2022.04 Subjektiv ausgewählte Datenschutz-Highlights

Speicherung von Gesundheitsdaten: die Gesellschaft für Freiheitsrechte (GFF) will dagegen klagen mit dem Ziel, durch Gerichtsentscheidungen ein höheres Schutzniveau zu erreichen. Nach dem Digitale-Versorgungs-Gesetz (DVG) sollen von allen gesetzlich Versicherten die Gesundheitsdaten pseudonymisiert in einen großen Speicherpool für Forschung und Wissenschaft. Pseudonymisierung ist dabei der GFF und den 2 Mitklägern zu wenig - sie fürchten eine Rekonstruktion mit Offenlegung der Identität. HEISE hat die Details.

Pilotphase für EU Alternative zu Twitter und Youtube. Der Europäische Datenschutzbeauftragte (EDSB) Wiewiórowski stellt nach GOLEM in seiner Presseerklärung die beiden Plattform vor. Allerdings sind sie erst einmal nur für Behörden. GOLEM hat die Details.

Die Chef-Masche alias CEO-Betrug (also das sich als Vorgesetzte/n ausgeben, um Geld aus Unternehmen zu erbeuten) in neuer Version. Europol geht laut Heise davon aus, dass Deepfakes das neue Vorgehen sein werden. Die Technik dazu wird immer besser und steht zur Verfügung. Zum Artikel geht es rechts.

ZOOM: Eine ganze Reihe von Lücken ermöglichen Angreifern mehr Rechte. Heise hat die Auflistung.

Kaspersky: Warnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) vor dem Einsatz ist legitim. Das hat das Oberverwaltungsgericht (OVG) Nordrhein-Westfalen (NRW) mit dem Urteil Aktenzeichen: 4 B 473/22 (I. Instanz: VG Köln 1 L 466/22) entschieden. Aus dem Pressettext des OVG:

• Das BSI hat ferner die in der Vergangenheit dokumentierte Einflussnahme der russischen Regierung auf die in Russland agierenden IT-Unternehmen, insbesondere auch auf Kaspersky, berücksichtigt. Es hat daraus nachvollziehbar gefolgert, dass hinreichende Anhaltspunkte für die Gefahr bestehen, die russische Regierung werde auch im Rahmen des von ihr geführten Angriffskriegs auf die Ukraine russische Softwareunternehmen zur Durchführung eines Cyberangriffs nicht nur auf ukrainische, sondern auch auf andere westliche Ziele instrumentalisieren. Die Sicherheitsvorkehrungen, die Kaspersky getroffen hat, genügen in der aktuellen Situation nicht, um den Bedrohungen hinreichend entgegenzuwirken.


• Das BSI hat die Entscheidung, die Warnung herauszugeben, ermessensfehlerfrei getroffen und dabei insbesondere den Grundsatz der Verhältnismäßigkeit gewahrt. 

Rechts der Link zum Pressetext.

Standisierte Kontaktmöglichkeit für die Info von Sicherheitslücken in Ihrer Webseite. Ein RFC (Request for Comments) der Internet Engineering Task Force (IETF) macht es möglich. Vereinfacht gesagt: Sie legen eine Textdatei in einem bestimmten Format in ein bestimmtes Verzeichnis auf Ihre Webseite. GOLEM hat das beschrieben.

Weiß Facebook eigentlich so genau, was mit den gesammelten Daten passiert? Oder ist das alles ein Blindflug für Datenkrake im Bereich der Sozialen Medien? Nach dem Motto "Wird schon gut gehen - und ist auch nicht so wichtig"? Ein geleaktes Dokument scheint ein Desaster aufzuzeigen. Heise schlüsselt das in einem Artikel auf.

4J ... und kein Ende. Nach einem Heise-Artikel haben Sicherheitsforscher ermittelt, dass eine Vielzahl von Anwendungen im Internet immer noch verwundbar seien. Die Details durch Link rechts.

Das Bundesverfassungsgericht hat entschieden: Das Bayerische Verfassungsschutzgesetz (BayVSG) ist teilweise verfassungswidrig. Es verstößt gegen:

• gegen das allgemeine Persönlichkeitsrecht (Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG) in seiner Ausprägung als Schutz der informationellen Selbstbestimmung


• teilweise in seiner Ausprägung als Schutz der Vertraulichkeit und Integrität informationstechnischer Systeme


• teilweise gegen das Fernmeldegeheimnis (Art. 10 Abs. 1 GG)


• teilweise gegen die Unverletzlichkeit der Wohnung (Art. 13 Abs. 1 GG)

Details direkt beim Bundesverfassungsgericht.

Nachtrag: Lesenswert ist dazu ein Artikel der Süddeutschen Zeitung. Zitat aus dem Artikel: "Es ist ein regelrechter Rundumschlag, mit dem das Gericht der Überwachung durch die Geheimdienste Grenzen setzt." Direkt zum Artikel der SZ.

Mexiko verstaatlicht die Produktion von Lithium. Damit ist sicher ein chinesisches Unternehmen "raus". Aber was bedeutet das für den Lebensstoff der Batterie-/Akku-Produktion? Heise hat sich das mal angeschaut.

Mal was anderes: Eine Hardware-Firewall NitroWall. Klein. Opensource. Vorgestellt von Heise.

Live-Webinar "Microsoft 365 Hardening & DSGVO" - kostenlos von GOLEM. Tolles Thema - und toll, dass, es kostenlos ist. Mehr und die Einwähldaten direkt bei GOLEM.
_{Hinweis: Nein, wir bekommen kein Geld für diese Info...}

Ab den Sommerferien 2022 kein Microsoft 365 mehr an Schulen in Baden-Württemberg. Das fordert der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Stefan Brink. Die Landesregierung wird aufgefordert, Alternativen zur Verfügung zu stellen. Hintergrund der Entscheidung:

• Für einen Pilotbetrieb zwischen Herbst 2020 und Frühling 2021 wurde vom Kultusministerium in Zusammenarbeit mit den beteiligten Dienstleistern und hochrangigen Vertretern von Microsoft eine funktionell eingeschränkte und möglichst datenschutzkonforme Konfiguration von MS 365 gewählt.


• Datenschutzrechtlich besonders bedenkliche Funktionen von MS 365 waren abgeschaltet beziehungsweise wurden soweit möglich deaktiviert, wie beispielsweise die Erfassung von Telemetrie- und Diagnosedaten. Weiterhin wurden zusätzliche Sicherheitsfunktionen implementiert und Accounts nur für Lehrkräfte vergeben, nicht jedoch für Schüler_innen.


• Im April 2021 informierte der LfDI das Kultusministerium über die datenschutzrechtliche Bewertung dieses Pilotprojekts und empfahl, aufgrund hoher datenschutzrechtlicher Risiken von der Nutzung der geprüften Version von MS 365 an Schulen abzusehen und alternative Lösungen zu fördern. Es gelang beim Pilotprojekt trotz intensiver Prüfung und Zusammenarbeit mit den Beteiligten nicht, eine datenschutzkonforme Lösung zu finden.

Mehr direkt beim Datenschutzbeauftragten von BW - dort kann auch das Ergebnis der Untersuchung abgerufen werden.

Einigung in den EU-Institutionen: Das Gesetz über digitale Dienste (Digital Services Act, DSA) wurde in einer Verhandlung zwischen Europaparlament und den EU-Staaten am 23.04.2022 abgestimmt. Ein weiterer Teil des Gesetzes, das Gesetz über digitale Märkte (Digital Markets Act, DMA - wir berichteten hier), wurde schon im März abgestimmt. Spiegel und andere Medien haben die ersten Details zum DSA.

Link zu EU-Kommissionspräsidentin Ursula von der Leyen auf Twitter ...
Link zu SPIEGEL …
Link zu GOLEM ...
Link zu NETZPOLITIK.ORG ...
Link zu Heise ...

Wer arbeitet, soll auch mal Entspannung haben. Oder im Job die optimale und auch günstigste Verbindung per Flug / Bahn finden. Heise hat das erläutert - allerdings hinter der Bezahlschranke Heise+.

Und schon wieder Log4J... Das Parkleitsystem Frankfurt am Main war von der Lücke betroffen. Patchen? Nee - da wird es lieber Offline genommen und von Hand verwaltet. Nun ja... GOLEM mit den Details.

Google macht nach Druck seinen "Cookie-Banner" konform mit der DSGVO. Geht also doch. Heise berichtet.

Online-Medium veröffentlicht auf Twitter hohe Zahlen zu gefallenen oder vermissten russischen Soldaten im Krieg Russlands gegen die Ukraine. Durch ein kremlnahes Onlinemedium. Und dann waren die Zahlen wieder weg - Begründung: Das Medium wurde gehackt durch Ukrainer. Stimmt? Oder stimmt nicht? Die Problematik mit der Wahrheit erläutert ein Artikel vom Spiegel.

ps://www.heise.de/ratgeber/Kettenbriefe-Nervige-Spielerei-oder-gefaehrliches-Sicherheitsrisiko-6739270.html (GOLEM)

Log4J-Lücke- Sie erinnern sich? Da denkt man, inzwischen ist alles gefixt und nun hat Amazon in seine Cloud AWS mehrere fundamentalen Fehler in das Update. GOLEM hat die Details.

Was ist denn eigentlich "Verschlüsselung" und "Wie geht das?" - Eine Information ohne Technik-Balast vom Bundesamt für Sicherheit in der Informationstechnik (BSI).

Facebook neben direkten Verstößen gegen das Persönlichkeitsrecht auch Varianten selbst suchen und löschen - das entschied das Landgericht Frankfurt Az. 2-03 O 188/21. Die Konsequenzen könnten massiv sein - und es wird sicher in die nächste  Instanz gehen. Die Süddeutsche fasst zusammen (rechts) und Heise erklärt die Konsequenzen für Betroffene und Plattformen (Link).

Wie Digitalisierung zur Katastrophe wird: Eine Stadt will den Zugang zum Wertstoffhof einfacher machen und legt damit mal eben 33.000 Meldedaten von BewohnerInnen offen ins Internet. Heise beschreibt diese skurile Geschichte aus Österreich.

P.S. Keine Häme bitte - das passiert öfter als Sie denken...

Google will falsche Links in Suchergebnisse nicht löschen. Der Bundesgerichtshof (BGH) legte einen Fall dem Europäischen Gerichtshof (EuGH) vor. Der Generalanwalt sieht aber Google in der Pflicht zum Löschen. Heise hat die Details.

Android-Apps sammelten wohl Daten für amerikanische Behörden - so meldet GOLEM. Google hat diese Apps inzwischen aus dem Play Store genommen - aber wohl nicht von den Geräten. Die Apps wurden wohl mehr als 60 Millionen mal eingesetzt. Hauptsächlich im Nahen Osten. GOLEM hat die Details.

Google und der Ablehnen-Button beim Cookie-Banner. Diesen Luxus will Google sich nicht leisten und wird nun massiv vom Hamburger Landesdatenschutzbeauftragten darauf hingewiesen, rechtskonform zu handeln. Er erinnerte Google daran, dass die französische Datenschutzbehörde CNIL erst vor kurzem deswegen ein Bußgeld von 210 Millionen € verhängt hatte... Jetzt wir mal gespannt, wie das hier in Deutschland weitergeht. Heise stellt die Details vor.

Nachtrag: vom 06.04.2022: Laut dem Hamburger Landesdatenschutzbeauftragten hat Google schriftlich zugesichert, den ABLEHNEN-Button nun im Geltungsbereich der DSGVO und der Schweiz einzuführen. Mehr unter diesem Link bei Heise oder bei GOLEM.

Google und der Ablehnen-Button beim Cookie-Banner. Diesen Luxus will Google sich nicht leisten und wird nun massiv vom Hamburger Landesdatenschutzbeauftragten darauf hingewiesen, rechtskonform zu handeln. Er erinnerte Google daran, dass die französische Datenschutzbehörde CNIL erst vor kurzem deswegen ein Bußgeld von 210 Millionen € verhängt hatte... Jetzt wir mal gespannt, wie das hier in Deutschland weitergeht. Heise stellt die Details vor.

Nachtrag: vom 06.04.2022: Laut dem Hamburger Landesdatenschutzbeauftragten hat Google schriftlich zugesichert, den ABLEHNEN-Button nun im Geltungsbereich der DSGVO und der Schweiz einzuführen. Mehr unter diesem Link bei Heise oder bei GOLEM.

Tätigkeitsberich tzum Datenschutz: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Kelber stellt den 30. Tätigkeitsbericht für den Datenschutz und die Informationsfreiheit 2021 (PDF) vor. Lesenswert.

Arztpraxen und die Verantwortlichkeit beim Datenschutz bei den IT-Konnektoren: Laut dem Bundesgesundheitsministerium (BMG) sind die Praxen nicht Datenschutzrechtlich verantwortlich. Siehe auch unsere Meldung vom Februar dazu. Das berichtet Heise.