Die Gefahren der unberechtigten Benutzung oder kriminellen Auslesung der Daten sind bekannt. Gegenmaßnahmen lassen sich jedoch nicht erkennen. Dabei würde es schon helfen, wenn man bei jeder NFC-Kartenzahlung unter 25 Euro eine kurze SMS und/oder E-Mail bekäme – auf diese Weise könnte ein Missbrauch der Karte und/oder der Kartendaten wenigstens frühzeitig bemerkt und die Karte gesperrt werden. Des Weiteren findet eine unzureichende Informationspolitik über die Gefahren seitens der Geldhäuser statt.

Schutzempfehlung und Fazit

Wer sich weiterhin an den Vorteilen der NFC-Kartenzahlung erfreuen will, der sollte seine Karte – insbesondere im Lichte des zweiten Kritikpunktes – schützen. Es werden bereits angeboten, die ein unberechtigtes Auslesen verhindern, indem sie die physische Übertragung der NFC-Technik abschirmen und damit im Ergebnis einen Datenaustausch unterbinden.

Momentan haben diese Hüllen noch einen stolzen Preis. Wenn man sich aber überlegt, wie einfach sich die Daten mithilfe einer App und einem dazugehörigen Smartphone auslesen lassen, dann sollten Sie in den Schutz Ihrer Bank- und Zahlungsdaten investieren. Schlussendlich könnte auch eine Nachfrage bei Ihrer Bank dazu führen, dass Ihnen eine solche „Abschirmhülle“ zur Verfügung gestellt wird.

Benutzen Sie NFC-Bankkarten? Bietet Ihre Bank eine entsprechende Hülle zum Schutz vor unberechtigten Dritten an?

Ich bin auf Ihre Erfahrungen gespannt. Kommentieren Sie einfach diesen Beitrag.

__

Titelbild (CCO Public Domain)

1. Das Dauerangebot 

An der linken Seitenhälfte befinden sich Links zu (Dauer-) Themen aus dem Bereich Datenschutz. Hier werden beispielsweise ganz grundlegende Fragen aufgeworfen und konkrete Antworten darauf geliefert:

„Was wird durch Datenschutz geschützt?“

„Welche Rolle spiele ich dabei?“ oder

„Mit welchen Tipps kann ich den Datenschutz für mich persönlich erhöhen?“

Auf die letztgenannte Fragestellung antworte das Portal mit den „zehn wichtigsten digitalen Geboten“, die schon für sich genommen ganz zentrale Handlungsmaxime für den Schutz unserer Daten liefern.

Daneben nimmt sich das Angebot aber auch konkreterer Problemfelder an. So werden die Grundprobleme von Facebook, Google, WhatsApp und anderen Diensten übersichtlich und verständlich aufgezeigt. Dabei bleiben die Autoren nicht am Punkt der sachlichen Kritik stehen, sondern zeigen hilfreich auf brauchbare Alternativen. Besonders werden hierbei die Bedürfnisse junger Personen in den Vordergrund gerückt. Aber natürlich sind diese Informationen gleichermaßen für Eltern, Verwandte oder Lehrende von großem Interesse. Nicht selten werden sie zu diesem Themengebiet befragt und sollten daher über eine gewisse Expertise verfügen.

Am Beispiel von „Snapchat“ lässt sich gut erkennen, dass sich die App einerseits bei Jugendlichen und jungen Erwachsenen steigender Beliebtheit erfreut, andererseits bei Eltern und im Lehrerzimmer teils noch unbekannt ist. Ebenso sind die Probleme aus datenschutzrechtlicher Sicht unbekannt. Youngdata stellt den Foto-, Video- und Nachrichtendienst vor, nimmt sich dem sog. „Sexting-Problem“ an und hält schlussendlich einen Leitfaden bereit, mit dem sich die eigene Privatsphäre trotz Benutzung dieser App schützen lässt.

2. Das aktuelle News-Angebot

Neben den exemplarisch genannten Informationen zu Datenschutz, Cybermobbing und Videoüberwachung, wird die Seite unter „News“ auch ständig mit Neuigkeiten versorgt. Hier lohnt es sich regelmäßig vorbeizuschauen. Die Beiträge werden sorgsam ausgewählt und liefern stets einen Mehrwert, auch wenn man sich nicht speziell für Informationsfreiheit, Überwachung oder digitale Selbstverteidigung interessiert. Gerade die technische Entwicklung, die übergreifende Vernetzung und eine moderne Arbeitswelt bieten genug Schnittstellen, um eigene Berührungspunkte zu entdecken. So könnte es beispielsweise für die eine oder den anderen interessant sein, dass die USA neuerdings vor der Einreise auch Social-Media-Accounts abfragt oder die beliebte Taschenlampen App „Super Bright LED-Flashlight“ eine „Datenkrake“ ist.

3. Fazit

Youngdata bereitet zum einen bereits Bekanntes präzise auf und informiert über aktuelle Entwicklungen. Dabei wird eine ganz wichtige Personengruppe in den Fokus gerückt: junge Menschen. Das ist aus meiner Sicht extrem wichtig, denn es geht nicht nur darum, das neuste iPhone Modell richtig zu bedienen, sondern ebenso einen gewissenhaften Umgang mit unseren Daten zu erlernen und eine sichere Handhabung damit zur Selbstverständlichkeit werden zu lassen. Ein gesundes Misstrauen zu entwickeln, wann, wo und welche Daten eingegeben werden sollten und wann nicht – das ist nicht immer leicht und offensichtlich erkennbar.

In diesem Sinne: Früh übt sich.

__

4. Welche Konsequenzen müssen aus dieser Entscheidung gezogen werden?

5. Fazit