Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der internationalen Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
Als GRC Legal Law Firm verfolgen wir die weltweite Agenda aufmerksam und stellen Ihnen in diesem Beitrag eine Auswahl aktueller Themen zur Verfügung.
Amazon x CNIL
Der Staatsrat hat die Entscheidung der französischen Datenschutzbehörde („CNIL“) bezüglich der Rechtswidrigkeit der Cookie-Verarbeitung durch Amazon bestätigt. In diesem Zusammenhang muss Amazon eine Geldstrafe in Höhe von 35 Millionen Euro zahlen. Amazon hatte die zuvor von der CNIL getroffene Entscheidung vor den Staatsrat gebracht, der sich am 27. Juni 2022 mit der Entscheidung der zuständigen Behörde CNIL einverstanden erklärte.
Diese Entwicklung ist zwar ein großes Hindernis für Amazon, aber ein indirekter Sieg für die Internetnutzer. Der Hauptgrund für die Entscheidung, dass Amazon gegen die Vorschriften verstößt, ist, dass das Unternehmen kleine Dateien auf den Computern der Internetnutzer platziert, um Daten zu verarbeiten und im Hintergrund einen Big-Data-Datensatz zu erstellen, ohne die Zustimmung der Nutzer einzuholen, wo dies erforderlich ist.
So wird beispielsweise festgestellt, dass Internetnutzer, die auf eine auf einer anderen Website veröffentlichte Anzeige klicken und anschließend die Website amazon.fr besuchen, gegen die Vorschriften verstoßen. Cookies wurden von den Datenschutzbehörden bis zu ihrem Eingreifen ohne jegliche Bestätigung durch die Internetnutzer heimlich verarbeitet, aber heute ist es erforderlich, die Zustimmung für solche nicht obligatorischen Cookies einzuholen.
Als die CNIL im Dezember 2020 ihre Sanktionen gegen Amazon bekannt gab, betonte sie, dass die Informationen im Informationsbanner der Website nicht vollständig und klar seien. Es wurde festgestellt, dass alle Cookies allgemeine und ungefähre Beschreibungen sowie ihre Zwecke enthalten, jedoch keine Details zu ihrer Funktion und zum Recht auf Ablehnung. Nach 1,5 Jahren bestätigte das oberste Verwaltungsgericht Frankreichs die von der CNIL verhängte Strafe in Höhe von 35 Millionen Euro und wies den Antrag von Amazon zurück.
Amazon ist in dieser Hinsicht ein weltweit vorbestrafter Marktplatz und wurde von der Behörde mit der Entscheidung Nr. 2020/173 vom 27.02.2020 mit einer Verwaltungsstrafe in Höhe von insgesamt 1,2 Millionen Euro belegt.
Vereinigtes Königreich x Cookie-Panel
Großbritannien plant, Cookie-Zustimmungsfelder abzuschaffen, doch daraufhin warnte eine Datenschutzkampagnengruppe, dass die vorgeschlagene Abschaffung der Cookie-Zustimmungsfelder die Überwachung von Internetnutzern erleichtern würde. Der Plan sieht vor, dass die Regierung einen Opt-out-Mechanismus einrichtet, wobei die Website den Nutzern klare Informationen zum Opt-out bereitstellen muss.
Die Open Rights Group, die sich für Datenschutz und Meinungsfreiheit auf Online-Plattformen einsetzt, betont, dass dieser Vorschlag die Überwachung der Aktivitäten von Menschen zur „Standardoption” machen würde. In einer Erklärung, in der die Verwendungszwecke von Cookies dargelegt und die mit dem Vorschlag verbundenen potenziellen Risiken hervorgehoben werden, weist die Gruppe auch darauf hin, dass Cookie-Panels zwar lästig sein können, es jedoch wichtige Gründe dafür gibt, dass jemand Ihre Zustimmung einholen muss, bevor er detaillierte Datendateien über Sie erstellen darf.
Die betreffenden Vorschriften sind ein Ergebnis des digitalen Reformpakets, das die Königin in ihrer Rede im vergangenen Monat vorgestellt hat, und sehen auch eine Änderung der Verwaltungsstruktur der unabhängigen Datenschutzbehörde Großbritanniens vor.
Während heute in der Türkei der Cookie-Leitfaden die aktuellste Veröffentlichung der Datenschutzbehörde ist, zeigt die Tatsache, dass in Großbritannien dieselben Themen diskutiert werden, dass die Digitalisierung nicht nur für uns, sondern weltweit voranschreitet und an Bedeutung gewinnt. Parallel zu den wachsenden Bedenken in Großbritannien befasst sich auch der Cookie-Leitfaden mit der Frage, ob es richtig ist, die Verwendung von Cookies als Standardoption zu regeln.
TikTok x USA
Laut einer Meldung vom 21. Juni 2022 hat TikTok angekündigt, dass es die Daten seiner Nutzer aus den USA an die US-Server von Oracle senden wird. Wenige Stunden nach dieser Ankündigung wurde behauptet, dass Mitarbeiter von TikTok in China wiederholt auf die Daten von US-Nutzern zugegriffen hätten. Diese Behauptung stützt sich auf mehr als 80 Stunden geleakte, synchronisierte Anrufe, die als „TikTok Tapes” (TikTok-Kassetten) bezeichnet werden.
Der Meldung zufolge hatten Ingenieure in China zwischen September 2021 und Januar 2022 Zugriff auf die Daten von US-Nutzern. Eine weitere Behauptung in dem Bericht des internationalen Nachrichtensenders Buzfeed lautet, dass während einer Sitzung im September 2021 die Aussage „In China wurde alles gesehen” getroffen wurde und dass Mitarbeiter in den USA sich an ihre Kollegen in China gewandt hätten, um eine Antwort darauf zu erhalten, wie die Daten von US-Nutzern durchgesickert seien.
Im August 2020 drohte US-Präsident Trump, die Nutzung der App in den USA zu verbieten, sollte der chinesische Eigentümer von TikTok die App nicht an ein US-Unternehmen verkaufen. In seiner Erklärung behauptete Trump, es gebe zuverlässige Beweise dafür, dass die App die nationale Sicherheit der USA gefährde. Es gibt zwar keine Beweise dafür, dass TikTok oder ByteDance, der Eigentümer der App, Daten anders als andere Technologieunternehmen in den USA verwendet, aber der Unterschied zu Apps wie Facebook oder Snapchat bestand darin, dass das Unternehmen seinen Sitz in der Volksrepublik China hatte.
Obwohl es nie zu einem Verbot kam, akzeptierte TikTok für bestimmte Teile seines Betriebs das Angebot des US-Technologiegiganten Oracle. Monate später hob der derzeitige US-Präsident Biden die Entscheidung über das Verbot auf, setzte jedoch die Handelsuntersuchung fort.
Am Ende des Tages hat TikTok mit dem Oracle-Deal Fortschritte gemacht und durch die Garantie, dass die Nutzerdaten in den USA gespeichert werden, wiederholt versucht, Bedenken hinsichtlich der Datensicherheit auszuräumen. Die Verlagerung der Server in die Vereinigten Staaten ist zwar ein logischer Schritt, um die US- und China-Niederlassungen voneinander zu trennen, doch in den Augen der US-Regierung wird TikTok als Sprungbrett für den Einstieg in den großen Technologiesektor der USA angesehen.
Auch wenn die Bedenken der USA hinsichtlich der „nationalen Sicherheit” vor einigen Jahren noch utopisch erschienen mögen, sind wir als Akteure im Bereich der Datensicherheit heute der Meinung, dass die auf sozialen Plattformen gesammelten Informationen, wenn sie zweckentfremdet verwendet werden, die Wahlergebnisse beeinflussen können, wie der Cambridge-Analytica-Skandal gezeigt hat.
OpenSea x Customer.io
Bei OpenSea, dem weltweit größten NFT-Marktplatz gemessen am Handelsvolumen, kam es zu einer Datenpanne, nachdem ein Mitarbeiter des E-Mail-Versandpartners Customer.io Benutzerdaten weitergegeben hatte. OpenSea warnte seine Kunden in einer Erklärung vor möglichen Phishing-Angriffen und erklärte, dass ein Mitarbeiter des vertraglich gebundenen E-Mail-Anbieters Customer.io seine Befugnisse zum Herunterladen und Weitergeben von eingehenden E-Mails missbraucht habe.
Laut OpenSea sind alle Personen, die in der Vergangenheit ihre E-Mail-Adresse an OpenSea weitergegeben haben, einem hohen Risiko ausgesetzt. Den gesammelten Daten zufolge sind mehr als 1,8 Millionen Menschen von der Verletzung betroffen. OpenSea fügte hinzu, dass es während der laufenden Ermittlungen mit customer.io zusammenarbeitet und den Vorfall den Strafverfolgungsbehörden gemeldet hat.
Durch diesen E-Mail-Verstoß wurde die Privatsphäre von Millionen von Nutzern verletzt. Die Nutzer erhielten eine Vielzahl unerwarteter E-Mails und ihre Postfächer füllten sich mit Spam. OpenSea betonte, dass Vorsichtsmaßnahmen getroffen werden müssen, wie z. B. nicht auf E-Mails zu klicken, die wie OpenSea aussehen, aber von anderen Domains gesendet werden. OpenSea gibt zwar an, dass bislang keine Passwörter oder andere persönliche Daten gestohlen worden seien, dennoch muss davon ausgegangen werden, dass durch den E-Mail-Verstoß persönliche Daten, digitale Identitäten und andere sensible Daten gefährdet sein könnten.
In diesem Zusammenhang ist davon auszugehen, dass im weiteren Verlauf der Ermittlungen gegen OpenSea und customer.io gemäß der DSGVO und dem Gesetz zum Schutz der Privatsphäre in der elektronischen Kommunikation Vorwürfe wegen Datenschutzverletzungen und bestimmte Sanktionen zur Sprache kommen könnten.
Die weltweit immer einheitlicher werdenden Datenschutzgesetze und -grundsätze werden auch in unserem Land sowohl durch die genau verfolgten Auswirkungen der DSGVO als auch durch lokale Vorschriften einem zeitgemäßen Kurs folgen. Das Ziel dieses Kurses wird ein Konsenssystem sein, das als „Merchantability” bezeichnet wird und bei dem die betroffenen Personen selbst den Wert ihrer personenbezogenen Daten bestimmen. Wenn dieser Tag gekommen ist, werden sowohl die Regulierungsbehörden als auch der Regulierungsprozess so gestaltet sein, dass sie wirklich auf einer echten Zusammenarbeit beider Seiten basieren.