Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
Als GRC Legal Law Firm verfolgen wir die weltweiten Entwicklungen aufmerksam und stellen Ihnen in diesem Beitrag eine Auswahl aktueller Themen vor.
Regierung x chinesische Internetgiganten
Da China über die weltweit größte Internetnutzerbasis und einen riesigen Markt für E-Commerce, Spiele und Smartphones verfügt, sind Technologieunternehmen, die in diesen Bereichen tätig sind, in den letzten Jahren exponentiell gewachsen.
Die Details der Algorithmusdaten, die eine wichtige Rolle beim Wachstum der Social-Media-Plattformen spielen und von entscheidender Bedeutung sind, da sie die Inhalte, die den Nutzern angezeigt werden, und deren Reihenfolge regeln, wurden von chinesischen Internetgiganten wie Alibaba, ByteDance (Eigentümer von Tiktok) und Tencent an die chinesischen Regulierungsbehörden weitergegeben. Die US-amerikanischen Unternehmen Meta und Alphabet hingegen behaupten, dass diese Daten Geschäftsgeheimnisse sind.
Die chinesische Cyberspace-Verwaltung veröffentlichte eine Liste mit Erläuterungen zu 30 Algorithmen und erklärte, dass die Liste regelmäßig aktualisiert werde, um den Missbrauch der Daten zu verhindern. Unter den aufgeführten Algorithmen befindet sich auch ein Algorithmus der E-Commerce-Website Taobao, die Alibaba gehört. Es wurde erklärt, dass der Algorithmus von Taobao „den Nutzern anhand ihrer digitalen Fußabdrücke und früheren Suchdaten Produkte oder Dienstleistungen vorschlägt”.
Es wurde erklärt, dass der Algorithmus von Douyin, der chinesischen Version von TikTok, die Interessen der Nutzer anhand der Dinge misst, die sie anklicken, kommentieren, „liken” oder „disliken”.
Da dieser Algorithmus zahlreiche Geschäftsgeheimnisse enthält, wurde eine weitaus umfassendere Übertragung als die veröffentlichte vorgenommen, die der Öffentlichkeit nicht zugänglich gemacht wurde.
Twitch x Hacker
Twitch, eine Videospiel-Streaming-Plattform im Besitz von Amazon, hat einen erheblichen Datenverstoß eingeräumt. Twitch gab bekannt, dass ein Hacker in seine Server eingedrungen sei. Twitch räumte ein, dass „aufgrund eines Fehlers in einer Twitch-Serverkonfigurationsaktualisierung, auf die ein böswilliger Dritter Zugriff hatte”, versehentlich Informationen im Internet veröffentlicht worden seien.
Vertreter des Unternehmens versicherten den Kunden, dass „keine vollständigen Kreditkartennummern offengelegt wurden” und „keine Anzeichen dafür vorliegen, dass Anmeldedaten offengelegt wurden”.
Da diese Datenverletzung auf dem Message Board 4chan als „Teil 1” bezeichnet wurde, wird davon ausgegangen, dass weitere Angriffe folgen werden.
Es scheint, dass die Verletzung nicht so sehr das Teilen von Codes betrifft, die bestimmte Benutzerkonten betreffen, sondern vielmehr die internen Informationen von Twitch. Der Geschäftsführer von Check Point Software Technologies und der South Asia Regional Cooperation Association in Indien erklärte, dass jede Lücke im Quellcode gefährlich sei und schwerwiegende Folgen haben könne. Der für die Cybersicherheitsforschung zuständige Vizepräsident von Acronis bezeichnete den Vorfall als eine der bislang schwerwiegendsten Datenverletzungen, da die offengelegten Informationen nahezu den gesamten digitalen Fußabdruck von Twitch offenlegen könnten.
Google x Abtreibung
Mehr als 650 Mitarbeiter von Google haben eine Petition unterzeichnet, in der sie das Unternehmen auffordern, zusätzliche Maßnahmen zum Schutz der produktiven Rechte der Arbeitnehmer und der Öffentlichkeit zu ergreifen. Laut der Alphabet Workers Union, die die Mitarbeiter der Google-Muttergesellschaft vertritt, wurde die Petition am 15. August an die Führungskräfte von Google, darunter auch CEO Sundar Pichai, geschickt.
Die Führungskräfte haben noch nicht auf die Petition reagiert.
Kurz nachdem im Mai ein Entwurf einer Stellungnahme durchgesickert war, aus der hervorging, dass der Oberste Gerichtshof plant, das Urteil in der Rechtssache Roe gegen Wade aufzuheben, kündigte Google an, Besuche von Abtreibungskliniken „unmittelbar nach dem Besuch” aus dem Standortverlauf der Nutzer zu löschen und sich gegen „übermäßig weitreichende” Anfragen von Strafverfolgungsbehörden zu wehren.
Die Mitarbeiter fordern jedoch vom Unternehmen weitere Maßnahmen zum Schutz der Daten der Nutzer. Zu den Forderungen in der Petition gehört, dass Google „sofortige Datenschutzkontrollen für alle gesundheitsbezogenen Aktivitäten einführt, beispielsweise dass Suchanfragen zum Zugang zu Schwangerschaftsabbrüchen niemals gespeichert, an Strafverfolgungsbehörden weitergegeben oder als Straftat gewertet werden”.
Außerdem wird Google aufgefordert, irreführende Suchergebnisse für Abtreibungskliniken zu korrigieren. Eine aktuelle Untersuchung von Bloomberg ergab, dass Suchanfragen nach Abtreibungskliniken in Google Maps häufig Ergebnisse für sogenannte Krisenschwangerschaftszentren liefern, die Patienten von einer Abtreibung abhalten wollen.
Google x Kinderfotos
Ein Vater, der Nacktfotos seines Kindes machte, um sie einem Arzt zu zeigen, wurde von Google als kriminelle Aktivität registriert. Zwei Tage, nachdem der Vater die Fotos seines Sohnes gemacht hatte, erhielt er eine Benachrichtigung auf seinem Telefon, dass sein Konto wegen „schwerwiegender Verstöße gegen die Richtlinien von Google und möglicherweise illegaler schädlicher Inhalte“ gesperrt worden sei. Fast 10 Jahre lang waren seine persönlichen E-Mails, Kontakte und Fotos gesperrt.
Laut dem Bericht hatte Mark bemerkt, dass mit seinem gerade laufen lernenden Kind etwas nicht stimmte, und wollte dem Arzt ein Foto des geschwollenen Penis seines Sohnes zeigen. Bei diesem Vorfall im Februar 2021 wollte die Familie aufgrund der Pandemie nicht direkt zum Arzt gehen, sondern zunächst ein Foto zur Vorabkonsultation schicken. Diese Bitte kam sogar vom Arzt selbst. Marks Frau schickte mit ihrem Handy mehrere Nahaufnahmen der Leistengegend ihres Sohnes an das Messaging-System des Gesundheitsdienstleisters.
Dadurch wurde Mark Teil einer speziellen polizeilichen Ermittlung gegen Organisationen, die mit Kinderpornografie handeln. Der unglückliche Vater war in ein algorithmisches Netzwerk geraten, das darauf ausgelegt war, Menschen zu fangen, die Material über sexuellen Missbrauch von Kindern austauschen.
Bilder von ausgebeuteten oder sexuell missbrauchten Kindern werden jedes Jahr millionenfach von Technologiegiganten entdeckt. Im Jahr 2021 meldete Google allein mehr als 600.000 Fälle von Material über Kindesmissbrauch und sperrte daraufhin mehr als 270.000 Nutzerkonten.
Das erste Instrument der Technologiebranche, das den Online-Handel mit solchen Aktivitäten ernsthaft beeinträchtigte, war PhotoDNA, eine Datenbank mit bekannten Missbrauchsbildern, die in einzigartige digitale Codes oder Hashes umgewandelt wurden. Selbst wenn ein Foto in kleinen Details verändert wurde, kann es verwendet werden, um eine große Anzahl von Bildern schnell zu scannen und Übereinstimmungen zu finden. Nachdem Microsoft PhotoDNA 2009 auf den Markt gebracht hatte, nutzten Facebook und andere Technologieunternehmen es, um Nutzer zu entfernen, die illegale und schädliche Bilder verbreiteten.
Ein größerer Durchbruch gelang 2018, als Google ein KI-Tool entwickelte, das bisher unbekannte Bilder von Kindesmissbrauch erkennen konnte. Das bedeutete, dass nicht nur bekannte Bilder von missbrauchten Kindern gefunden werden konnten, sondern auch Bilder von unbekannten Opfern, die von den Behörden möglicherweise gerettet werden konnten. Google stellte seine Technologie anderen Unternehmen, darunter auch Facebook, zur Verfügung.
Mark beantragte bei Google eine „Neubewertung”, doch Google lehnte diesen Antrag ohne Angabe von Gründen ab. Da Marks E-Mails und Telefone blockiert waren, konnte die Polizei ihn für die Ermittlungen nicht erreichen, was die Angelegenheit noch komplizierter machte. Nachdem die Sachlage geklärt war, wurde die polizeiliche Untersuchung schnell abgeschlossen, doch Mark konnte sein Google-Konto nicht zurückerhalten.
DSGVO x Vereinigtes Königreich
Es wurde eine Unterschriftenkampagne gestartet, um die Regierung dazu zu bewegen, ihre Pläne zur Reform des Datenschutzsystems im Vereinigten Königreich aufzugeben. In der Kampagne wurde betont, dass „die Pläne zur Verringerung der Belastungen für Unternehmen nicht mit dem Schutz der individuellen Rechte vereinbar sind und den Missbrauch personenbezogener Daten erleichtern könnten”.
Zu den diskutierten Themen gehörte auch, dass die Aufhebung der Kompatibilität des britischen Datenschutzsystems mit dem der Europäischen Union („EU”) zusätzliche Kosten für international tätige Unternehmen verursachen könnte und dass einige Unternehmen infolge dieser Maßnahme sogar ihren Standort verlegen könnten.
In der Kampagne wurde darauf hingewiesen, dass das Datenschutzsystem des Vereinigten Königreichs infolge der Reformen im Rahmen der EU als unzureichend angesehen werden könnte und es für britische Unternehmen schwieriger werden könnte, in der EU tätig zu sein.
Google x Googerteller
Ein App-Entwickler und Datenschutzexperte hat eine Demo-App entwickelt, die jedes Mal, wenn Computer Daten an Google senden, einen „Piepston” ausgibt. Man kann schon jetzt sagen, dass die App „übermäßig laut” ist.
Es ist allgemein bekannt, dass Google innerhalb seines Ökosystems das Nutzungsverhalten der Suchmaschine und anderer Anwendungen verfolgt, um eine bessere Erfahrung zu bieten.
Angesichts der Verbreitung von Google Analytics und den Werbenetzwerken von Google könnte Google jedoch weit mehr verfolgen als bekannt ist. Um besser zu verstehen, welche Daten an Google gesendet werden und wo und wann diese Daten gespeichert werden, hat Bert Hubert, der als ursprünglicher Entwickler von PowerDNS bekannt ist, eine neue Anwendung namens „Googerteller” entwickelt.
Googerteller funktioniert mit einer Liste von IP-Adressen, die mit vielen Google-Diensten in Verbindung stehen, mit Ausnahme derjenigen, die von Google kostenlos zur Verfügung gestellt werden und mit Google Cloud verbunden sind. Wenn Sie ein Programm verwenden oder im Internet surfen, ertönt jedes Mal, wenn Ihr Computer eine Verbindung zu einer dieser IP-Adressen herstellt, ein „Piep”.
Hubert hat in einem Demo-Video, das er auf seinem Twitter-Account geteilt hat, gezeigt, wie die Anwendung in der Praxis funktioniert. In dem Video ist zu sehen, dass das System eine Warnung ausgibt, sobald die Domain der Website der niederländischen Regierung eingegeben wird.
Die Tatsache, dass bei fast jedem Klick auf der Website, einschließlich des Öffnens und Schließens von Menüs, ein Warnton zu hören ist, zeigt, wie umfangreich die an Google gesendeten Daten sind.
Obwohl behauptet wird, dass ein Teil dieser Verbindungen zu Google auf die enge Integration von Chrome mit den Google-Diensten zurückzuführen sein könnte, wird dieses Argument durch die Tatsache, dass die von Mozilla entwickelte Suchmaschine Firefox fast identische Ergebnisse liefert, erheblich geschwächt.
Googerteller ist derzeit nur für Linux-basierte Betriebssysteme (Debian, Ubuntu, Arch, Fedora usw.) ausgelegt, aber Nutzer teilen bereits clevere Möglichkeiten, die Anwendung auf Mac und anderen Systemen auszuführen, oder verbesserte plattformübergreifende Versionen.
Twitter x Zatko
Der ehemalige Sicherheitschef von Twitter hat Twitter vorgeworfen, beim Umgang mit Nutzerdaten und Spam-Bots gravierende Sicherheitslücken zu haben.
Der erfahrene Sicherheitschef Peiter Zatko wurde 2020 vom Mitbegründer und damaligen CEO von Twitter, Jack Dorsey, eingestellt, um die Sicherheit des Unternehmens nach einem massiven Angriff auf 130 hochkarätige Twitter-Konten zu verbessern.
In seiner Beschwerde an die Securities and Exchange Commission, das Justizministerium und die Federal Trade Commission erklärte Zatko, dass Twitter seine Führungskräfte, Nutzer, Vorstandsmitglieder und die Bundesregierung absichtlich über die Wirksamkeit seiner Sicherheitsmaßnahmen getäuscht habe.
In der Beschwerde wird behauptet, dass Twitter gegen eine Vereinbarung aus dem Jahr 2011 mit der Federal Trade Commission verstoßen habe, in der das Unternehmen zugesagt hatte, einen umfassenden Sicherheitsplan zum Schutz der persönlichen Daten seiner Nutzer zu erstellen. In einer Präsentation vor dem Risikoausschuss des Vorstands Ende letzten Jahres wurde behauptet, dass auf 92 % der Mitarbeitercomputer Sicherheitssoftware installiert sei, doch Zatko weist darauf hin, dass die Führungskräfte es vermieden hätten, darauf hinzuweisen, dass ein Drittel der Firmencomputer nach wie vor ungeschützt sei.
Twitter dementierte Zatko’s Behauptungen in einer Erklärung gegenüber CNN und betonte, dass Sicherheit und Datenschutz für das Unternehmen stets Priorität hätten. Auffällig ist jedoch, dass Zatko unmittelbar nach seiner Meldung, dass die Sitzung des Risikokomitees fragwürdig gewesen sein könnte, vom derzeitigen CEO von Twitter, Parag Agrawal, entlassen wurde.
Was war passiert?
Twitter stand in den letzten Monaten wegen der Verarbeitung sensibler Nutzerdaten in der Kritik. Anfang August sorgte die Verurteilung eines ehemaligen Twitter-Mitarbeiters wegen der Überwachung saudischer Dissidenten und der Weitergabe ihrer Daten an die saudische Regierung für großes Aufsehen. Außerdem wurde das Unternehmen von der US-Bundesregierung mit einer Geldstrafe in Höhe von 150 Millionen Dollar belegt, weil es die E-Mail-Adressen und Telefonnummern seiner Nutzer zu Sicherheitszwecken abgefragt, die entsprechenden personenbezogenen Daten jedoch zu Marketingzwecken verwendet hatte.
noyb.eu x Google
noyb.eu hat bei der französischen Datenschutzbehörde („CNIL“) eine Beschwerde gegen Google eingereicht. Es wird behauptet, dass der Technologieriese Google, der sich weigert, die Entscheidung des Europäischen Gerichtshofs („CJEU“) zu automatisierten E-Mails für Marketingzwecke umzusetzen, Nutzer ohne deren Zustimmung über Gmail mit Marketing-/Werbe-E-Mails bombardiert.
In der Beschwerde wird darauf hingewiesen, dass Google über Gmail automatisch „unerwünschte” E-Mails/Spam-Nachrichten mit Werbeinhalten an die Posteingänge der Nutzer versendet und in diesem Zusammenhang E-Mail-ähnliche Werbeaktivitäten durchführt. Da diese Sendungen als Marketing-/Werbeaktivitäten im Rahmen kommerzieller elektronischer Nachrichten zu werten sind, wird betont, dass die ePrivacy-Richtlinie (ePrivacy Directive) Anwendung findet.
Im Rahmen des EU-Rechts ist es ganz klar, dass kommerzielle elektronische Nachrichten nur mit Zustimmung der Nutzer versendet werden dürfen. Darüber hinaus wird darauf hingewiesen, dass jede Art von Werbemitteilung, die vom Gerichtshof an die Nutzer übermittelt wird, der Einwilligungsregel unterliegt. Da die diesmalige Beschwerde gegen Google nicht auf der DSGVO, sondern auf der ePrivacy-Richtlinie basiert, steht im Raum, dass die CNIL ohne Rückgriff auf andere Datenschutzgesetze ein Urteil gegen Google fällen und direkt Strafen verhängen kann.
Was war passiert?
Man kann sagen, dass die CNIL eine Vorgeschichte mit Google hat. Es ist bekannt, dass Google von der CNIL wegen unklarer Datenschutzerklärungen und personalisierter Werbeaktivitäten aufgrund fehlender rechtlicher Gründe mit einer Geldstrafe von 50 Millionen Euro und im Dezember 2021 wegen Cookie-Verstößen mit einer Geldstrafe von 150 Millionen Euro belegt wurde.
Kalifornien x Sephora
Der Kosmetik-Einzelhandelsriese Sephora wurde mit einer Geldstrafe von 1,2 Millionen Dollar belegt, weil er gegen das kalifornische Verbraucherschutzgesetz verstoßen hatte, indem er die persönlichen Daten von Verbrauchern verkauft und deren Anträge auf Deaktivierung von Cookies nicht bearbeitet hatte.
Der kalifornische Generalstaatsanwalt Rob Bonta betonte in einer Pressekonferenz: „Das Verhalten von Sephora ist inakzeptabel. Es ist den Verbrauchern nicht zu erklären, dass ihre personenbezogenen Daten im Austausch für Vorteile wie gezielte Werbung und Rabattanalysen an Online-Drittanbieter weitergegeben werden.“
Ein Unternehmenssprecher erklärte, dass Sephora Cookies für „Sephora-Erlebnisse” und „die personalisierte Bereitstellung von Sephora-Produktempfehlungen” verwende. In der Erklärung wurde darauf hingewiesen, dass Verbraucher diese Daten derzeit über den Link „Meine persönlichen Daten nicht verkaufen” auf der Website von Sephora deaktivieren können.
Bonta erklärte, dass die Tatsache, dass Sephora seine Verbraucher nicht über die Verarbeitung oder sogar den Verkauf ihrer personenbezogenen Daten informiert habe und trotz der Benachrichtigungen und Warnungen keine Maßnahmen zur Beendigung des Verstoßes ergriffen habe, die Situation zu einer ernsten Dimension eskaliert habe.
Datenüberwachungsstelle x Big Five
Eine neue Studie behauptet, dass von den fünf großen Technologieunternehmen („Big Five“), zu denen Google, Twitter, Amazon, Facebook und Apple zählen, Google mehr private Daten über Nutzer sammelt als die anderen und Apple am wenigsten.
Apple hat kürzlich die Funktion „App Tracking Transparency” eingeführt, um die Privatsphäre der Nutzer insbesondere gegenüber anderen Unternehmen zu schützen. Ein neuer Bericht stellt jedoch fest, dass Apple mehr Daten erfasst, als für die Bereitstellung seiner Dienste erforderlich ist.
Laut StockApps.com ist Apple „das Unternehmen in der Branche, das sich am stärksten für den Datenschutz einsetzt und nur die Daten speichert, die zum Schutz der Benutzerkonten erforderlich sind.
Der Grund dafür ist, dass seine Websites nicht so stark von Werbeeinnahmen abhängig sind wie Google, Twitter und Facebook.“
Der Bericht besagt, dass Google, eines der fünf großen Unternehmen, 39 verschiedene Datenpunkte pro Nutzer verfolgt, während Apple nur 12 verfolgt. Überraschenderweise wird angegeben, dass Facebook nur 14 Datenpunkte verfolgt, während Amazon 23 und Twitter 24 Datenpunkte verfolgen. Die Datenpunkte werden im Bericht zwar nicht aufgeführt, es wird jedoch angegeben, dass sie Standortdaten, Suchverlauf, Aktivitäten auf Websites von Drittanbietern und im Fall von Google auch E-Mails in Gmail umfassen.
Edith Reads von StockApps.com erklärte: „Die meisten Menschen haben weder die Zeit noch die Geduld, die Datenschutzrichtlinien zu lesen, die für jede Website, die sie besuchen, mehrere Seiten lang sein können. Infolgedessen stimmen die Nutzer den Datenschutzbestimmungen zu und erlauben Google, alle Daten zu sammeln, die es benötigt.“
Facebook x Cambridge Analytica
Der Technologieriese Facebook hat vier Jahre nach der Enthüllung des Skandals durch den Observer, der zu anhaltenden Kontroversen geführt hatte, eine bedeutende Entschädigungszahlung akzeptiert, weil er Cambridge Analytica den Zugriff auf die privaten Daten von Millionen von Nutzern ermöglicht hatte. Aus einem Gerichtsdokument geht hervor, dass die Muttergesellschaft von Facebook, Meta, in einem langwierigen Rechtsstreit, in dem behauptet wird, Facebook habe illegal Nutzerdaten an ein britisches Analyseunternehmen weitergegeben, eine Einigung über einen nicht genannten Betrag erzielt hat.
Der Vorfall, der CEO Mark Zuckerberg dazu zwang, vor dem Kongress auszusagen, und zu einer Geldstrafe in Milliardenhöhe für das Social-Media-Unternehmen führte, wodurch der Aktienkurs um mehr als 100 Milliarden Dollar fiel, geht auf die Enthüllung des massiven Datenmissbrauchs durch einen Informanten von Cambridge Analytica im Jahr 2018 gegenüber dem Observer zurück. Zu den bemerkenswerten Details gehört, dass Mark Zuckerberg, der versucht, den Cambridge-Analytica-Skandal zu vertuschen, kurz vor seiner sechsstündigen Kreuzvernehmung unter Eid eine Einigung erzielt hat.
Es gibt eine separate Klage, in der behauptet wird, dass Facebook Zuckerberg schützen wollte und der US-amerikanischen Federal Trade Commission („FTC“) im Rahmen einer Vereinbarung über den Cambridge-Analytica-Skandal 4,9 Milliarden Dollar mehr gezahlt hat als erforderlich. In der Klage wird behauptet, dass die Höhe der Vereinbarung in Höhe von 5 Milliarden Dollar darauf zurückzuführen ist, dass der Facebook-Gründer verhindern wollte, dass sein Name in der FTC-Beschwerde erwähnt wird.
Xinai Electronics x Gesichtserkennungsdaten
Auch wenn der Inhalt für China, wo staatliche Überwachung allgegenwärtig und Gesichtserkennung an der Tagesordnung ist, unbedeutend erscheinen mag, ist die Größe der offengelegten Datenbank doch erstaunlich. Die Datenbank enthielt mehr als 800 Millionen Datensätze und stellte nach einem riesigen Datenleck im Juni dieses Jahres, bei dem 1 Milliarde Datensätze aus der Datenbank der Polizei von Shanghai offengelegt wurden, eine der größten bekannten Datenschutzverletzungen des Jahres dar.
Die offengelegten Daten stammen von einem Technologieunternehmen namens Xinai Electronics mit Sitz in Hangzhou, China. Das Unternehmen kontrolliert den Zugang von Personen und Fahrzeugen zu Arbeitsplätzen, Schulen, Baustellen und Parkplätzen in ganz China, indem es dort Systeme installiert. Auf seiner Website wirbt es für den Einsatz von Gesichtserkennungssystemen für eine Reihe von Zwecken, die über die Personalverwaltung und/oder den Zugang zu Gebäuden hinausgehen, während ein cloudbasiertes System zur Erkennung von Kfz-Kennzeichen es Fahrern ermöglicht, für das Parken in unbeaufsichtigten Parkhäusern zu bezahlen.
Der Sicherheitsforscher Anurag Sen entdeckte die offen zugängliche Datenbank des Unternehmens auf einem von Alibaba in China gehosteten Server und bat TechCrunch um Hilfe, um die Sicherheitsverletzung bei Xinai zu melden. Er sagte, dass die Datenbank eine alarmierend große Menge an Informationen enthalte, die täglich rapide wachse, sowie Hunderte Millionen von Bilddateien, die in verschiedenen Bereichen von Xinai gespeichert seien. Weder die Datenbank noch die gespeicherten Bilddateien waren durch Passwörter geschützt und konnten von jedem, der wusste, wo er suchen musste, über einen Webbrowser abgerufen werden. Seit Mitte August ist die Datenbank nicht mehr zugänglich.
China nutzt Gesichtserkennungstechnologie zwar zur Überwachung der großen Bevölkerung in intelligenten Städten, aber auch zur massenhaften Überwachung von Minderheiten, denen Peking seit langem Unterdrückung vorwirft.
Im vergangenen Jahr veröffentlichte China das Gesetz zum Schutz personenbezogener Daten, das erste umfassende Datenschutzgesetz, das mit den europäischen DSGVO-Datenschutzbestimmungen vergleichbar ist und darauf abzielt, die von Unternehmen gesammelte Datenmenge zu begrenzen, wobei die Polizei und staatliche Stellen, die China bilden, generell ausgenommen sind. Nach zwei massiven Datenverstößen in den letzten Monaten sehen sich jedoch sowohl die chinesische Regierung als auch Technologieunternehmen als unzureichend ausgestattet, um die riesigen Datenmengen zu schützen, die von ihren Überwachungssystemen gesammelt werden.
Snapchat x Biometrische Daten
Snap, die Muttergesellschaft von Snapchat, hat einen Vergleich in Höhe von 35 Millionen Dollar geschlossen, um eine Sammelklage beizulegen, in der ihr vorgeworfen wurde, die einzigartigen biometrischen Daten ihrer Nutzer ohne deren Zustimmung gesammelt und gespeichert zu haben. Die Kläger behaupteten, dass Snap es versäumt habe, die gemäß dem Illinois Biometric Information Privacy Act („BIPA“) erforderliche schriftliche Einwilligung einzuholen, bevor es Gesichtserkennungsdaten und andere biometrische Informationen sammelte und speicherte.
Im Jahr 2020 hatte Facebook nach einer Klage wegen der Erfassung biometrischer Daten zum Taggen von Fotos und der Nichteinhaltung des BIPA einen Vergleich in Höhe von 550 Millionen Dollar geschlossen. Im Juni hatte Google zugestimmt, 100 Millionen Dollar zu zahlen, um eine Klage beizulegen, in der behauptet wurde, dass das Gesichtserkennungsprogramm in Google Fotos gegen Vorschriften verstoße. Erst diese Woche wurde eine endgültige Einigung über eine Zahlung von 92 Millionen Dollar an TikTok wegen eines Verstoßes erzielt.
Das Unternehmen wies die Vorwürfe zurück und erklärte, dass die von Snapchat-Filtern verwendeten „begrenzten Daten” auf dem Telefon des Nutzers verbleiben und nicht in einer zentralen Datenbank gespeichert werden. Snapchat-Filter sammeln keine biometrischen Daten, die zur Identifizierung einer bestimmten Person oder zur Gesichtserkennung verwendet werden könnten. In einer Erklärung wurde darauf hingewiesen, dass die Filter lediglich die Nase und die Augen eines Gesichts erkennen und daher nicht als biometrische Daten zu werten sind.
Tiktok x Vorwurf der Datenverletzung
Einige Cybersicherheitsanalysten haben auf Twitter gepostet, dass sie eine unsichere Serververletzung entdeckt hätten, die den Zugriff auf einen Speicherbereich ermögliche, von dem sie glauben, dass er persönliche Nutzerdaten von TikTok enthalte. Vor einigen Tagen gaben Microsoft-Vertreter bekannt, dass sie in der Android-App von TikTok eine „Sicherheitslücke mit hoher Priorität” entdeckt hätten, die es „Angreifern ermöglichen würde, mit einem einzigen Klick die Konten der Nutzer zu gefährden”.
Die Verantwortlichen von TikTok wiesen die Vorwürfe als falsch zurück und erklärten: „Unser Sicherheitsteam hat diese Vorwürfe untersucht und festgestellt, dass der betreffende Code in keinem Zusammenhang mit dem Backend-Quellcode von TikTok steht.”
Die von Microsoft entdeckte Sicherheitslücke war ein enger gefasstes Problem, das Android-Telefone betreffen konnte. Dimitrios Valsamaras vom Microsoft 365 Defender Research Team veröffentlichte einen Beitrag, in dem er erklärte, dass Angreifer „möglicherweise Zugriff auf TikTok-Profile und sensible Informationen erhalten und diese ändern konnten, um private Videos zu veröffentlichen, Nachrichten zu versenden und Videos im Namen der Nutzer hochzuladen“.
Daraufhin erklärte ein Sprecher von TikTok, dass das Unternehmen schnell auf die Ergebnisse von Microsoft reagiert und die Sicherheitslücke in „einigen älteren Versionen der Android-App” behoben habe.
Im Juli wurde festgestellt, dass TikTok „übermäßige Datenerfassung” auf den Geräten der Nutzer durchführte, wobei die App mindestens einmal pro Stunde den Standort des Geräts überprüfte und über einen Code verfügte, der sowohl die Seriennummern des Geräts als auch der SIM-Karte erfasste. TikTok wies die Ergebnisse zurück und erklärte, die Datenmenge sei falsch angegeben worden.
Instagram x Datenschutz für Kinder
Die irische Datenschutzbehörde hat gegen die zu Meta gehörende Social-Media-Plattform Instagram wegen Verstoßes gegen die DSGVO eine Geldstrafe in Höhe von 405 Millionen Euro verhängt. Diese Strafe ist nach der gegen Amazon verhängten Geldstrafe in Höhe von 746 Millionen Euro die zweithöchste Strafe im Rahmen der DSGVO und die dritte Strafe, die die irische Datenschutzbehörde gegen Meta verhängt hat.
Nach einer Geldstrafe von 225 Millionen Euro für WhatsApp und 17 Millionen Euro für Facebook ist dies derzeit die höchste Strafe, die gegen ein Unternehmen von Meta verhängt wurde. Sie resultiert aus der Verletzung der Privatsphäre von Kindern durch Instagram, darunter die Veröffentlichung von E-Mail-Adressen und Telefonnummern von Kindern.
Ein Sprecher von Meta erklärte: „Diese Untersuchung bezieht sich auf alte Einstellungen, die wir vor über einem Jahr aktualisiert haben. Seitdem haben wir viele neue Funktionen veröffentlicht, die dazu beitragen, Kinder zu schützen und ihre Daten geheim zu halten. Wenn sich Personen unter 18 Jahren bei Instagram anmelden, sind ihre Konten privat, sodass nur ihre Bekannten sehen können, was sie teilen, und Erwachsene keine Nachrichten an Jugendliche senden können, die ihnen nicht folgen. Wir haben während der gesamten Untersuchung mit der irischen Datenschutzbehörde zusammengearbeitet und prüfen deren endgültige Entscheidung sorgfältig.“
Sydney x Fingerabdruck
Eine Highschool in Sydney hat die Entscheidung getroffen, Fingerabdrucklesegeräte an den Eingängen zu Toiletten und Waschbecken zu installieren, um die Bewegungen der Schüler zu überwachen und Vandalismus zu verhindern. Diese Maßnahme wurde von vielen Datenschutz- und Privatsphäre-Experten als ungerechtfertigt und unverhältnismäßig kritisiert.
Das betreffende System wurde im Wesentlichen nach etwa zweijährigen Konsultationen mit einem Beratungsgremium, das dem lokalen Elternbeirat der Schule ähnelt, eingeführt. Das Beratungsgremium kam jedoch zu dem Ergebnis, dass anstelle der Verarbeitung von Fingerabdrücken alternativ eine in alphanumerische Zeichen umgewandelte Version der Fingerabdrücke verwendet werden sollte. Die Verarbeitung biometrischer Daten durch Umwandlung in charakteristische Codes oder Zahlen ist zwar gemäß der DSGVO keine Methode, die die Datenverarbeitung rechtfertigt, aber es scheint, dass der Schulbeirat in diesem Fall eine Entscheidung getroffen hat, um das relative Risiko zu minimieren.
Samantha Floreani, Leiterin des Digital Rights Watch Program, wies darauf hin, dass die Verhinderung von Vandalismus kein ausreichender Grund für eine Verletzung der Privatsphäre sei, und warnte, dass die mit dem System verbundenen Risiken die potenziellen Vorteile bei weitem überwiegen würden. Sie erklärte, dass die Verarbeitung biometrischer Daten unverhältnismäßig sei, um Schülern die Nutzung von Toiletten und Waschbecken zu ermöglichen.
UBER x Datenverletzung
Der ehemalige Sicherheitsbeauftragte von Uber, Joe Sullivan, und der Uber-Prozess könnten der erste Fall sein, in dem ein leitender Angestellter wegen einer Datenverletzung strafrechtlich verfolgt wird.
Das US-Bezirksgericht in San Francisco wird sich mit den Argumenten befassen, ob der ehemalige Sicherheitschef des Fahrdienstvermittlers, Sullivan, die Datenverletzung von 2016, von der weltweit 57 Millionen Fahrer betroffen waren, den zuständigen Behörden gemeldet hat oder nicht. Die Verletzung wurde erstmals im November 2017 bekannt, als Uber-CEO Dara Khosrowshahi erklärte, dass Hacker Zugriff auf die Führerscheinnummern von 600.000 Uber-Fahrern in den USA sowie auf die Namen, E-Mail-Adressen und Telefonnummern von 57 Millionen Uber-Fahrern erlangt hatten.
Öffentliche Meldungen wie die von Khosrowshahi sind in vielen US-Bundesstaaten gesetzlich vorgeschrieben, wobei die meisten Vorschriften verlangen, dass die Meldung „zum frühestmöglichen Zeitpunkt und ohne unangemessene Verzögerung” erfolgt. Die Meldung von Khosrowshahi erfolgte jedoch erst ein Jahr nach dem Verstoß.
Im Jahr 2018 zahlte Uber im Rahmen einer landesweiten Vereinbarung mit 50 Generalstaatsanwälten 148 Millionen Dollar, weil es die Datenverletzung nicht gemeldet hatte. Im Jahr 2019 wurden zwei Hacker für schuldig befunden, Uber gehackt und anschließend das „Bug Bounty”-Sicherheitsforschungsprogramm von Uber missbraucht zu haben, und im Jahr 2020 erhob das Justizministerium Anklage gegen Sullivan.
Bundesstaatsanwälte behaupteten, Sullivan habe seinem Team „die Anweisung gegeben, die Informationen über den Verstoß von 2016 streng unter Verschluss zu halten”, um den Sicherheitsverstoß zu vertuschen, und den Vorfall als Teil des Bug-Bounty-Programms behandelt.
In der Klage des Justizministeriums wurde behauptet, dass nur Sullivan und der ehemalige Uber-CEO Travis Kalanick über den gesamten Umfang der Verletzung informiert waren und dass sie an der Entscheidung beteiligt waren, diese als autorisierte Erklärung im Rahmen des Bug-Bounty-Programms zu behandeln. Die Sicherheitsbranche ist jedoch geteilter Meinung darüber, ob Sullivan allein für die Verletzung verantwortlich gemacht werden sollte. Während einige fragen, ob auch die Rolle anderer Führungskräfte und des Vorstands untersucht werden sollte, sind andere der Meinung, dass Sullivans Verantwortung klar ist.
Facebook x Anmelden
Andere große Marken wie Dell, Best Buy, Ford Motor, Pottery Barn, Nike, Patagonia, Match und Amazons Videostreaming-Dienst Twitch haben die Anmeldefunktion für Facebook entfernt. Jen Felch, Chief Digital and Information Technology Officer bei Dell, erklärte, dass die Menschen aus Gründen der Sicherheit, Privatsphäre und Datenweitergabe die Anmeldung über soziale Medien nicht mehr nutzen.
Eigentlich ist es sehr praktisch, sich direkt über Social-Media-Konten anzumelden, ohne einen Benutzernamen und ein Passwort erstellen oder andere persönliche Daten eingeben zu müssen. Allerdings sind in den letzten Jahren insbesondere durch Facebook-Cambridge Analytica, die Profilerstellung von 87 Millionen Nutzern für die Präsidentschaftswahlen 2016, sowie die im Zuge der COVID-19-Pandemie verbreiteten Falschinformationen zu verschiedenen Themen im Zusammenhang mit Masken oder Impfstoffen und alle anderen Verstöße, die Facebook vorsätzlich oder fahrlässig verursacht hat, wurden von den Menschen als „Verletzung ihrer Privatsphäre” interpretiert und veranlassten sie zu Vorsicht. Dies war auch der Hauptgrund dafür, dass die oben genannten Unternehmen die Facebook-Anmeldefunktion entfernt haben.