Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
GRC LEGAL verfolgt die weltweiten Entwicklungen aufmerksam und stellt Ihnen in diesem Beitrag eine Auswahl aktueller Informationen zur Verfügung.
Die folgenden Nachrichten stammen aus dem Februar 2024.
DPA x Uber
Die niederländische Datenschutzbehörde (Data Protection Authority, „DPA”) hat Uber wegen Verstoßes gegen die Datenschutzbestimmungen in Bezug auf die personenbezogenen Daten seiner Fahrer mit einer Geldstrafe von 10 Millionen Euro belegt.
Die DPA stellte fest, dass Uber in seinen Geschäftsbedingungen nicht angegeben hat, wie lange die personenbezogenen Daten seiner Fahrer gespeichert werden und wie diese Daten beim Versand an Unternehmen außerhalb des Europäischen Wirtschaftsraums (EWR) in nicht namentlich genannten Ländern geschützt werden.
Die DPA fügte hinzu, dass Uber außerdem die Ausübung der Datenschutzrechte seiner Fahrer behindert habe, indem es die Beantragung des Zugriffs auf personenbezogene Daten unnötig kompliziert gestaltet habe. Die DPA wies jedoch darauf hin, dass Uber Schritte unternommen habe, um die beanstandeten Probleme zu beheben.
Ein Uber-Sprecher erklärte: „Die DPA räumt ein, dass Uber die wenigen von den Fahrern vorgebrachten ‚wenig schwerwiegenden‘ Probleme behoben hat, weist jedoch die meisten ihrer Behauptungen als unbegründet zurück.“ Der Sprecher fügte hinzu, dass das Unternehmen kontinuierlich daran arbeite, seine Datenanforderungsprozesse zu verbessern.
Die Strafe wurde verhängt, nachdem mehr als 170 französische Fahrer bei einer französischen Menschenrechtsorganisation Beschwerde eingereicht hatten und diese Organisation wiederum bei der französischen Datenschutzbehörde Beschwerde einreichte. Da sich der europäische Hauptsitz von Uber jedoch in den Niederlanden befindet, wurde die Beschwerde an die DPA weitergeleitet.
GRC Legal Kommentar
Die DSGVO regelt die Übermittlung personenbezogener Daten an Drittländer und zielt darauf ab, das Schutzniveau personenbezogener Daten innerhalb des EWR zu gewährleisten. In diesem Zusammenhang wurden Kriterien für die Übermittlung personenbezogener Daten ins Ausland festgelegt. Bei der Übermittlung personenbezogener Daten an Drittländer muss gemäß den Bestimmungen der DSGVO angegeben werden, welche Sicherheitsmaßnahmen für die Übermittlung getroffen wurden. In diesem Punkt zeigt die Sanktion der DPA, wie sensibel die DSGVO in Bezug auf die Übermittlung von Daten an Drittländer ist.
Französische SA x Tagamedia
Die französische Aufsichtsbehörde (French Supervisory Authority, „Französische SA“) konzentrierte sich im Jahr 2022 im Rahmen ihrer vorrangigen Untersuchung zum Thema Marktforschung auf die Praktiken von Fachleuten in diesem Sektor, insbesondere auf Datenvermittler, die als Datenbroker bekannt sind, sowie auf viele andere Akteure in diesem Ökosystem, die Daten weiterverkaufen.
In diesem Zusammenhang hat die französische SA beschlossen, eine Untersuchung gegen Tagadamedia einzuleiten, ein Unternehmen, das hauptsächlich Online-Wettbewerbs- und Produkttest-Websites betreibt und auf diese Weise Daten von potenziellen Kunden sammelt.
Tagadamedia sammelt Daten von potenziellen Kunden über Formulare, die es auf seinen Websites zur Teilnahme an Wettbewerben oder Produkttests bereitstellt. Diese Daten werden anschließend für kommerzielle Forschungszwecke an die Partner des Unternehmens weitergeleitet. Obwohl das Unternehmen behauptet, die Einwilligung zur Datenverarbeitung eingeholt zu haben, ermöglichen die verwendeten Formulare keine Einholung der Einwilligung gemäß den Anforderungen der DSGVO.
Während der Untersuchungen legte das Unternehmen der französischen SA zwei Musterformulare für die Erhebung von Daten potenzieller Kunden vor. Die Gestaltung dieser Formulare ermöglichte jedoch keine freiwillige und informierte Einwilligung. Tatsächlich wurde die Schaltfläche, mit der die Nutzer ihre Zustimmung erteilen konnten, im Gegensatz zu der Schaltfläche, mit der sie ihre Zustimmung verweigern konnten, stärker hervorgehoben oder mit unvollständigem Text und verkleinerter Größe dargestellt, was die Nutzer stark dazu veranlasste, der Weitergabe ihrer Daten an Partner zuzustimmen.
Das Unternehmen legte der französischen SA während des Sanktionsverfahrens ein neues Formular vor. Auch mit diesem neuen Formular konnte keine gültige Einwilligung eingeholt werden, sodass die Verarbeitung jeglicher Rechtsgrundlage entbehrte.
Die französische SA stellte in diesem Zusammenhang zwei Verstöße gegen die DSGVO fest:
1- Nichteinhaltung der Verpflichtung, eine Rechtsgrundlage für die Verarbeitung der Daten zu haben (DSGVO Artikel 6)
2- Nichteinhaltung der Verpflichtung zur Führung eines Verarbeitungsprotokolls (DSGVO Artikel 30)
Die französische SA verhängte aufgrund der festgestellten Verstöße eine Geldstrafe in Höhe von 75.000 Euro gegen Tagadamedia.
GRC Legal Kommentar
Weltweit führen Datenschutzbehörden strenge Kontrollen durch, um sicherzustellen, dass Datenvermittler die erforderliche Einwilligung einholen, wobei sie sich auf das Konzept der ausdrücklichen Einwilligung konzentrieren. Die von der französischen SA gegen Tagadamedia verhängte Geldstrafe ist ein Spiegelbild dieser Kontrollen.
Bei der Untersuchung der Formulare, die zur Verhängung der Geldstrafe geführt haben, stößt man auf das Konzept des Dark Design. Dark Design ist, einfach ausgedrückt, eine Art von Design-Tricks. Diese betrügerischen Schnittstellen, die auf Websites und in Anwendungen verwendet werden, um die Aufmerksamkeit der Nutzer auf andere Bereiche zu lenken und sie so zu manipulieren, sind zu einer der gängigsten Praktiken geworden, die Unternehmen zu ihrem eigenen Vorteil und Nutzen einsetzen. Die Tatsache, dass der von Tagadamedia durchgeführte Genehmigungsprozess auf Dark-Pattern-Aktivitäten beruhte, hat die freie Willensbildung der Personen beeinträchtigt und zu einer rechtswidrigen Einholung der ausdrücklichen Zustimmung geführt. Weitere Informationen zu diesem Thema finden Sie in unserer Studie mit dem Titel „Dark Patterns”, die Sie über unseren LinkedIn-Account abrufen können.
Niederländische Regierung x META
Die niederländische Regierung erwägt aufgrund ernsthafter Bedenken hinsichtlich des Umgangs der Social-Media-Plattform mit Datensicherheit einen vollständigen Rückzug aus Facebook. Die Gespräche mit der Muttergesellschaft Meta zu diesem Thema haben nicht zu den gewünschten Ergebnissen geführt. Quellen aus Regierungskreisen teilten De Telegraaf mit, dass eine offizielle Erklärung die Vorbereitungen für ein Facebook-Verbot für die gesamte Regierung zusammenfasse.
Die Staatssekretärin für Digitalisierung, Alexandra Van Huffelen, bestätigte in einer Erklärung gegenüber der Zeitung, dass die Regierung seit Jahren besorgt darüber ist, wie Facebook mit sensiblen Daten umgeht. Van Huffelen sagte: „Im Jahr 2017 stellte die niederländische Datenschutzbehörde („AP“) fest, dass Facebook in zwei Bereichen gegen die DSGVO verstößt: bei der Information der Nutzer und bei der Verarbeitung sensibler Daten.“ Sie fügte hinzu, dass Meta anschließend Änderungen vorgenommen habe, das Problem jedoch nicht lösen konnte und neue Probleme aufgetreten seien.
Van Huffelen erklärte gegenüber der Zeitung, dass die niederländische Regierung aufgrund dieser und anderer von verschiedenen Ländern geäußerter Bedenken „eine Untersuchung zu den Datenschutzrisiken im Zusammenhang mit der Nutzung von Facebook-Seiten, die als ‚DPIA‘ bezeichnet werden, durchgeführt habe“. Die Untersuchung ergab gravierende Mängel.
Der Außenminister hat diese mit Facebook besprochen, was jedoch noch nicht zu zufriedenstellenden Zusagen oder Verbesserungen geführt hat. Meta hat sogar die in der DPIA festgestellten Mängel angefochten. Daher hat die Regierung im November die AP um eine Empfehlung gebeten, ob die weitere Nutzung von Facebook sicher ist.
Diese Empfehlung wird in Kürze erwartet. Laut Quellen der Telegraaf rechnet die Regierung jedoch mit einem Verbot von Facebook und trifft bereits Vorbereitungen. Die Ministerien überlegen, welche Folgen ein Rückzug aus Facebook für sie haben würde.
Der Zeitung zufolge könnten andere Social-Media-Plattformen diesem Beispiel folgen. Van Huffelen hat kürzlich beschlossen, die Nutzung von X, früher bekannt als Twitter, einzustellen. Er betonte, dass dies eine persönliche Entscheidung und keine Regierungspolitik sei. Einer der Gründe, die er dafür anführte, war jedoch, dass die Verbesserungen von X nicht zur Diskussion und Umsetzung offen waren.
GRC LEGAL Kommentar
Aufgrund von Bedenken hinsichtlich der Spionagerisiken, die von der chinesischen Plattform ausgehen, hat die niederländische Regierung TikTok verboten. Nun steht die Möglichkeit im Raum, dass sie aufgrund von Bedenken hinsichtlich der Datensicherheit auch Facebook vollständig den Rücken kehrt.
Die Tatsache, dass Meta, das zuvor von der irischen Datenschutzkommission mit einer Rekordstrafe von 1,3 Milliarden Dollar belegt wurde und im Bereich der Sicherheit personenbezogener Daten als „vorbestraft” bezeichnet werden kann, weiterhin gegen die DSGVO verstößt, rechtfertigt die Sicherheitsbedenken der niederländischen Regierung. Angesichts der Datenschutzpolitik von Meta hoffen wir, dass die Entscheidung der niederländischen Regierung, Facebook zu verlassen, auch für andere Länder ein Vorbild sein wird.
Verbraucherschützer x Toyota
Die Verbraucherschutzgruppe „Choice“ behauptet, dass Toyota Standortdaten, Fahrdaten, Kraftstoffstände und sogar persönliche Informationen wie Telefonnummern und E-Mail-Adressen von Fahrzeugen sammelt und möglicherweise weitergibt. Choice sagte, dass die Funktion „Connected Services” persönliche Daten und Fahrzeugdaten an Dritte senden könne und dass das Entfernen von Komponenten das Risiko berge, die Garantie für die Fahrer zu ungültig zu machen.
Toyota betont, dass es die Privatsphäre seiner Kunden „äußerst ernst nimmt”, räumt jedoch ein, dass das als „Connected Services”-Funktion bekannte Datenkommunikationsmodul („DCM”) lediglich deaktiviert, aber nicht aus den Fahrzeugen entfernt werden kann, da dies sonst die Garantie der Fahrer ungültig machen und Bluetooth und Lautsprecher funktionsunfähig machen könnte.
Rafi Alam, Senior Campaigns and Policy Advisor bei Choice, sagte: „Automobilhersteller behaupten, dass diese Technologiefunktionen die Sicherheit der Fahrer erhöhen, aber in einer Welt, in der Daten gehackt und weitergegeben werden, ist dies eine weitere Möglichkeit für Unternehmen, wertvolle Informationen zu sammeln, ob es den Verbrauchern gefällt oder nicht.”
„Beunruhigenderweise besagt die Richtlinie zu Connected Services von Toyota, dass das Unternehmen persönliche Daten und Fahrzeugdaten für Forschungs-, Produktentwicklungs- und Datenanalysezwecke sammelt und verwendet, wenn Sie diese Funktion nicht deaktivieren.“ Er fügte hinzu, dass die Richtlinien von Toyota unglaublich unklar seien, was tatsächlich als „Zustimmung“ gelte.
Laut einer Untersuchung von Choice behauptete ein Kunde namens Matthew, dass er einige Monate nach dem Kauf seines 68.000 Dollar teuren Toyota HiLux von der Connected Services-Funktion erfahren habe und E-Mails erhalten habe, in denen er aufgefordert wurde, sich für diese Funktion anzumelden.
Der Kunde, der sich an dieser Funktion störte, verlangte vom Händler, die Technologie aus seinem Auto zu entfernen (und nicht nur zu deaktivieren), behauptete jedoch, ihm sei gesagt worden, dass dies die Garantie ungültig machen und seine Versicherung gefährden würde. Letztendlich nahm er das Auto nicht ab und stornierte seine Bestellung, behauptete jedoch, der Händler weigere sich, seine 2.000-Dollar-Anzahlung zurückzuzahlen.
Alam sagte, dass Datenschutzprobleme in Autos zu einem weit verbreiteten Problem geworden seien und dass „fast jedes neue Auto mit einer ‚intelligenten‘ Verbindung ausgestattet zu sein scheint“. Er forderte die Bundesregierung auf, die Sicherheitsmaßnahmen zu verstärken und dringend Verbote für die Erfassung und Verwendung personenbezogener Daten zu erlassen. „Die Menschen sollten nicht gezwungen sein, ihre Datenschutzrechte aufzugeben, um ein neues Auto zu kaufen”, sagte Alam.
Kommentar von GRC LEGAL
Die von Choice vorgelegten Ergebnisse zeigen, dass Toyotas Datenschutzrichtlinie unklar ist, dass die Connected Services-Funktion zwar deaktiviert, aber nicht vollständig aus den Fahrzeugen entfernt werden kann und dass dies zu schwerwiegenden Problemen wie dem Erlöschen der Garantie und der Deaktivierung von Bluetooth und Lautsprecher führt.
Da die Connected Services-Funktion nicht vollständig aus dem Fahrzeug entfernt werden kann und andere Funktionen unbrauchbar werden, kann man sagen, dass Toyota die Bereitstellung seiner Dienste an die Bedingung knüpft, dass die personenbezogenen Daten der Verbraucher erfasst werden.
Angesichts der Sensibilität von Toyota gegenüber den Datenschutzrechten der Verbraucher wachsen jedoch die Bedenken, dass die angeblich deaktivierte Connected Services-Funktion tatsächlich keine Daten sammelt.
Frankreich x Cyberangreifer
Laut einer Erklärung der französischen Datenschutzaufsichtsbehörde wurden die Daten von fast der Hälfte der französischen Bürger bei einem großen Sicherheitsverstoß bei Anbietern von Gesundheitszahlungsdiensten gestohlen.
Die französische Datenschutzbehörde (Commission Nationale de l’Informatique et des Libertés, „CNIL“) gab Ende Januar bekannt, dass es zu einer Verletzung der Sicherheit in den Systemen der Zahlungsdienstleister Viamedis und Almerys gekommen sei und Daten von mehr als 33 Millionen Kunden gestohlen worden seien. Zu den betroffenen Daten gehörten Geburtsdaten, Familienstand, Sozialversicherungsnummern und Versicherungsdaten, jedoch seien keine Bankdaten, medizinischen Daten oder Kontaktdaten gefährdet worden.
Viamedis gab an, dass die betreffenden Daten durch einen Phishing-Angriff auf Mitarbeiter des Gesundheitswesens erbeutet und die gestohlenen Identitätsdaten für den Zugriff auf das System verwendet wurden, während Almerys keine Erklärung dazu abgab, wie die Datenverletzung zustande kam. Es wird jedoch vermutet, dass die betreffenden Verletzungen auf ähnliche Weise über ein von Gesundheitsdienstleistern genutztes Portal begangen wurden.
Die CNIL erklärte, dass sie gemäß den Bestimmungen der DSGVO mit Viamedis und Almerys zusammenarbeite, um die von der Datenverletzung betroffenen Personen zu informieren, dass die Meldung der Verletzung, von der fast die Hälfte des Landes betroffen sei, jedoch einige Zeit in Anspruch nehmen werde. Außerdem kündigte sie an, eine Untersuchung einzuleiten, um festzustellen, ob eine der Organisationen bei den betreffenden Verstößen fahrlässig gehandelt habe. Die französischen Behörden warnen weiterhin davor, dass die gestohlenen Daten mit Daten aus anderen Verstößen kombiniert werden könnten, um sie für Phishing- oder Social-Engineering-Angriffe zu verwenden.
Infokasten
Social Engineering ist eine Art von Angriff, bei dem nicht direkt technische Angriffe auf Computersysteme oder Netzwerke durchgeführt werden, sondern versucht wird, durch Manipulation von Menschen an Informationen oder Zugriffsmöglichkeiten zu gelangen. Angreifer versuchen in der Regel, die natürlichen Neigungen, die Neugier, das Vertrauen oder andere emotionale Schwächen von Menschen auszunutzen, um an Informationen zu gelangen oder Menschen zu bestimmten Handlungen zu bewegen. Beispielsweise können sie durch das Versenden gefälschter E-Mails an persönliche Daten gelangen, durch Telefonanrufe geheime Informationen stehlen oder durch die Weiterleitung auf eine gefälschte Website Phishing-Angriffe durchführen.
GRC LEGAL Kommentar
Der groß angelegte Datenverstoß in Frankreich zeigt einmal mehr, wie wichtig die Maßnahmen zum Schutz personenbezogener Daten/Informationen sind, die Dienstleister ergreifen müssen.
Da die betreffende Verletzung in den Systemen von Gesundheitsdienstleistern stattfand und äußerst kritische und sensible Daten betraf, gibt sie Anlass zu ernsthaften Bedenken hinsichtlich des Datenschutzes. Insbesondere für Organisationen, die mit solchen sensiblen Daten umgehen, ist es von entscheidender Bedeutung, dass sie Datenschutzmaßnahmen auf höchstem Niveau einhalten und Sicherheitslücken streng überwachen.
Hongkong x DeepFake
In Hongkong kam es zu einem Vorfall, der als der bislang ambitionierteste Deepfake-Betrug gilt: Die Angreifer überzeugten einen namentlich nicht genannten Mitarbeiter eines Unternehmens, 25 Millionen Dollar zu überweisen, indem sie ihm eine gefälschte Videokonferenz mit Simulationen des CFO und anderer Mitarbeiter vorlegten. Auch wenn Betrugsfälle mit Deepfake-Stimmen immer häufiger vorkommen, ist dieser Skandal doch der erste Fall, in dem die gefälschten Darstellungen mehrerer Personen verwendet wurden.
Es ist bekannt, dass alle Mitarbeiter, deren gefälschte Darstellungen in diesem Fall verwendet wurden, öffentlich zugängliche Informationen, Stimmen und Bilder hatten. Der betroffene Mitarbeiter hatte zunächst einen Betrugsverdacht, führte aber letztendlich fünfzehn Banküberweisungen im Gesamtwert von 25 Millionen Dollar durch.
Außerdem geht aus den bisherigen Erklärungen zu diesem Thema hervor, dass der betroffene Mitarbeiter eine Phishing-E-Mail von einem Betrüger erhalten hat, der sich als CFO des Unternehmens ausgab, in der eine geheime Transaktion angekündigt wurde. Aufgrund der Zweifel des Mitarbeiters wurde dieser in einen vom Betrüger kontrollierten gefälschten Video-Gruppenchat gelockt und überzeugt. In diesem gefälschten Video-Gruppenchat befanden sich Simulationen des CFO und der Mitarbeiter des Unternehmens. Die Wahrheit kam erst eine Woche später ans Licht, als der Mitarbeiter sich wegen der Transaktionen an die Zentrale des Unternehmens wandte.
Die Polizei von Hongkong, die sich öffentlich zu dem Vorfall äußerte, erklärte, dass Deepfake-Betrugsaktivitäten in ihrem Zuständigkeitsbereich zugenommen hätten und dass es im Jahr 2023 mindestens 20 Betrugsfälle gegeben habe, bei denen Deepfake-Videos verwendet worden seien, um Gesichtserkennungssysteme zu täuschen. Sie erklärte außerdem, dass im Zusammenhang mit dem Betrugsfall, um den es in der Meldung geht, noch keine Festnahmen erfolgt seien und die Ermittlungen noch andauerten.
Bekanntlich wird künstliche Intelligenz bereits zur Entwicklung aller Arten von Cyberkriminalität und Betrug eingesetzt. Während einige Angreifer Fehler in ihren Betrugsnachrichten und E-Mails, die bei den Opfern Verdacht erregen könnten, mit KI-Tools wie ChatGPT korrigieren, trainieren andere Angreifer künstliche Intelligenz darauf, bösartigen Code zu schreiben. Wie der Deepfake-Betrug in Hongkong gezeigt hat, wurden die größten Fortschritte bisher im Bereich der gefälschten Stimmen erzielt.
Mittlerweile gibt es Tools, mit denen aus nur wenigen gesprochenen Sätzen eine überzeugende Kopie einer Stimme erstellt werden kann, was insbesondere für bekannte Persönlichkeiten oder Unternehmensvertreter eine große Gefahr darstellt. Das neue Tool VALL-E von Microsoft kann eine Stimme in nur drei Sekunden kopieren. Diese Entwicklungen haben auch zu einer Explosion von Telefonbetrugsfällen geführt, bei denen Kriminelle sich als Familienmitglieder ausgeben und unter dem Vorwand eines Notfalls Geld verlangen.
Auch Gesichtserkennungssysteme scheinen besonders anfällig für Deepfake-Betrug zu sein, sodass die Zukunftsfähigkeit der biometrischen Gesichtserkennung infrage gestellt wird.
Eine kürzlich von Gartner durchgeführte Analyse prognostiziert, dass aufgrund von KI-gestützten Deepfake-Angriffen eine Vielzahl von biometrischen Verifizierungssystemen bis 2026 unzuverlässig werden und 30 % der Unternehmen diese Methoden aufgrund ihrer Ineffizienz aufgeben werden.
Kommentar von GRC LEGAL
Wie aus einer in den letzten Monaten von der Behörde veröffentlichten Informationsnotiz hervorgeht, hat die Deepfake-Anwendung, deren Definition in dieser Notiz erläutert wird, weltweit große Resonanz gefunden, wie auch der Skandal in Hongkong gezeigt hat. In diesem Zusammenhang ist es sowohl für Privatpersonen als auch für Unternehmen wichtig, sich der Deepfake-Anwendungen bewusst zu sein, um groß angelegte Datenverstöße zu verhindern.
Insbesondere für Unternehmen ist es ein wirksamer Schritt, ihre Cybersicherheitsmaßnahmen und internen Kommunikationskanäle zu verstärken, um Deepfake-Angriffen entgegenzuwirken, die zu erheblichen finanziellen Verlusten führen können. Darüber hinaus sollten für wichtige Transaktionen wie Geld- und Informationsüberweisungen mehrere Bestätigungsebenen eingeführt werden, und es ist von entscheidender Bedeutung, dass Einzelpersonen geschult werden, verdächtige Anfragen unter Berücksichtigung der Realität von Deepfakes zu hinterfragen.