Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
GRC LEGAL verfolgt die weltweiten Entwicklungen aufmerksam und informiert Sie in diesem Beitrag über die aktuellen Ereignisse.
Die folgenden Nachrichten stammen aus dem Juli 2023.
GDPR-Verfahrensverordnung
Die Europäische Kommission (European Commission, „EC“) hat kürzlich neue Regeln vorgeschlagen, um die Wirksamkeit und Effizienz der Anwendung der Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“) in grenzüberschreitenden Fällen zu unterstützen. Die GDPR-Verfahrensverordnung (GDPR Procedural Regulation, „Verordnung“) zielt darauf ab, die Zusammenarbeit zwischen den Datenschutzbehörden zu erleichtern, indem bestimmte Aspekte der Verwaltungsverfahren in grenzüberschreitenden Fällen harmonisiert werden.
Die von der Europäischen Kommission vorgeschlagene Verordnung hat keine Auswirkungen auf wichtige Elemente der DSGVO, wie die Rechte der betroffenen Personen, die Pflichten der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter oder die Bedingungen für die Verarbeitung personenbezogener Daten.
In ihrem Bericht über die Anwendung der DSGVO aus dem Jahr 2020 stellte die Europäische Kommission fest, dass die unterschiedlichen Verfahren der Datenschutzbehörden die reibungslose und wirksame Zusammenarbeit und Streitbeilegungsmechanismen in grenzüberschreitenden Fällen (d. h. wenn Beschwerdeführer aus mehreren Mitgliedstaaten beteiligt sind) behindern.
Die Europäische Kommission stellte fest, dass ein einheitlicherer Ansatz in Bezug auf die Zulässigkeit von Beschwerden, die Ausübung der Rechte der betroffenen Personen und die Einbeziehung der betroffenen Personen in das Verfahren sowohl für die Bürger als auch für die Unternehmen und die Datenschutzbehörden die Effizienz und die Ergebnisse verbessern würde. Diese Elemente wurden auch vom Europäischen Parlament und dem Europäischen Datenschutzausschuss (European Data Protection Board, „EDPB“) als wichtig eingestuft.
Die Verordnung schützt und unterstützt das System, in dem Einzelpersonen und Organisationen sich an ihre nationalen/lokalen Datenschutzbehörden wenden können, in vollem Umfang. Unabhängig vom Sitz der Organisation, die ihre Daten verarbeitet, können sich Einzelpersonen zur Wahrung ihrer Rechte auf die nationalen/lokalen Datenschutzbehörden verlassen und das One-Stop-Shop-System („einzige zuständige Behörde“) in Anspruch nehmen, während Unternehmen weiterhin das Recht haben, sich an eine einzige Datenschutzbehörde zu wenden.
Der Vorschlag ergänzt die DSGVO durch die Festlegung detaillierter Verfahrensregeln für das grenzüberschreitende Anwendungssystem, ändert jedoch nichts an den durch die DSGVO vorgesehenen Verfahrensschritten oder den Rollen der betroffenen Personen, der nationalen/lokalen Datenschutzbehörden, der zuständigen Aufsichtsbehörden oder des EDPB im grenzüberschreitenden Anwendungsverfahren.
Infokasten
Die DSGVO führt für in der Europäischen Union ansässige Organisationen, die mit der grenzüberschreitenden Verarbeitung personenbezogener Daten befasst sind, ein System der „einzigen zuständigen Behörde” ein. Dieses System stellt sicher, dass die Organisationen für die meisten ihrer Verarbeitungsaktivitäten nur mit einer einzigen Aufsichtsbehörde zu tun haben. Damit das System auf Unternehmen angewendet werden kann, muss das Unternehmen in der EU ansässig sein und grenzüberschreitende Verarbeitungstätigkeiten ausüben. Ist das Unternehmen in der EU ansässig und übt es grenzüberschreitende Verarbeitungstätigkeiten aus, ist es wichtig, den Standort des Hauptunternehmens zu bestimmen. Die Aufsichtsbehörde des EU-Mitgliedstaats, in dem das Hauptunternehmen ansässig ist, ist die Haupt-/lokale Aufsichtsbehörde für die Verarbeitungstätigkeiten des Unternehmens.
Die Haupt-/lokale Aufsichtsbehörde ist die Aufsichtsbehörde des Mitgliedstaats, in dem sich der Hauptsitz der Organisation befindet. Die Haupt-/lokale Aufsichtsbehörde hat die primäre Verantwortung für die Verarbeitungstätigkeiten der Organisation und ist in den meisten Fällen die Aufsichtsbehörde, mit der die Organisation in Bezug auf ihre grenzüberschreitenden Verarbeitungstätigkeiten zu tun hat.
Die grenzüberschreitenden Verarbeitungstätigkeiten des Unternehmens bedeuten, dass auch andere Aufsichtsbehörden als die Haupt-/lokale Aufsichtsbehörde („betroffene Aufsichtsbehörden“) für die Verarbeitungstätigkeiten zuständig sind.
In diesem Zusammenhang sind die betroffenen Aufsichtsbehörden für die Verarbeitungstätigkeiten des Unternehmens zuständig, wenn einer der folgenden Fälle zutrifft:
- Wenn das Unternehmen in dem Mitgliedstaat der zuständigen Aufsichtsbehörde gegründet wurde,
- Wenn betroffene Personen mit Wohnsitz in dem Mitgliedstaat der zuständigen Aufsichtsbehörde erheblich von den Verarbeitungsaktivitäten des Unternehmens betroffen sind oder wahrscheinlich erheblich betroffen sein werden,
- Wenn bei der zuständigen Aufsichtsbehörde eine Beschwerde über die Verarbeitungsaktivitäten des Unternehmens eingereicht wurde.
Wenn die oberste/lokale Aufsichtsbehörde die grenzüberschreitenden Verarbeitungsaktivitäten der Organisation untersuchen muss, wird sie dies gemäß den Kooperations- und Kohärenzverfahren der DSGVO tun. Bei solchen Untersuchungen wird die oberste/lokale Aufsichtsbehörde in enger Abstimmung mit den zuständigen Aufsichtsbehörden handeln.
Die DSGVO wird sowohl von nationalen Gerichten als auch von unabhängigen nationalen Datenschutzbehörden angewendet. In Fällen, die die grenzüberschreitende Verarbeitung personenbezogener Daten betreffen (Datenverarbeitung, die in mehreren Mitgliedstaaten stattfindet oder die betroffenen Personen erheblich betrifft), gilt das System der „einzigen zuständigen Behörde“ der DSGVO. In solchen Fällen führt die lokale Aufsichtsbehörde, in deren Zuständigkeitsbereich die untersuchte Organisation ihren Sitz hat, die Untersuchung in Zusammenarbeit mit den anderen betroffenen Aufsichtsbehörden durch.
Im Rahmen der DSGVO arbeiten die Datenschutzbehörden zusammen, um einen Konsens über die Anwendung der DSGVO zu erzielen. Wenn die Datenschutzbehörden in einem grenzüberschreitenden Fall keinen Konsens erzielen können, sieht die DSGVO die Beilegung von Streitigkeiten durch den EDBP vor.
Derzeit gibt es unterschiedliche Ansätze der Datenschutzbehörden in Bezug auf das Konzept der Beschwerde. Der Vorschlag sieht vor, dass betroffene Personen in grenzüberschreitenden Fällen unabhängig davon, wo die Beschwerde eingereicht wurde oder welche Datenschutzbehörde die Untersuchung durchführt, die gleichen Verfahrensrechte haben, wie z. B. das Recht, angehört zu werden, bevor eine Entscheidung über die vollständige oder teilweise Ablehnung einer Beschwerde getroffen wird.
Im Rahmen der neuen Vorschriften haben die von der Untersuchung betroffenen Parteien das Recht, in wichtigen Phasen des Verfahrens, einschließlich der Beilegung von Streitigkeiten, vom EDPB angehört zu werden. Darüber hinaus werden der Inhalt der Verwaltungsakte und die Rechte der Parteien auf Zugang zu den Akten klargestellt.
Europäische Kommission x Angemessenheitsentscheidung
Die Europäische Kommission hat kürzlich die Angemessenheitsentscheidung im Rahmen des EU-US-Datenschutzrahmens angenommen. Die Entscheidung kam zu dem Schluss, dass die Vereinigten Staaten im Rahmen des neuen Rahmens ein mit der Europäischen Union vergleichbares Schutzniveau für personenbezogene Daten gewährleisten, die aus der EU an US-Unternehmen übermittelt werden. Auf der Grundlage der neuen Angemessenheitsentscheidung können personenbezogene Daten aus der EU sicher an US-Unternehmen übermittelt werden, die dem Datenschutzrahmen beigetreten sind, ohne dass zusätzliche Datenschutzmaßnahmen erforderlich sind.
- Der EU-US-Datenschutzrahmen führt neue verbindliche Garantien ein, um alle vom Europäischen Gerichtshof geäußerten Bedenken auszuräumen, darunter die notwendige und verhältnismäßige Beschränkung des Zugangs der US-Geheimdienste zu EU-Daten und die Einrichtung eines für EU-Bürger zugänglichen Datenschutzgerichtshofs (Data Protection Review Court, „DPRC“).
- Der neue Rahmen bringt gegenüber dem bestehenden Mechanismus im Rahmen des Datenschutzschildes erhebliche Verbesserungen mit sich. Wenn das DPRC beispielsweise feststellt, dass Daten unter Verstoß gegen die neuen Garantien erhoben wurden, kann es die Löschung der Daten anordnen. Die neuen Garantien im Bereich des staatlichen Zugriffs auf Daten ergänzen die Verpflichtungen, denen US-Unternehmen, die Daten aus der EU importieren, nachkommen müssen.
- US-Unternehmen können dem EU-US-Datenschutzrahmen beitreten, indem sie sich zur Einhaltung einer Reihe detaillierter Datenschutzverpflichtungen verpflichten, darunter die Löschung personenbezogener Daten, wenn der Zweck ihrer Erhebung nicht mehr gegeben ist, und die Gewährleistung des fortlaufenden Schutzes personenbezogener Daten, wenn diese an Dritte weitergegeben werden.
- EU-Bürger können im Falle einer fehlerhaften Verarbeitung ihrer Daten durch US-Unternehmen verschiedene Rechtsbehelfe in Anspruch nehmen. Dazu gehören kostenlose unabhängige Streitbeilegungsmechanismen und ein Schiedsgericht.
- Der US-Rechtsrahmen sieht eine Reihe von Garantien für den Zugriff von US-Behörden auf im Rahmen des Abkommens übermittelte Daten vor, insbesondere für Strafverfolgungszwecke und Zwecke der nationalen Sicherheit. Der Zugriff auf Daten wird so beschränkt, dass er zur Wahrung der nationalen Sicherheit erforderlich und verhältnismäßig ist.
- EU-Bürger haben im Zusammenhang mit der Erhebung und Verwendung ihrer Daten durch US-Geheimdienste Zugang zu einem unabhängigen und unparteiischen Rechtsbehelf, darunter auch das neu geschaffene DPRC. Das Gericht wird Beschwerden unabhängig untersuchen und beilegen, einschließlich der Verhängung verbindlicher Abhilfemaßnahmen.
Da die von den USA eingeführten Garantien auch bei Datenübermittlungen gelten, die unter Verwendung anderer Instrumente wie Standardvertragsklauseln und verbindlichen Unternehmensregeln erfolgen, wird erwartet, dass sie den transatlantischen Datenverkehr im Allgemeinen erleichtern werden.
Die Funktionsweise des EU-US-Datenschutzrahmens wird regelmäßig von der Europäischen Kommission in Zusammenarbeit mit den europäischen Datenschutzbehörden und Vertretern der zuständigen US-Behörden überprüft. Die erste Überprüfung wird innerhalb eines Jahres nach Inkrafttreten der Angemessenheitsentscheidung durchgeführt, um sicherzustellen, dass alle relevanten Elemente im Rahmen der US-Gesetzgebung vollständig umgesetzt wurden und wirksam funktionieren.
1 Million Euro Strafe wegen der Nutzung von Google Analytics
Nach Beschwerden der österreichischen Datenschutzgruppe Noyb über angeblich illegale Datenübermittlungen zwischen der EU und den USA hat die schwedische Datenschutzbehörde (The Swedish Authority for Privacy Protection „IMY“) gegen vier Unternehmen entschieden.
Infolge dieser Entscheidungen wurden gegen den Telekommunikationsanbieter Tele2 eine Geldstrafe in Höhe von 12 Millionen Kronen (1 Million Euro) und gegen den Online-Händler CDON eine Geldstrafe in Höhe von 300.000 Kronen verhängt
. Zuvor hatten bereits viele EU-Mitgliedstaaten wie Österreich, Frankreich und Italien festgestellt, dass die Nutzung von Google Analytics gegen die DSGVO verstößt. Obwohl der Europäische Gerichtshof (Court Of Justice of the European Union „CJEU“) bereits Entscheidungen zu Datenübertragungen zwischen der EU und den USA getroffen hatte, war die Entscheidung der IMY die erste, in der eine Geldstrafe verhängt wurde.
Der CJEU hatte 2020 festgestellt, dass Datenübertragungen zwischen der Europäischen Union und den USA angesichts der weitreichenden Überwachungsmöglichkeiten der US-Regierung größtenteils rechtswidrig sind. Trotzdem nutzten viele europäische Unternehmen weiterhin die Dienste von Google, Meta, Microsoft, Amazon und ähnlichen Unternehmen und ignorierten die Entscheidungen des CJEU, indem sie ihre Verteidigung auf ergänzende Maßnahmen, die Standardvertragsklauseln (Standard Contract Clauses „SCC“) stützten.
Infokasten
SCC sind standardisierte und vorab genehmigte Musterklauseln zum Datenschutz, die von der Europäischen Kommission veröffentlicht wurden und die Einhaltung der Verpflichtungen aus dem EU-Datenschutzgesetz durch Datenverantwortliche und Datenverarbeiter gewährleisten sollen. Diese Klauseln sind nicht zwingend vorgeschrieben, sondern wurden erstellt, um in Verträgen mit Dritten aufgenommen zu werden, um die Einhaltung der Datenschutzanforderungen durch Datenverantwortliche und Datenverarbeiter nachzuweisen.
Die SCC bestehen aus zwei Sätzen, wobei der erste Satz die Beziehung zwischen Datenverantwortlichen und Datenverarbeitern regelt und der zweite Satz den Datentransfer in Länder außerhalb der Europäischen Union.
IMY betonte in seinen einschlägigen Entscheidungen, dass die ergänzenden Maßnahmen von Google nicht ausreichend seien. Google hat seine Nutzer in der EU weitgehend auf die ergänzenden Maßnahmen von Google verwiesen, um die Mängel in den US-Gesetzen zu beheben, aber auch diese Verweisung wurde von einer EU-Behörde abgelehnt.
GRC LEGAL Kommentar: Die getroffenen Entscheidungen haben erneut gezeigt, dass die Datenübermittlung zwischen der EU und den USA die Sicherheit personenbezogener Daten gefährdet. Marco Blocher, Datenschutzanwalt bei Noyb, äußerte sich zu diesem Thema wie folgt: „Endlich hat eine Datenschutzbehörde wegen der Verwendung eines Tools, das personenbezogene Daten unter Verstoß gegen die DSGVO in die USA übermittelt, eine erhebliche Geldstrafe verhängt und die Verwendung der betreffenden Anwendung untersagt. Diese Entscheidung ist im Vergleich zu anderen Entscheidungen von Datenschutzbehörden, die lediglich einen Verstoß festgestellt haben, aber keine Anreize für die künftige Einhaltung der Entscheidung geschaffen haben, eine zufriedenstellende Entscheidung. Wir hoffen, dass andere Datenschutzbehörden dem Beispiel der IMY folgen und illegale Übermittlungen unterbinden werden.“ Damit bezeichnete er die Entscheidung der IMY als hoffnungsvoll.
Google x Bard
Google gab bekannt, dass es seinen KI-Chatbot Bard in der Europäischen Union zur Verfügung stellen wird, nachdem es die Bedenken der irischen Datenschutzbehörde („IDPA“) ausgeräumt hat.
Der US-amerikanische Technologieriese Google hatte im Juni die Markteinführung des Konkurrenten zum OpenAI-Produkt ChatGPT verschoben, nachdem die irische Regulierungsbehörde festgestellt hatte, dass das Unternehmen unzureichende Informationen über die Konformität von Bard mit den Datenschutzbestimmungen der EU (DSGVO) vorgelegt hatte. Da sich der europäische Hauptsitz von Google in Irland befindet, ist die IDPA die zuständige Datenschutzbehörde für Google in der EU.
Jack Krawczyk, Senior Product Director bei Google, erklärte vor der Markteinführung gegenüber Journalisten, dass Google Bard mit neuen Funktionen weiterentwickelt habe, um „Transparenz”, „Kontrolle” und „Auswahlmöglichkeiten” für die Nutzer zu verbessern. Laut Krawczyk können Nutzer erfahren, wie ihre Daten verwendet werden, bestimmte Verwendungszwecke ablehnen und kontrollieren, ob ihre Unterhaltungen mit Bard von Google aufgezeichnet oder gelöscht werden. Der Chatbot soll in mehr als 40 Sprachen verfügbar sein, darunter Arabisch, Chinesisch, Hindi, Deutsch und Spanisch.
Ein Vertreter der irischen Regulierungsbehörde erklärte, dass sie nach der Einführung weiterhin mit Google in Kontakt bleiben werden und dass Google sich bereit erklärt hat, der IDPA drei Monate nach der Einführung von Bard in der EU einen Bericht vorzulegen.
Infokasten
Bards Hauptkonkurrent ChatGPT wurde im März in Italien vorübergehend verboten, da Bedenken bestehen, dass es gegen Datenschutzstandards verstoßen könnte, und wird auch in vielen anderen Ländern wie Spanien und Deutschland untersucht. Die europäischen Datenschutzbehörden untersuchen derzeit unter dem Dach der EDPB verschiedene Datenschutzprobleme, die durch produktive KI-Tools aufgeworfen werden.
Meta hat Anfang letzten Monats Threads als Konkurrenz zu Twitter in über hundert Ländern auf den Markt gebracht, jedoch die Einführung der Plattform in der Europäischen Union aufgrund „bevorstehender regulatorischer Unsicherheiten” im Zusammenhang mit dem neuen Gesetz über digitale Märkte, dem sogenannten Digital Markets Act, verschoben.
Es wird jedoch davon ausgegangen, dass die Entwicklung von Anwendungen wie Bard und ChatGPT auch erhebliche Auswirkungen auf die Arbeitslosenquoten weltweit haben wird. Pengcheng Shi, stellvertretender Dekan der Fakultät für Programmierung und Informatik am Rochester Institute of Technology, sagt, dass ChatGPT, das derzeit in Schulen in den USA und New York verboten ist, nach dem Unterricht in Mittel- und Oberschulen „leicht unterrichtet werden kann”.
Kommentar von GRC LEGAL: Mit der zunehmenden Verbreitung künstlicher Intelligenz beginnen viele Menschen und Führungskräfte weltweit zu glauben, dass künstliche Intelligenz eine Bedrohung für die Menschheit darstellt. Da sich die Technologie der künstlichen Intelligenz weiterentwickelt, werden Bedenken darüber, inwieweit diese Anwendungen die Privatsphäre verletzen oder in das Privatleben eingreifen, weiterhin die Agenda bestimmen.
Neue App von Meta: „Threads”
Die neue App „Threads” von Meta hat innerhalb weniger Tage 100 Millionen Nutzer erreicht und ist damit zum stärksten Konkurrenten von Twitter geworden. Allerdings gibt die App aufgrund der gesammelten personenbezogenen Daten Datenschutzfachleuten Anlass zur Sorge. Die größte Quelle der Besorgnis in Bezug auf Threads ist die Vergangenheit von Meta im Bereich Datenschutz, da das Unternehmen zuvor sensible personenbezogene Daten, die unter die DSGVO fallen, ohne die entsprechende Zustimmung der betroffenen Personen erhoben und dafür mit einer Geldstrafe belegt wurde.
Obwohl Threads neu in der Welt der Social-Media-Plattformen ist, ist bereits viel darüber bekannt, wie die Plattform Nutzerdaten sammelt, speichert und weitergibt. Der Grund dafür ist, dass Threads denselben Datenschutzrichtlinien und demselben Geschäftsmodell unterliegt wie die anderen Plattformen von Meta, was die Verwendung der über die Nutzer gesammelten privaten Daten angeht. Genau wie seine Schwesterplattformen Instagram und Facebook wird auch Threads eine Vielzahl von Daten über seine Nutzer sammeln.
Die Anwendungen von Meta erfassen alle Arten von Informationen, die von den Nutzern eingegeben werden. Laut dem App Store-Eintrag von Threads können diese Informationen auch sensible Daten wie Gesundheits- und Fitnessdaten, Finanzdaten, Standort und Browserverlauf umfassen.
Die Plattform liefert dem Unternehmen Informationen darüber, mit welchen Beiträgen die Nutzer interagieren und wem sie folgen. Gemäß der Datenschutzrichtlinie von Threads umfasst dies „die Arten von Inhalten, die Sie anzeigen oder mit denen Sie interagieren, und wie Sie mit ihnen interagieren“ sowie die Dauer und Häufigkeit Ihrer Nutzung von Threads. Zusätzlich zu den Aktivitäten der Nutzer auf Threads gibt die Datenschutzrichtlinie des Unternehmens an, dass es auch auf GPS-Standorte, Kameras, Fotos, IP-Informationen, den Typ des verwendeten Geräts und Gerätesignale zugreifen kann, einschließlich Bluetooth-Signale, nahegelegene WLAN-Zugangspunkte, Beacons und Basisstationen.
Wenn man diese Informationen zusammenfasst, insbesondere in Verbindung mit allen Daten, die Meta bereits über Facebook, Instagram und Meta Pixel sammelt, ist es nicht schwer, ein äußerst detailliertes und komplexes Bild des Lebens der Menschen zu erstellen.
Das Produkt sind Sie!
Die riesige Datensammlung von Meta dient einem einzigen Zweck: Werbung zu verkaufen. Auch wenn Threads derzeit keine Werbung schaltet, sagen Experten, dass dies in Zukunft zweifellos der Fall sein wird. Unterdessen steht auch auf der Tagesordnung, dass die in Threads gesammelten Informationen als Teil eines größeren Datenökosystems genutzt werden könnten, das Meta für die Schaltung von Werbung auf seinen anderen Plattformen verwendet.
Carissa Veliz, Dozentin am Institut für Ethik in der Künstlichen Intelligenz der Universität Oxford, sagte: „Trotz der öffentlichen Kritik, der Warnungen der Regulierungsbehörden und der Geldstrafen hat Meta sein Geschäftsmodell nicht geändert, sondern setzt weiterhin auf gezielte Werbung, also Überwachungswerbung.“
Veliz wies darauf hin, dass auch die Sensibilität der vom Unternehmen gesammelten Daten Anlass zur Sorge gebe. Zu diesen Daten könnten sexuelle Orientierung, Rasse und ethnische Herkunft, biometrische Daten, Gewerkschaftsmitgliedschaft, Schwangerschaft, politische Überzeugungen und religiöse Überzeugungen gehören, die potenziell an Dritte weitergegeben werden könnten. Zu diesen Dritten zählen Vermarkter und Strafverfolgungsbehörden.
Im vergangenen Jahr gingen bei Meta etwa 240.000 Anfragen von Strafverfolgungsbehörden zu Nutzerdaten ein.
In den USA sah sich Meta nach der Entscheidung des Obersten Gerichtshofs, die Bundesvorschriften zum Schutz von Schwangerschaftsabbrüchen zu überarbeiten, einer besonderen Untersuchung ausgesetzt, da das Unternehmen Gesundheitsdaten von Nutzern und Daten, die in Strafverfahren im Zusammenhang mit Schwangerschaftsabbrüchen verwendet werden könnten, sammelt und weitergibt. Im vergangenen Jahr wurden eine Mutter und ihre Tochter aufgrund von Facebook-Nachrichten, die Meta an die örtliche Polizei weitergeleitet hatte, in Nebraska wegen Beihilfe zu einer illegalen Abtreibung und wegen Suchens angeklagt.
Im Fall von Threads können Gesundheitsdaten auch durch Interaktionen mit oder das Teilen von Beiträgen auftauchen, die beispielsweise darauf hindeuten könnten, dass eine Nutzerin schwanger ist. Selbst wenn das Profil privat ist, können die Strafverfolgungsbehörden Meta wegen der Beiträge vor Gericht bringen.
GRC LEGAL Kommentar: Auch wenn in der Threads-App keine Werbung geschaltet wird, ist es offensichtlich, dass Threads alle sensiblen Daten für zukünftige Werbe- und Marketingaktivitäten sammelt und die Nutzer einer Profilerstellung aussetzt. Die Durchführung von Analysen auf der Grundlage sensibler Daten der Nutzer, wie z. B. sexuelle Orientierung, Rasse und ethnische Herkunft sowie Gesundheitsdaten, kann zu schwerwiegender Diskriminierung führen. Obwohl Meta in den letzten Monaten von der irischen Datenschutzbehörde mit der höchsten Verwaltungsstrafe im Rahmen der DSGVO belegt wurde, setzt das Unternehmen die entsprechenden Praktiken fort, was die Bedenken hinsichtlich des Datenschutzes täglich verstärkt und Fragen aufwirft, ob die Strafen abschreckend genug sind und die Maßnahmen ausreichend sind.