„Datenschutz by Design“ – dafür setzt sich das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) seit Jahrzehnten ein. Bisher waren Konzepte für innovative Datenschutztechnik hauptsächlich in akademischen Papieren zu finden. Obwohl die Datenschutz-Grundverordnung „Datenschutz durch Technikgestaltung“ fordert, finden die Ideen bisher nur selten den Weg in die Praxis. Für die Contact-Tracing-App ist „Datenschutz by Design“ möglich – und auch nötig.

Weltweit wird zurzeit als einer von vielen Bausteinen zur Pandemie-Bekämpfung das „Contact Tracing“ diskutiert, um Menschen zu warnen, die sich mit dem neuartigen Corona-Virus angesteckt haben könnten. Damit soll per App auf dem Smartphone mitgespeichert werden, wenn Nahkontakte mit anderen Menschen bestanden, die ebenfalls eine solche App einsetzen. Stellt sich später heraus, dass bei solchen Begegnungen eine der beteiligten Personen infiziert war, können die anderen per App benachrichtigt werden – auch wenn man einander nicht kennt.

Marit Hansen, die Landesbeauftragte für Datenschutz Schleswig-Holstein, hat sich mit den Konzepten eingehend beschäftigt: „Das Contact Tracing funktioniert wie eine Art digitales Tagebuch mit Einträgen über Nahkontakte auf dem Smartphone, die später abgeglichen werden können. Eine solche App kann in Ergänzung zu anderen Pandemie-Maßnahmen hilfreich zur Eindämmung sein. Das wird aber nur funktionieren, wenn die Nutzerinnen und Nutzer ein berechtigtes Vertrauen in die App haben können – und dafür ist ‚Datenschutz by Design‘ wesentlich. Das bedeutet zum Beispiel, dass Namen und Orte nicht gespeichert werden und alles verschlüsselt abgelegt wird. Entscheidend für ein Abschätzen des Missbrauchsrisikos ist dabei die Frage, wo die Daten beim Abgleich gespeichert sind und ob damit zusätzliche Auswertungen – bis hin zur Überwachung – ermöglicht werden.“

Grundlegend für die technische Entwicklung ist die Architektur des Systems: Die Kontaktdaten werden zunächst nur auf den Smartphones der Nutzerinnen und Nutzer gesammelt. Die Frage ist, ob Abgleich und Benachrichtigung der möglicherweise Betroffenen über einen zentralen Server realisiert werden oder ob der Abgleich dezentral in den Apps der Nutzerinnen und Nutzer geschieht und nur die Nutzenden selbst das Ergebnis erfahren.

Dieser Richtungsstreit „zentral – dezentral“ wurde besonders deutlich, als am 20.04.2020 Datenschutzforscherinnen und –forscher aus aller Welt, von denen viele an verschiedenen Entwicklungsprojekten zu Contact Tracing beteiligt sind, ihre Bedingungen an ein solches App-Design in einem offenen Brief formulierten: Insbesondere dürfe eine Contact-Tracing-App nur dem Zweck dienen, Kontakte nachzuverfolgen, und vollständige Transparenz und Datenminimierung seien zu gewährleisten. Sie betonen, dass bei mehreren Gestaltungsoptionen diejenige zu wählen sei, die Datenschutz am besten gewährleistet.

Am 21.04.2020 hat der Europäische Datenschutzausschuss (EDSA), in dem die Datenschutzaufsichtsbehörden von Bund und Ländern – auch Hansens Team – mitarbeiten, klargestellt, dass die Einhaltung von datenschutzrechtlichen Vorgaben unverzichtbar ist. Dies ist nicht zuletzt deshalb wichtig, um ein berechtigtes Vertrauen in der Bevölkerung herstellen zu können, das zwingende Voraussetzung für die Akzeptanz einer freiwilligen Lösung ist. Es gehört zu den Aufgaben der nationalen Gesetzgeber, sicherzustellen, dass diese Freiwilligkeit auch tatsächlich besteht. Personen, die eine solche Anwendung nicht nutzen wollen oder können, dürfen dadurch keinerlei Nachteile erleiden Auch muss sichergestellt sein, dass eine Verarbeitung nur für die im Vorfeld festgelegten Zwecken erfolgt. Wie bei allen anderen derartigen Maßnahmen gilt auch hier, dass eine zeitliche Befristung notwendig ist.

Weil ein App-Einsatz mit hohen Risiken für die Rechte und Freiheiten betroffener Personen verbunden ist, muss zwingend eine Datenschutz-Folgenabschätzung durchgeführt werden, deren Veröffentlichung der EDSA nachdrücklich empfiehlt. Unter den zahlreichen Bedingungen, die der EDSA aufführt, findet sich ebenso wie bei den Datenschutzforscherinnen und –forschern die Forderung nach weitestgehender Transparenz. Der Quellcode der Anwendung und des Backends müssen offen sein (Open Source); ebenso müssen die technischen Spezifikationen veröffentlicht werden, um eine Überprüfung zu ermöglichen.

Der EDSA hebt hervor, dass das Prinzip der Datenminimierung und das Prinzip des Datenschutzes by Design sorgfältig zu berücksichtigen sind. Wie bereits in seinem Schreiben an die Europäische Kommission am 14.04.2020 stellt der EDSA in diesem Zusammenhang fest, dass der Grundsatz der Datenminimierung bei einem dezentralen Ansatz besser gewahrt werde.

Dies ist auch aus Hansens Sicht wichtig: „Es gilt, das Risiko einer Identifizierung der betroffenen Personen zu minimieren – auch im Hinblick auf unbefugte Zugriffe, die bei zentralen Infrastrukturen alle Teilnehmenden betreffen würden. Das entsprechende Know-how sowie tragfähige Konzepte sind da. Diese Früchte teilweise jahrelanger Forschungsarbeit jetzt nicht zu ernten und gerade solche Konzepte nicht zu berücksichtigen, die Datenschutz durch ausgefeilte Technik in hohem Maße befördern, wäre ein großes Versäumnis.“

Hansen begrüßt die Transparenz der bisherigen Arbeiten der Datenschutzforscherinnen und –forscher: „Durch die Offenlegung von Konzepten, die ehrliche Diskussion von möglichen Risiken und Gegenmaßnahmen und die Bereitstellung von Quellcode wird es den Datenschutzaufsichtsbehörden und der interessierten Öffentlichkeit ermöglicht, die Ergebnisse zu überprüfen und weiterzuentwickeln. Wichtig ist auch, dass nicht jeder im stillen Kämmerlein an seiner eigenen Lösung strickt, sondern taugliche und datenschutzwahrende Modelle weltweit interoperabel funktionieren können. Die ersten Schritte dafür sind getan: Die ‚Datenschutz by Design‘-Expertinnen und –Experten verschiedener Projekte haben sich zusammengetan und kooperieren im Sinne einer guten Gesamtlösung mit eingebautem Datenschutz.“

Auch vom deutschen Gesundheitsministerium wünscht sich Hansen ein deutliches Bekenntnis zu ‚Datenschutz by Design‘, Datenminimierung und maximaler Transparenz.

Weiterführende Informationen:

• Europäischer Datenschutzausschuss (14.04.2020):
  EDPB Letter concerning the European Commission’s draft Guidance on apps supporting the fight against the COVID-19 pandemic
• Europäischer Datenschutzausschuss (21.04.2020):
  Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak
• Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF) e. V.:
  Datenschutz-Folgenabschätzung für die Corona-App (V1.0 vom 14.04.2020, mehrere Aktualisierungen)

Datenschutzforscherinnen und –forscher zum Contact Tracing:

• Joint Statement on Contact Tracing (20.04.2020)
• „Decentralized Privacy-Preserving Proximity Tracing (DP-3T)“
• „A Global Coalition for Privacy-First Digital Contact Tracing Protocols to Fight COVID-19 (TCN Coalition)“
• „Private Automated Contact Tracing“
• „CovidSafe“

Die Informationen der Landesbeauftragten für Datenschutz zu Themen der Corona-Pandemie werden unter dem folgenden Link bereitgestellt und regelmäßig aktualisiert:

Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Der Europäische Datenschutzausschuss hat in seiner gestrigen Sitzung in Brüssel mit großer Mehrheit eine Leitlinie zum datenschutzkonformen Einsatz von Videoüberwachung beschlossen. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk, die die Entstehung der Leitlinie als Hauptberichterstatterin betreut hat, begrüßt das Ergebnis.

Die seit Mai 2018 wirksame Datenschutz-Grundverordnung (DS-GVO) enthält keine speziellen Regeln zur Videoüberwachung. Deswegen müssen die datenschutzrechtlichen Anforderungen an den Einsatz von Videoüberwachung aus den allgemeinen Regelungen des Gesetzeswerks abgeleitet werden. Dies fordert nicht nur die Unternehmen, die Videotechnik rechtskonform einsetzen möchten, heraus. Auch die europäischen Aufsichtsbehörden stehen vor der Herausforderung, eine europaweit einheitliche Handhabung im Bereich der Videoüberwachung zu schaffen. Die nun beschlossene europäische Leitlinie ist ein wichtiger Beitrag in diesem Prozess. Dem Beschluss gingen intensive Verhandlungen zwischen den europäischen Aufsichtsbehörden im Datenschutzausschuss voraus. Zudem erfolgte eine großangelegte Beteiligung der Öffentlichkeit, bei der sich Interessenvertreterinnen und -vertreter aus Wirtschaft, Politik, Zivilgesellschaft wie auch Privatpersonen einbringen konnten.

Die Leitlinie betont den Grundsatz der Verhältnismäßigkeit. Da jede Videoüberwachung mit einem Eingriff in die Persönlichkeitsrechte verbunden ist, muss ihr stets ein berechtigtes Interesse des Kamerabetreibers zugrunde liegen. Dieses Interesse muss objektiv vorliegen, das heißt, bei einer Videoüberwachung aus Sicherheitsgründen müssen stets auch tatsächliche Anhaltspunkte für eine Gefahr für Leib, Leben oder Sachgüter vorliegen. Die Leitlinie stellt klar, dass ein rein subjektives Sicherheitsgefühl nicht genügt, um eine Videoüberwachung zu rechtfertigen.
Auch mit Blick auf die Verarbeitung biometrischer Daten bietet die Leitlinie Klarheit. Gemäß der DS-GVO ist es privaten Unternehmen ohne ausdrückliche Einwilligung der Betroffenen grundsätzlich verboten, solche Daten zum Zwecke der Identifizierung bestimmter Personen zu verarbeiten. Die Leitlinie konkretisiert nunmehr die strengen Anforderungen der DS-GVO an die Wirksamkeit solcher Einwilligungen. Außerdem bietet sie Hilfestellungen zu Fragen der Transparenz bei Videoüberwachungsmaßnahmen.

Maja Smoltczyk:
„Die kürzlich bekannt gewordenen Geschäftsgebaren des Dienstleisters Clearview haben uns die Begehrlichkeiten nach biometrischen Daten in der heutigen Zeit nicht nur von staatlicher, sondern auch von privater Seite deutlich vor Augen geführt. Ich halte diese Entwicklung für höchst bedenklich. Die Freiheit, sich in der Öffentlichkeit auch unbeobachtet bewegen zu können, ist ein besonders hohes und schützenswertes Gut unserer freiheitlichen Gesellschaft, das wir unbedingt bewahren müssen. Deshalb war es mir ein wichtiges Anliegen, dass meine Behörde die Federführung für die Erarbeitung der Europäischen Leitlinie zur Videoüberwachung übernimmt, um so auf ein möglichst hohes Datenschutzniveau für Betroffene hinzuwirken und gleichzeitig für die Unternehmen klare und handhabbare Vorgaben zu machen.“

Die Europäische Leitlinie zur Videoüberwachung wird in Kürze veröffentlicht und auf den Webauftritten der Berliner Beauftragten für Datenschutz und Informationsfreiheit (www.datenschutz-berlin.de) sowie des Europäischen Datenschutzausschusses (https://edpb.europa.eu/edpb_de) abrufbar sein.

Hintergrund
Mit Wirksamwerden der DS-GVO hat der Europäische Datenschutzausschuss (EDSA) seine Arbeit aufgenommen. In diesem Gremium sind Datenschutzaufsichtsbehörden aller europäischer Mitgliedstaaten sowie der Europäische Datenschutzbeauftragte und die Europäische Kommission vertreten. Eine wichtige Aufgabe besteht darin, allgemeine Leitlinien zur Interpretation der DS-GVO herauszugeben. Damit soll Klarheit hinsichtlich der Begriffe in den europäischen Datenschutzgesetzen im Sinne einer einheitlichen Auslegung geschaffen werden. Am 28./29. Januar 2020 tagte der EDSA zum 17. Mal.

Download Europäische Leitlinie zur Videoüberwachung beschlossen als PDF

Ministerialrat Michael Will wird neuer Präsident des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA). Der bisherige Leiter des Sachgebiets Datenschutz im Bayerischen Staatsministerium des Innern und für Integration folgt damit auf Thomas Kranig. Thomas Kranig wurde im Jahr 2011 zum ersten Präsidenten des BayLDA ernannt. Auf Beschluss der Bayerischen Staatsregierung wurde Kranig am 26. Juli 2016 dann für weitere fünf Jahre mit der Leitung der Baye-rischen Datenschutzaufsicht für den nicht öffentlichen Bereich betraut. Die zweite Amtsperiode begann am 3. August 2016. Nach Art. 18 Abs. 3 des Bayerischen Datenschutzgesetz (BayDSG) gilt die Ernennung für fünf Jahre. Dementsprechend würde die Amtszeit von GDD-Preisträger Kranig noch bis zum Jahr 2021 andauern, doch mit 65 Jahren darf Herr Kranig nun schon in diesem Jahr in den Ruhestand.Sein Nachfolger, Michael Will, ist Ministerialrat im Bayerischen Staatsministerium des Innern und für Integration und leitet das Referat Datenschutz. Zudem bringt er praktische Erfahrung als Datenschutzbeauftragter mit, da er im Ministerium das Amt des behördlichen Datenschutzbeauftragten ausübt. Ferner ist er Mitglied der Datenschutzkommission des Bayerischen Landtages. Er hat im Auftrag des Bundesrates in den Jahren 2012 bis 2015 die gesamten Beratungen der Ratsarbeitsgruppe Datenschutz und Informationsaustausch (DAPIX) zur DS-GVO begleitet und nimmt außerdem die Aufgaben des Länderbeobachters in der Art. 31-Datenschutzgruppe wahr.Ende Januar erfolgt die Amtseinführung durch den bayerischen Innenminister und jetzigen Vorgesetzten von Michael Will, Joachim Herrmann.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat den Telekommunikationsdienstleister 1&1 Telecom GmbH mit einer Geldbuße in Höhe von 9.550.000 Euro belegt.

Das Unternehmen hatte keine hinreichenden technisch-organisatorischen Maßnahmen ergriffen, um zu verhindern, dass Unberechtigte bei der telefonischen Kundenbetreuung Auskünfte zu Kundendaten erhalten können. In einem weiteren Fall sprach der BfDI ein Bußgeld in Höhe von 10.000 Euro gegen die Rapidata GmbH aus. 

Dazu sagte der Bundesbeauftragte Ulrich Kelber: Datenschutz ist Grundrechtsschutz. Die ausgesprochenen Geldbußen sind ein klares Zeichen, dass wir diesen Grundrechtsschutz durchsetzen werden. Die europäische Datenschutzgrundverordnung (DSGVO) gibt uns die Möglichkeit, die unzureichende Sicherung von personenbezogenen Daten entscheidend zu ahnden. Wir wenden diese Befugnisse unter Berücksichtigung der gebotenen Angemessenheit an.

Im Fall von 1&1 Telecom GmbH hatte der BfDI Kenntnis erlangt, dass Anrufer bei der Kundenbetreuung des Unternehmens allein schon durch Angabe des Namens und Geburtsdatums eines Kunden weitreichende Informationen zu weiteren personenbezogenen Kundendaten erhalten konnten. In diesem Authentifizierungsverfahren sieht der BfDI einen Verstoß gegen Artikel 32 DSGVO, nach dem das Unternehmen verpflichtet ist, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Verarbeitung von personenbezogenen Daten systematisch zu schützen. 

Nachdem der BfDI den unzureichenden Datenschutz bemängelt hatte, zeigte sich 1&1 Telecom GmbH einsichtig und äußerst kooperativ. In einem ersten Schritt wurde zunächst der Authentifizierungsprozess durch die Abfrage zusätzlicher Angaben stärker abgesichert. In einem weiteren Schritt wird bei der 1&1 Telecom GmbH derzeit und nach Absprache mit dem BfDI ein neues, technisch und datenschutzrechtlich deutlich verbessertes Authentifizierungsverfahren eingeführt. 

Ungeachtet dieser Maßnahmen war die Verhängung einer Geldbuße geboten. So war unter anderem der Verstoß nicht nur auf einen geringen Teil der Kunden begrenzt, sondern stellte ein Risiko für den gesamten Kundenbestand dar. Bei der Festsetzung der Höhe der Geldbuße blieb der BfDI aufgrund des während des gesamten Verfahrens kooperativen Verhaltens von 1&1 Telecom GmbH im unteren Bereich des möglichen Bußgeldrahmens. 

Der BfDI untersucht aufgrund von eigenen Erkenntnissen, Hinweisen und auch Kundenbeschwerden zudem derzeit die Authentifizierungsprozesse weiterer Anbieter von Telekommunikationsdienstleistungen. 

Ein weiteres Verfahren gegen den Telekommunikationsanbieter Rapidata GmbH wurde erforderlich, da das Unternehmen seiner gesetzlichen Auflage nach Artikel 37 DSGVO zur Benennung des betrieblichen Datenschutzbeauftragten trotz mehrmaliger Aufforderung nicht nachgekommen ist. Bei der Höhe der Geldbuße von 10.000 Euro wurde berücksichtigt, dass es sich hierbei um ein Unternehmen aus der Kategorie der Kleinstunternehmen handelt.