Was passiert in der Welt? XI

Was passiert in der Welt?

Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).

Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.

Als GRC Legal Law Firm verfolgen wir die weltweite Agenda aufmerksam und stellen Ihnen in diesem Beitrag eine Auswahl aktueller Themen zur Verfügung.

Die folgenden Nachrichten stammen aus dem Januar 2023.

Google x Standortverfolgung

Google hat zwei Standortverfolgungsklagen im Wert von 29,5 Millionen Dollar in den US-Bundesstaaten Washington DC und Indiana abgeschlossen.

Nachdem die Bundesstaaten Google wegen der angeblichen Verfolgung von Nutzern ohne deren Zustimmung verklagt hatten, wird erwartet, dass der Suchmaschinenriese 9,5 Millionen Dollar an Washington DC und 20 Millionen Dollar an Indiana zahlen wird. Die 29,5-Millionen-Dollar-Vereinbarung kommt zu den 391,5 Millionen Dollar hinzu, die Google im vergangenen Monat aufgrund ähnlicher Vorwürfe an 40 Bundesstaaten gezahlt hat.

Der Generalstaatsanwalt von DC, Karl Racine, erklärte: „Meine Behörde hat mit Google eine Vereinbarung getroffen, wonach das Unternehmen 9,5 Millionen Dollar zahlen muss, weil es Verbraucher getäuscht und manipuliert hat. Diese Manipulation umfasst auch dunkle Muster, die verwendet werden, um auf Standortdaten zuzugreifen. Wir haben Klage eingereicht, weil Google es fast unmöglich gemacht hat, die Standorte der Nutzer zu verfolgen. Dank dieser Vereinbarung wird nun von Google erwartet, dass es den Verbrauchern erklärt, wie Standortdaten gesammelt, gespeichert und verwendet werden.” erklärte er.

Was sind Dark Patterns?

Dark Patterns sind Designelemente, die Website-Besucher absichtlich zu unklaren und potenziell schädlichen Entscheidungen zwingen, sie irreführen, unter Druck setzen und/oder dazu verleiten. Sie nehmen die Form von irreführend beschrifteten Schaltflächen, schwer rückgängig zu machenden Auswahlmöglichkeiten und grafischen Elementen wie Farben und Schatten an, die die Aufmerksamkeit des Nutzers auf bestimmte Optionen lenken oder von bestimmten Optionen ablenken.

Die 391,5 Millionen Dollar schwere Einigung mit Google in Bezug auf Standortverfolgungsanwendungen unter der Leitung der Generalstaatsanwältin von Oregon, Ellen Rosenblum, und des Generalstaatsanwalts von Nebraska, Doug Peterson, war die bislang größte von Generalstaatsanwälten geführte Einigung zum Thema Verbraucherdatenschutz.

Als Teil der Verhandlungen mit den Generalstaatsanwälten erklärte sich Google zusätzlich zu der millionenschweren Vereinbarung bereit, ab 2023 die Standortverfolgungserklärungen und Benutzerkontrollen erheblich zu verbessern.

In einer Erklärung teilte Google mit, dass es sich um einen bereits geklärten und abgeschlossenen Fall handele, dass es künftig „detailliertere” Informationen über die bei der Kontoeinrichtung gesammelten Daten bereitstellen werde und dass es einen neuen Schalter eingeführt habe, mit dem man in einem einzigen einfachen Schritt den Standortverlauf sowie die Web- und App-Aktivitäten deaktivieren und löschen könne.

Apple x CNIL

Die französische Datenschutzbehörde (Commission nationale de l’informatique et des libertés, „CNIL”) hat Apple wegen Datenschutzverletzungen mit einer Geldstrafe von 8 Millionen Euro belegt. Die CNIL stellte fest, dass der US-Technologiegigant „die Zustimmung der französischen iPhone-Nutzer (Version iOS 14.6) nicht eingeholt hat, bevor er Identifikatoren für Werbezwecke auf seinen Endgeräten installiert und/oder gespeichert hat”.

Der Fall geht auf eine Beschwerde der Unternehmenslobby France Digitale vom März 2021 zurück, in der Apple vorgeworfen wurde, gegen Datenschutzvorschriften verstoßen zu haben.

Apple, das sich selbst als Verfechter des Datenschutzes bezeichnet, hatte im vergangenen Jahr die Funktion „App Tracking Transparency” eingeführt, mit der Nutzer ihre Zustimmung geben müssen, wenn sie von Dritten für gezielte Werbezwecke online verfolgt werden möchten.

Ein sechsköpfiger Ausschuss der CNIL, der über Datenschutzstrafen entscheidet, beschloss Mitte Dezember, über die Empfehlungen des Berichterstatters hinauszugehen, der eine Geldstrafe in Höhe von 6 Millionen Euro gefordert hatte. Der Berichterstatter erklärte jedoch, dass Apple in iOS 15 die Zustimmung gemäß den gesetzlichen Bestimmungen eingeholt habe.

Ein Apple-Sprecher erklärte, Apple sei „enttäuscht” und werde gegen die Entscheidung Berufung einlegen.

Microsoft x KI

Microsoft plant, die KI-Technologien von OpenAI in allen Office-Anwendungen wie Word, Outlook und PowerPoint zu implementieren.

Dank künstlicher Intelligenz sollen Nutzer automatisch Textabschnitte auf der Grundlage von Notizen in Dokumente einfügen können. Darüber hinaus soll die KI dazu verwendet werden können, automatische E-Mails auf der Grundlage der Informationen zu erstellen, die der Nutzer an den Empfänger übermitteln möchte.

Microsoft hatte 2019 1 Milliarde Dollar in OpenAI investiert, um neue Technologien für seine Produkte zu entwickeln. Im Jahr 2021 wurde Copilot vorgestellt, ein Tool, das Programmierern beim Schreiben von Code hilft und in Zusammenarbeit mit OpenAI entwickelt wurde.

Vor kurzem gab es im Internet Berichte, dass Microsoft den KI-Bot ChatGPT von OpenAI nutzen könnte, um Bing-Suchergebnisse in natürlicher Sprache statt als Liste von Links darzustellen.

Mitarbeitern zufolge plant Microsoft auch, dieselben Tools in das Microsoft 365-Office-Paket zu integrieren, um die Produktivität zu steigern. Eine Quelle, die mit The Information sprach, sagte, dass das Unternehmen seit über einem Jahr personalisierte Tools zum Erstellen von E-Mails und Dokumenten entwickelt und auf Kundendaten basierende Methoden des maschinellen Lernens entwickelt.

Für den erfolgreichen Einsatz von KI-Technologien muss eine Reihe von Anforderungen erfüllt sein. So kann beispielsweise nicht garantiert werden, dass ChatGPT immer korrekte Ergebnisse liefert, da es das Internet nicht ständig nach Nachrichten oder Aktualisierungen durchsucht. Wenn die KI-basierten Textgenerierungs-Tools von Microsoft falsche oder verstörende Informationen liefern, ist es unvermeidlich, dass die Nutzer sie nicht mehr verwenden.

Damit KI für einzelne Kunden ohne das Risiko eines unbefugten Zugriffs auf Daten sicher konfiguriert werden kann, muss auch der erforderliche Datenschutz gewährleistet sein. Die Quelle gab an, dass Microsoft an Datenschutzmethoden für die natürlichen Sprachverarbeitungsalgorithmen OpenAI GPT-3 (Generative Pre-trained Transformer 3) und GPT-4 arbeitet.

Auch wenn die Vereinfachung des Alltags, insbesondere des Arbeitslebens, durch künstliche Intelligenz für uns heute sehr spannend ist, bleibt derzeit noch offen, wie die damit verbundenen Bedenken ausgeräumt werden können.

Meta x IDPC

Die irische Datenschutzbehörde („IDPC“) hat ihre endgültige Entscheidung bezüglich der unrechtmäßigen Verarbeitung von Nutzerdaten durch Meta für personalisierte Werbung getroffen. Die IDPC befindet sich in einem großen Konflikt mit den Behörden der Europäischen Union.

Obwohl die Behörden Österreichs, Deutschlands, Frankreichs, Italiens, der Niederlande, Norwegens, Polens, Portugals und Schwedens offiziell Einspruch gegen die Entscheidung eingelegt haben, hat die irische Datenschutzbehörde mit ihrer Entscheidung gegen die Entscheidung des EDPB (European Data Protection Board, „EDPB“) für Aufsehen gesorgt.

Es wird davon ausgegangen, dass diese Entscheidung den Fall nicht abschließen wird. Es wird darauf hingewiesen, dass Themen wie die Verwendung personenbezogener Daten zur Verbesserung der Facebook-Plattform oder für personalisierte Inhalte in der Entscheidung nicht behandelt werden und die Beschwerden von Noyb nicht vollständig berücksichtigt werden. Der EDPB fordert eine zusätzliche Untersuchung zu diesem Thema und erklärt, dass die Beschränkung des Umfangs der Beschwerde durch die IDPC gemäß irischem Recht nicht rechtmäßig sei.

Für die tatsächliche Verletzung der Nutzerrechte wurde eine Geldstrafe in Höhe des Mindestbetrags verhängt. Der EDPB forderte eine viel höhere Geldstrafe, doch die endgültige Höhe wurde von der IDPC festgelegt. Während aufgrund des Transparenzproblems eine Geldstrafe in Höhe von insgesamt 150 Millionen Euro verhängt wurde, sorgte die Tatsache, dass für die Verarbeitung der Daten von Millionen europäischer Nutzer über einen Zeitraum von etwa fünf Jahren ohne jegliche rechtliche Grundlage nur eine Geldstrafe in Höhe von 60 Millionen Euro verhängt wurde, für Verwirrung.

API x Automobilhersteller

Aufgrund von Sicherheitslücken in der API (Application Programming Interface, Anwendungsprogrammierschnittstelle) waren Millionen von Fahrzeugen von 16 Automobilherstellern, darunter BMW, Mercedes und Toyota, betroffen. Cyberangreifer konnten die Fahrzeuge fernsteuern, überwachen und persönliche Daten abgreifen.

Laut den Aussagen des Sicherheitsforschers Sam Curry und seines Teams können Cyberangreifer, die API-Lücken entdeckt haben, aus der Ferne die Hupe betätigen, die Warnblinkanlage einschalten, die Position des Fahrzeugs verfolgen, das Fahrzeug verriegeln/entriegeln und den Motor starten/stoppen. Darüber hinaus ist es möglich, Millionen von Konten von Automobilherstellern und Händlern zu hacken, Administratorzugriff auf interne Systeme zu erlangen, Flotten zu übernehmen und auf Kunden- und Mitarbeiterdaten zuzugreifen.

Die Forscher entdeckten mindestens 20 API-Sicherheitslücken in verschiedenen Automodellen von 16 Herstellern. Einige dieser Lücken sind:

Bei Mercedes-Benz-Fahrzeugen ist es möglich, über falsch konfiguriertes SSO (Single-Sign-On) auf interne Anwendungen zuzugreifen. SSO-Sicherheitslücken können es Cyberangreifern ermöglichen, auf die GitHub-Repositorys von Mercedes-Benz, Compiler-Server wie SonarQube und Jenkins, interne Chat-Tools zuzugreifen und durch Teilnahme an fast allen Kanälen auf interne Cloud-Bereitstellungsdienste zuzugreifen.

Auf zahlreichen Systemen kann Remote Code Execution (RCE) durchgeführt und Speicherlecks ausgelöst werden, die Mitarbeiter- und Kundendaten offenlegen und Konten kompromittieren. SSO-Sicherheitslücken bei BMW und Rolls Royce können Hackern den Zugriff auf beliebige Anwendungen ermöglichen, darunter auch solche, die von Remote-Mitarbeitern und Händlern genutzt werden. Beispielsweise könnten Hacker auf interne Händlerportale zugreifen, beliebige Fahrzeugidentifikationsnummern (Vehicle Identification Number, „VIN“) abfragen und BMW-Verkaufsunterlagen abrufen.

Andere API-Sicherheitslücken bei Ferrari könnten es Hackern ermöglichen, beliebige Ferrari-Kundenkonten zu übernehmen und auf Kundenunterlagen zuzugreifen. Das Umgehen der Zugriffskontrollen in den Ferrari-APIs könnte es Hackern auch ermöglichen, Benutzerkonten für Backoffice-Administratoren zu erstellen, zu ändern und zu löschen. Außerdem könnte ein Angreifer HTTP-Routen zum API-Host von Ferrari (api.ferrari.com) hinzufügen und damit verbundene vertrauliche Informationen aufdecken.

Cyberangreifer können den Standort eines beliebigen Porsche-Fahrzeugs ermitteln, Steuerbefehle senden und auf Kundendaten zugreifen. Bei Jaguar-, Landrover- und anderen Fahrzeugen können Name, Telefonnummer, physische Adresse, Fahrzeugdaten und Passwort-Hash aus der Ferne abgerufen und bei Reviver-Fahrzeugen auf die digitalen Nummernschilder der Kunden geschrieben werden.

Die Forscher fanden außerdem heraus, dass Honda, Infiniti, Nissan, Acura und andere „normale” Fahrzeuge API-Sicherheitslücken aufweisen, die es Cyberangreifern ermöglichen, Fahrzeuge vollständig aus der Ferne zu verriegeln, zu entriegeln, den Motor zu starten, den Motor zu stoppen, den genauen Standort zu bestimmen, die Scheinwerfer einzuschalten und die Hupe zu betätigen, indem sie lediglich die Fahrgestellnummer des Fahrzeugs verwenden.

Den Forschern zufolge kann ein Cyberangreifer auch aus der Ferne auf die 360-Grad-Kamera von KIA zugreifen und Live-Bilder aus dem Fahrzeug ansehen.

Die Forscher haben die weit verbreiteten API-Sicherheitslücken mit verschiedenen Automobilherstellern in Verbindung gebracht, die in den letzten fünf Jahren Systeme mit nahezu identischer Funktionalität verwendet haben.

Diese Entdeckung zeigt, dass Automobilhersteller in ihrer Eile, sich in der Smart-Car-Branche zu etablieren, Anwendungen auf den Markt bringen, die noch nicht ausgereift sind. Laut Jason Kent von Cequence Security testen Automobilhersteller ihre Anwendungen kaum. In den veröffentlichten Erklärungen wurde angegeben, dass die Automobilhersteller die API-Sicherheitslücken gepatcht haben, sodass sie nun nicht mehr ausgenutzt werden können.

API-Sicherheitslücken werden wahrscheinlich in naher Zukunft zu einem Thema werden, von dem wir noch oft hören werden.

Meta x Voyager Labs

Meta hat Maßnahmen ergriffen, um die Nutzung von Facebook und Instagram zu verbieten, da das Unternehmen Voyager Labs, das fortschrittliche KI-basierte Forschungslösungen anbietet, angeblich 600.000 Nutzerdaten über gefälschte Konten gesammelt hat.

In einer kürzlich eingereichten Beschwerde wurde beantragt, Voyager Labs den dauerhaften Zugang zu den Meta-Systemen zu verbieten. Eine Untersuchung der Zeitung The Guardian ergab, dass das Unternehmen 2019 eine Partnerschaft mit dem Los Angeles Police Department („LAPD“) eingegangen war und behauptete, anhand von Social-Media-Informationen Personen identifizieren zu können, die in Zukunft Straftaten begehen könnten.

Öffentliche Aufzeichnungen, die von der gemeinnützigen Organisation Brennan Center for Justice beschafft und 2021 mit The Guardian geteilt wurden, zeigten, dass die Dienste von Voyager es der Polizei ermöglichten, Menschen zu überwachen und zu recherchieren, indem sie ihr digitales Leben rekonstruierte und Annahmen über ihre Aktivitäten, einschließlich ihrer Freundesnetzwerke, traf.

In einem internen Dokument wurde behauptet, dass Voyager die Verwendung eines Instagram-Namens, der arabischen Stolz zum Ausdruck bringt, oder das Posten von Tweets über den Islam als potenzielle Anzeichen für Extremismus bewertet.

In der vor dem Bundesgericht in Kalifornien eingereichten Klage wurden die Aktivitäten, die Meta im Juli 2022 aufgedeckt haben soll, detailliert beschrieben und behauptet, dass Voyager eine Überwachungssoftware verwendet, die auf gefälschten Konten basiert, um Daten von Facebook und Instagram sowie von Twitter, YouTube, LinkedIn und Telegram zu sammeln. Der Klage zufolge habe Voyager mehr als 38.000 gefälschte Facebook-Konten erstellt und betrieben, um Informationen von mehr als 600.000 Facebook-Nutzern zu sammeln, darunter Beiträge, Likes, Freundeslisten, Fotos, Kommentare sowie Informationen aus Gruppen und Seiten.

In der Klage von Meta wird angegeben, dass zu den betroffenen Nutzern gemeinnützige Organisationen, Universitäten, Medienunternehmen, Gesundheitseinrichtungen, Angehörige der US-Streitkräfte sowie Mitarbeiter lokaler, staatlicher und bundesstaatlicher Behörden, Rentner und Gewerkschaftsmitglieder gehörten. Es ist nicht bekannt, wer zu dieser Zeit Kunden von Voyager waren und an welche Organisationen die Daten weitergegeben wurden. Es wird jedoch behauptet, dass Voyager, das Niederlassungen in den USA, Großbritannien, Israel, Singapur und den Vereinigten Arabischen Emiraten hat, seine Software so konzipiert hat, dass sie ihre Existenz vor Meta verbirgt, und die gewonnenen Daten zu Gewinnzwecken verkauft hat.

Im November 2021, nachdem interne Aufzeichnungen aufgetaucht waren, forderte Facebook die LAPD in einer Abmahnung auf, die Nutzung „gefälschter” Konten für die Überwachung sozialer Medien einzustellen, und erklärte, dass gefälschte Konten „einen Verstoß gegen die Richtlinie zur Verwendung echter Namen” darstellten.

Ob die LAPD bei der Arbeit mit Voyager die Funktion für gefälschte Profile genutzt hat, ist zwar unklar, aber aus den aufgetauchten E-Mail-Korrespondenzen geht hervor, dass Polizeibeamte das System als „großartige Funktion” und „unverzichtbaren Dienst” bezeichneten.

Telekommunikation x JV

Nach Tests in Deutschland im letzten Jahr planen europäische Telekommunikationsunternehmen die Gründung eines Joint Ventures, das regionalen Mobilfunknutzern die Möglichkeit bieten soll, „personalisierte” Werbung zu erhalten. Es ist noch nicht klar, ob die Regulierungsbehörden der Europäischen Union diesen Plänen zustimmen werden.

In einem Antrag an die Wettbewerbsabteilung der Europäischen Kommission (European Commission, „EC”) haben die Deutsche Telekom aus Deutschland, Orange aus Frankreich, Telefónica aus Spanien und Vodafone aus Großbritannien die Idee vorgestellt, ein gemeinsam kontrolliertes und zu gleichen Teilen gehaltenes Joint Venture zu gründen, um eine „datenschutzorientierte, digitale Identifizierungslösung” anzubieten. Das Unternehmen konzentriert sich auf die Unterstützung der digitalen Marketing- und Werbeaktivitäten von Marken und Publishern, indem es eine „First-Party”-Daten-Advertising-Targeting-Infrastruktur definiert.

Die EC muss bis zum 10. Februar entscheiden, ob sie das Joint Venture genehmigt und damit den Unternehmen die kommerzielle Markteinführung erlaubt.

Ein Sprecher von Vodafone erklärte, dass das Unternehmen zu diesem Zeitpunkt, in dem die Telekommunikationsunternehmen noch prüfen, ob sie das Vorhaben der Europäischen Kommission genehmigen sollen, keine Stellungnahme zu dem geplanten Joint Venture abgeben könne.

Details zu den Plänen der Unternehmen, auf personalisierte Werbung umzusteigen, wurden im Sommer 2022 während erster Tests in Deutschland bekannt. Die Technologie wurde später als „betreiberübergreifende Infrastruktur für digitale Werbung und digitales Marketing” beschrieben, und Vodafone erklärte, dass die Datenverarbeitung auf der Zustimmung der Nutzer basieren werde. Das Projekt erhielt den Namen „TrustPid”.

Der Vorschlag der Telekommunikationsunternehmen zur Werbeausrichtung geriet schnell ins Visier eines Datenschutzbeauftragten, der Bedenken hinsichtlich der rechtlichen Grundlage für die Verarbeitung der Daten von Mobilfunknutzern für Werbezwecke äußerte. Das Projekt stieß auch bei den Datenschutzbehörden in Deutschland und Spanien auf frühes Interesse.

Die Interaktion mit den Regulierungsbehörden führte offenbar zu einigen Feinabstimmungen hinsichtlich der Frage, wie die Telekommunikationsunternehmen die Zustimmung einholen wollen, um den Prozess transparenter zu gestalten.

Die am 6. Januar 2023 eingereichte Stellungnahme der Telekommunikationsunternehmen bestätigt, dass die „offene Zustimmung der Nutzer” (durch Opt-in) die beabsichtigte rechtliche Grundlage für die Ausrichtung ist. Ein Vertreter eines der betroffenen Telekommunikationsunternehmen (Vodafone) bestätigte bei der Erörterung ihres Ansatzes, dass das Ziel darin bestehe, die Zustimmung der Nutzer über Pop-ups einzuholen.

Eine derzeit noch allgegenwärtige Alternative zu Tracking-Cookies auf Basis von First-Party-Daten erfordert eine rechtliche Grundlage für die Verarbeitung von personenbezogenen Daten zu Marketingzwecken, und es scheint immer schwieriger zu werden, dass Alternativen, die auf Einwilligung basieren, akzeptiert werden.

Die Verhängung hoher Geldstrafen gegen Meta, das versucht, eine vertragliche Notwendigkeit für die Verarbeitung von Nutzerdaten für Werbezwecke geltend zu machen, oder die Verwarnungen, die TikTok erhielt, als es versuchte, für seine „personalisierten Anzeigen” von der Einwilligung auf ein berechtigtes Interesse umzusteigen, sind Beispiele für die kontinuierliche Beratung durch die EU-Datenschutzbehörden, die Unternehmen zum Einlenken zwingen.

Wenn die gemeinsame Initiative der Telekommunikationsunternehmen von der EU grünes Licht erhält, wird die Prüfung des Projekts natürlich beschleunigt und das große Interesse an den technischen Details wird neue Bedenken aufkommen lassen. Daher ist es noch zu früh, um zu entscheiden, ob die Initiative von den Regulierungsbehörden und Datenschutzexperten akzeptiert wird.

Auch die Mobilfunknutzer selbst könnten sich gestört fühlen, wenn sie beim Surfen im Internet plötzlich mit einer lästigen Einwilligungsschicht konfrontiert werden. Da sie schließlich für die Bereitstellung der Dienste an die Telekommunikationsunternehmen zahlen, ist davon auszugehen, dass ihre Toleranz gering sein wird.

Darüber hinaus stellt es eine große Hürde dar, Mobilfunknutzer davon zu überzeugen, Werbung zu sehen, ohne dass undurchsichtige Modelle zum Einsatz kommen, indem ihnen die Möglichkeit geboten wird, wirklich freie, faire und nicht manipulative Nachverfolgung abzulehnen. Viele Menschen würden die Nachverfolgung ablehnen, wenn sie wirklich gefragt würden.

Selbst wenn Telekommunikationsunternehmen die Erstellung von Werbung im Rahmen gemeinsamer Initiativen gestattet wird, gibt es daher keine Garantie dafür, dass die Mobilfunknutzer in ihren Netzen dies akzeptieren werden. Dennoch könnten Marken, wenn dies geschieht, die Chance haben, Webnutzer mit einem neuen Ansatz für sich zu gewinnen.

Transparenz und Offenheit in Bezug auf die Verarbeitung personenbezogener Daten für Werbezwecke bieten die Möglichkeit, etwas gegen den beängstigenden Status quo zu unternehmen, bei dem nicht klar ist, wie die Daten der Menschen missbraucht werden, wo die Verarbeitung endet oder was tatsächlich geschieht.

AEPD x NOYB

Mit einer kürzlich getroffenen Entscheidung war die spanische Datenschutzbehörde (Agencia Espanola Proteccion Datos, „AEPD“) die erste Datenschutzbehörde der Europäischen Union, die eine Beschwerde der Datenschutzorganisation NOYB gegen 101 europäische Unternehmen wegen der Verwendung des Tools Google Analytics zurückgewiesen hat.

Die Entscheidung der AEPD unterscheidet sich von der Position, die zuvor von den Behörden in Österreich, Frankreich, Italien und Dänemark eingenommen wurde. Die Entscheidung der AEPD bezieht sich auf eine Beschwerde gegen die Verwendung von Google Analytics auf der Website der Real Academia Española („RAE”) – einer gemeinnützigen, öffentlich zugänglichen Einrichtung, die mit dem Schutz der spanischen Sprache beauftragt ist.

In ihrer Antwort auf die Beschwerde von NOYB erklärte die RAE:

• • Der einzige und ausschließliche Zweck der RAE bei der Nutzung dieses Tools sei es, ihre Aufgabe der Förderung und Erhaltung der spanischen Sprache zu erfüllen, und nicht, kommerzielle Gewinne zu erzielen.

• • Die Nutzung von Tools zur Erhebung statistischer Daten sei für die Erfüllung des Zwecks der RAE von entscheidender Bedeutung.

• • Die RAE habe nur Zugriff auf aggregierte statistische Daten und nicht auf die IP-Adressen der Nutzer.

• • Es würden keine personenbezogenen Daten verarbeitet, die einzige Information, die einen Nutzer identifizieren könne, sei eine zufällige Kennung, die Google seinen Nutzern zuweise, und die RAE könne einen Nutzer anhand dieser Informationen nicht erneut identifizieren.

• • Die Nutzung des Google Analytics-Tools wurde am 3. Dezember 2020 eingestellt.

Diese Argumente wurden vorgebracht. In ihrer Antwort auf die Behauptungen der RAE entschied die AEPD, dass es keine Beweise für einen Verstoß der RAE gegen die DSGVO gibt, und wies die Beschwerde von NOYB zurück.

Die Entscheidung der AEPD zeigt lediglich, dass die Nutzung des Google Analytics-Tools nicht automatisch als Verstoß gegen die DSGVO angesehen wird. Die AEPD hat zwar keine detaillierte Analyse der konkreten Gründe für die Zurückweisung der Beschwerde vorgelegt, doch könnte die Entscheidung auf eine Veränderung der unterschiedlichen Sichtweisen der EU-Datenschutzbehörden hinsichtlich des mit der Nutzung des Google Analytics-Tools verbundenen Risikos hindeuten. Die vorherrschende Meinung unter den EU-Datenschutzbehörden ist weiterhin gegen die Nutzung von Google Analytics.

WhatsApp x IDPC

WhatsApp wurde von der irischen Datenschutzbehörde (Irish Data Protection Commissioner, „IDPC”) wegen Verstoßes gegen das Datenschutzgesetz mit einer Geldstrafe in Höhe von 5,5 Millionen Euro belegt. Die Geldstrafe wurde verhängt, weil WhatsApp seine Nutzer dazu gezwungen hat, Änderungen der Nutzungsbedingungen zu akzeptieren, ähnlich wie bei den Geldstrafen in Höhe von 390 Millionen Euro gegen die WhatsApp-Schwesterunternehmen Facebook und Instagram.

Da die IDPC WhatsApp jedoch bereits mit einer Geldstrafe in Höhe von 225 Millionen Euro belegt hat, „weil es gegen diese und andere Transparenzverpflichtungen im gleichen Zeitraum verstoßen hat”, wurde die Geldstrafe relativ niedrig gehalten, und daher „keine Sanktionen in Bezug auf Abhilfemaßnahmen vorschlagen” werde. Alle 47 europäischen Regulierungsbehörden stimmten diesem Punkt des Entscheidungsentwurfs der IDPC zu. WhatsApp wurde außerdem eine Frist von sechs Monaten eingeräumt, um seine Datenverarbeitungsstrukturen mit der DSGVO in Einklang zu bringen.

Während die IDPC WhatsApp wegen mangelnder Transparenz kritisierte, lehnte sie es ab, sich gegen die rechtliche Argumentation des Technologieriesen zu stellen, dass er sich „auf einen Vertrag berufen kann”. Als diese Ansicht unter anderen EU-Datenschutzbehörden diskutiert wurde, widersprachen viele der Sichtweise der IDPC. Die Angelegenheit wurde an den Europäischen Datenschutzausschuss (European Data Protection Board, „EDPB”) verwiesen, der sich darauf einigte, dass „Verträge” nicht als Mittel zur Rechtfertigung der Verarbeitung personenbezogener Daten herangezogen werden können.

Ein Sprecher von WhatsApp erklärte: „WhatsApp hat mit der Bereitstellung von End-to-End-Verschlüsselung und Datenschutzmechanismen, die die Menschen schützen, eine Vorreiterrolle im Bereich der privaten Nachrichtenübermittlung übernommen. Wir sind fest davon überzeugt, dass die Funktionsweise des Dienstes sowohl technisch als auch rechtlich konform ist. Wir vertrauen auf die aus dem Vertrag resultierende Notwendigkeit, den Dienst zu verbessern und die Sicherheit zu gewährleisten, da wir der Meinung sind, dass es eine grundlegende Verantwortung ist, bei der Bereitstellung unseres Dienstes die Sicherheit der Menschen zu gewährleisten und ein innovatives Produkt anzubieten. Wir stimmen der Entscheidung nicht zu und planen, Berufung einzulegen.“

Das IDPC hat auch die Bemühungen des EDPB zurückgewiesen, WhatsApp zu einer neuen Untersuchung zu zwingen. Der EDPB behauptete, das IDPC habe eine neue Untersuchung angeordnet, die alle Verarbeitungsvorgänge des Dienstes umfassen solle, um festzustellen, ob WhatsApp Ireland bestimmte Kategorien personenbezogener Daten verarbeitet und ob es Daten für verhaltensbasierte Werbung und Marketingzwecke verarbeitet. Da diese Anweisung möglicherweise die Befugnisse des EDPB überschreitet, hält es das IDPC für angemessen, beim Gerichtshof der Europäischen Union eine Nichtigkeitsklage einzureichen, um die Aufhebung der Anweisung zu beantragen.

PayPal x Cyberangriff

PayPal veröffentlichte am 18. Januar eine Mitteilung, wonach zwischen dem 6. und 8. Dezember 2022 auf die Konten Tausender PayPal-Nutzer unbefugt zugegriffen wurde. Es wurde berichtet, dass durchschnittlich 34.942 Konten unbefugt aufgerufen wurden und dass es sich bei dem Cyberangriff um einen Credential-Stuffing-Angriff handelte.

Was ist ein Credential-Stuffing-Angriff?

Ein Credential-Stuffing-Angriff ist eine Art von Cyberangriff, bei dem ein Angreifer mithilfe eines automatisierten Prozesses wiederverwendete Anmeldedaten zwischen Konten abgreift und diese Anmeldedaten auf ungeschützten Plattformen wiederholt, um Zugriff auf die Benutzerkonten auf diesen Plattformen zu erhalten.

In der offiziellen Mitteilung an alle betroffenen Kontoinhaber wurde angegeben, dass die Angriffe am 20. Dezember bestätigt wurden. PayPal erklärte, dass es keine Hinweise darauf gebe, dass persönliche Daten missbraucht oder unbefugte Transaktionen auf den Konten durchgeführt worden seien, und betonte, dass der Zugriff auf die betroffenen Konten für unbefugte Dritte gesperrt worden sei.

Obwohl keine genauen Angaben gemacht wurden, wurde berichtet, dass die Cyberangreifer möglicherweise Zugriff auf persönliche Daten wie Namen, Adressen, Sozialversicherungsnummern und Geburtsdaten erhalten haben. PayPal bot den von diesem Vorfall betroffenen Kunden nach dem Vorfall zwei Jahre lang kostenlosen Zugang zu den von Equifax bereitgestellten Identitätsüberwachungsdiensten an. Allen Nutzern wurde empfohlen, ähnliche Passwörter, die sie auf verschiedenen Plattformen verwenden, zu ändern, einzigartige, sichere Passwörter zu verwenden und die Zwei-Faktor-Authentifizierung zu aktivieren.

Entscheidung des Europäischen Gerichtshofs

Der Europäische Gerichtshof (European Court of Justice, „ECJ“) hat eine wegweisende Entscheidung getroffen, die den betroffenen Personen das Recht einräumt, zu erfahren, an wen ihre Daten weitergegeben werden.

In der Entscheidung wurde betont, dass Unternehmen auf Antrag der betroffenen Personen verpflichtet sind, mitzuteilen, über welche Kanäle sie personenbezogene Daten weitergeben, und dass es wichtig ist, den Personen die Möglichkeit zu geben, auf der Grundlage der ihnen zur Verfügung gestellten Informationen bewusste Entscheidungen zu treffen. Dies wurde als Erweiterung und Notwendigkeit des Grundsatzes der Transparenz bewertet.

Was war geschehen?

1. 1. Die österreichische Post, die eine große Datenbank über österreichische Staatsbürger/Einwohner unterhält, hatte Informationen an Dritte weitergegeben, woraufhin die Dateninhaber Informationen über die betreffenden dritten Datenempfänger angefordert hatten.

1. 1. Die österreichische Post weigerte sich jedoch, diese Informationen offenzulegen, und antwortete auf die Auskunftsersuchen der Dateninhaber lediglich mit einer Auflistung der „Empfängerkategorien“ wie „Werbetreibende, die über Versandhandel und Schreibwarengeschäfte handeln, IT-Unternehmen, Anbieter von Mailinglisten und Wohltätigkeitsorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien“.

1. 1. Diese Antwort in Form einer Auflistung hatte beim Obersten Gerichtshof Österreichs Zweifel daran aufkommen lassen, ob die Praxis den Anforderungen von Artikel 15 der DSGVO entspricht.

In seiner Beurteilung stellte der EuGH fest, dass Artikel 15 der DSGVO das Recht jedes Einzelnen auf Zugang zu den ihn betreffenden Daten garantiert, das in Artikel 8 Absatz 2 der Charta der Grundrechte der Europäischen Union („CFREU“) verankert ist.

Der EuGH stellte fest, dass die Dateninhaber diese Rechte nur ausüben können, wenn sie die Namen der Empfänger kennen, und dass Rechte wie die Überprüfung der rechtmäßigen Verarbeitung der Daten, und ob die Daten an autorisierte Empfänger weitergegeben wurden, sowie das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung nicht wirksam ausgeübt werden können, wenn die Empfänger nicht bekannt sind, und stellte klar, dass die Empfängergruppen nicht allgemein, sondern ausdrücklich und detailliert aufgeführt werden müssen.

Neben all diesen Bewertungen stellte das Gericht fest, dass dieses Recht in bestimmten Fällen eingeschränkt werden kann, ohne jedoch detaillierte Erläuterungen dazu zu geben. Der EuGH übertrug die Beweislast für diese Einschränkungen dem für die Datenverarbeitung Verantwortlichen und erläuterte die Fälle, in denen eine Einschränkung möglich ist, wie folgt:

Unmöglichkeit: Wenn die Empfänger nicht bestimmt sind, beispielsweise in Fällen, in denen die Daten nur für die Zukunft oder zur Verfolgung von Ansprüchen übermittelt werden können, ist es möglich, dass keine detaillierten Informationen über die Datenempfänger bereitgestellt werden können.

Die Frage des Generalanwalts des Europäischen Gerichtshofs, ob der für die Datenverarbeitung Verantwortliche in Fällen, in denen die Feststellung der Identität des Empfängers einen unverhältnismäßigen Aufwand erfordert, eine Unmöglichkeit geltend machen kann, wurde vom EuGH unbeantwortet gelassen.

Fälle, in denen der für die Verarbeitung Verantwortliche nachweist, dass die Auskunftsersuchen der betroffenen Person offensichtlich unbegründet sind; „Offensichtlich“ bedeutet wörtlich, dass etwas für jede vernünftige Person offensichtlich ist. Daher können Ersuchen nur dann als „unbegründet“ eingestuft werden, wenn ihre „Unbegründetheit“ im wahrsten Sinne des Wortes offensichtlich ist, beispielsweise wenn das Ersuchen von einem unbefugten Dritten gestellt wurde.

Fälle, in denen der für die Verarbeitung Verantwortliche nachweist, dass die Auskunftsersuchen des Betroffenen „übermäßig“ sind; Eine Übermäßigkeit kann vorliegen, wenn die Ersuchen häufiger gestellt werden, als es für den Erhalt der erforderlichen Informationen erforderlich ist. Darüber hinaus können auch Ersuchen, die aus Gründen gestellt werden, die mit den in der DSGVO genannten Rechten der betroffenen Person unvereinbar sind, wie z. B. zur Unterstützung eines Rechtsstreits, potenziell als übermäßig angesehen werden.