Datenschutzrecht Auftragsdatenverarbeitung, Dataprotection by design (Datenschutz durch Technikgestaltung) - ULD
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Datenschutzrecht
Auftragsdatenverarbeitung,
Dataprotection by design
(Datenschutz durch Technikgestaltung)
10. Januar 2018
Harald Zwingelberg
Vertretene Auffassungen sind solche des Referenten, insbesondere wenn diese
dahingehend gekennzeichnet sind (m.E. = meines Erachtens).
www.datenschutzzentrum.de
Wiederholung
Standard Data Protection Model
• Welche sechs Schutzziele nennt das SDM?
Welchen Kerninhalt haben diese jeweils?
(Grafik nächste Seite, Beschreibungen in
der SDM-Broschüre)
• Wie schlägt das
Standarddatenschutzmodell eine Brücke
zwischen IT-Sicherheit und Datenschutz?
Quellenhinwies:
Aktuelle Versionen des SDM in Deutsch und
Englisch jeweils veröffentlicht unter:
https://www.datenschutzzentrum.de/sdm/
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 2
www.datenschutzzentrum.de
Standarddatenschutzmodell (SDM) und
Gewährleistungsziele
Vertraulichkeit Nichtverkettbarkeit /
Datensparsamkeit
Integrität Intervenierbarkeit
Transparenz Verfügbarkeit
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 3
www.datenschutzzentrum.de
Wiederholung
Betroffenenrechte
Welche Betroffenenrechte nach DSGVO kennen Sie?
• Auskunft, Art. 15 DSGVO
• Berichtigung, Art. 16 DSGGVO
• Löschung ‚right to be forgotten‘, Art. 17 DSGVO
• Einschränkung der Verarbeitung, Art. 18 DSGVO (BDSG: ‚Sperrung‘)
Warum genügt folgende Antwort auf ein umfassendes Auskunftsersuchen
nicht: „Wir speichern über Sie: Name, Adresse, Loginname, Passwort
(„gehasht“) & Kundennummer“?
• Eine umfassende Auskunft ist Vorbedingung zur Wahrnehmung der
Rechte auf Berichtigung, Löschung und Sperrung. Es müssen die
konkreten Daten („Werte“ in der Datenbank) mitgeteilt werden, nicht
nur die Kategorien. DSGVO regelt Recht auf Datenkopie ausdrücklich in
Art. 15 (2) DSGVO.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 4
Auftragsdatenverarbeitung
www.datenschutzzentrum.de
Auftragsdatenverarbeitung
Anwendungsbereich, Bedeutung
Problemstellung
• Grundsätze des Datenschutzrechts:
Rechtmäßigkeit, Art. 5 (1) DSGVO daher sind erforderlich:
Einwilligung, Art. (1) (a) oder
anderweitige gesetzliche Rechtsgrundlage, Art. 6 (1) …
• Folge: Jeder Datenweitergabe an Dritte würde
grundsätzlich eine eigene Rechtsgrundlage oder
Einwilligung voraussetzen z.B. auch für:
Hosting, Webshop (Kundendaten), externe Datensicherung,
IT-Betreuung, soweit Zugriff auf personenbez. Daten besteht
Aktenvernichtung, Druck- und Versandleistungen, Callcenter,
…
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 6
www.datenschutzzentrum.de
Auftragsdatenverarbeitung
Definitionen
Begriffsbestimmungen für Akteure der Datenverarbeitung
• Art. 4 (7) DSDGVO: Verantwortlicher ist die [Einrichtung], die allein
oder gemeinsam mit anderen Zwecke und Mittel der Verarbeitung von
personenbezogenen Daten entscheidet… (Engl.: controller)
• Art. 4 (8) DSGVO: Auftragsverarbeiter ist eine [Einrichtung] die
personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet
(Eng.: processor)
• Art. 26 (1) DSGVO: Gemeinsam Verantwortliche: Legen zwei oder
mehr Verantwortliche gemeinsam die Zwecke und die Mittel zur
Verarbeitung fest, sind sie gemeinsam Verantwortliche. (Engl.: joint
controllers)
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 7
www.datenschutzzentrum.de
Auftragsdatenverarbeitung
Voraussetzungen
Voraussetzungen Art. 28 DSGVO
• völlige Weisungsabhängigkeit des Auftragsverarbeiters
• Vertrag mit bestimmten Mindestregelungen, Art. 28 (3)
Bindung des Auftragsverarbeiters an Weisungen des Verantwortlichen
Art und Zweck der Verarbeitung, Dauer, Art der personenbezogenen Daten, Kategorien
betroffener Personen
Pflichten und Rechte des Verantwortlichen gegenüber dem Auftragsverarbeiter
Verarbeitung nur auf Basis dokumentierter Weisung des Verantwortlichen
Besteht ausnahmsweise eine Rechtspflicht des Auftragsverarbeiters zur Übermittlung an Dritte
muss der Auftragsverarbeiter diese rechtlichen Rahmenbedingungen vor der Verarbeitung dem
verantwortlichen mitteilen. lit. a)
Mitarbeiter des Auftragsverarbeiters müssen zur Vertraulichkeit verpflichtet werden. lit b)
Alle techn.-org. Maßnahmen nach Art. 32 sind zu treffen. lit c)
Auflagen bei der Inanspruchnahme von (Unter-)Auftragsverarbeitern durch den
Auftragsverarbeiter. lit. d)
Unterstützung des Verantwortlichen bei der Gewährung von Betroffenenrechten
Löschung oder Rückgabe aller Daten nach Abschluss der Verarbeitung
Überlassen der nötigen Informationen, um die Einhaltung der Vorschriften zu
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 8
www.datenschutzzentrum.de
Auftragsdatenverarbeitung
Voraussetzungen
Art. 28 als eigenständige Rechtsgrundlage?
• Rechtsfrage: Muss neben Art. 28 zusätzlich eine Rechtsgrundlage aus Art. 6
gegeben sein?
• Antwort: Nein, Art. 28 ist Rechtsgrundlage für die Verarbeitung im Rahmen
einer Auftrags-DV. Daneben sind entsprechend die weiteren Voraussetzungen
der DSGVO einzuhalten, z.B. bei technisch-organisatorischen Maßnahmen.
Grund: Andernfalls wäre über Art. 6 (1) (f) das Widerspruchsrecht nach Art. 21
anwendbar, so dass Kunden (isoliert) gegen die Auftrags-DV widersprechen
könnten.
• M.E. kann eine (Neu-)Beauftragung eines Auftragsverarbeiters oder
wesentliche Änderungen, insbesondere Verlegung der Verarbeitung in
Drittstaaten, eine so gravierende Änderung der Leistung darstellen, dass darin
ein Grund für eine Abänderung / Kündigung des zivilrechtlichen Vertrages
zwischen Kunden und Verantwortlichen begründet sein kann, was insbesondere
zur Beendigung von Dauerschuldverhältnissen relevant sein kann.
(zu dieser Frage ist bisher jedoch keine Rspr. bekannt)
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 9
www.datenschutzzentrum.de
Auftragsdatenverarbeitung
Abgrenzung
Abgrenzung von (gemeinsam) Verantwortlichen
• Bei (gemeinsam) Verantwortlichen hat der Ausführende die
Entscheidung über Zwecke und Mittel der Datenverarbeitung.
Eigenverantwortlichkeit und Entscheidungsbefugnisse bei der
Durchführungen schaden nicht immer (anders noch BDSG).
• Für Auftragsverarbeitung sprechen besonders ausführliche Weisungen,
engmaschige Überwachung oder wenn der Auftragsverarbeiter den
Eindruck erweckt, er gehöre zum Verantwortlichen (Callcenter meldet
sich mit Firmennamen der Verantwortlichen)
• Umgekehrt haben insbesondere einige freie Berufe auf Grundlage der
Berufsordnungen eigenständige Rechtsgrundlagen für die Verarbeitung,
da diese nur Teil einer umfassenderen Beratungsfunktion gegenüber
Ihren Kunden (Mandanten, Patienten) ist. Beispiele Rechtsanwälte,
Steuerberater, Psychologen… Diese sind dann Verantwortliche.
• Quellen: Art. 29 Datenschutzgruppe, WP 169: ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp169_de.pdf
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 10www.datenschutzzentrum.de
Auftragsdatenverarbeitung
Pflichten
Pflichten / Aufgaben des Verantwortlichen
• Sorgfältige Auswahl und Überwachung nach Art. 28
• Vertragliche Bindung
• Bereitstellung der erforderlichen Informationen für den Auftragsverarbeiter
Pflichten des Auftragsverarbeiters
• Bei Sitz im Drittland – Bestellung eines Vertreters in der Union, Art. 27
• Verzeichnis der Verarbeitungstätigkeiten, Art. 30 (2)
• Vornahme der erforderlichen techn.-org. Maßnahmen (kurz: TOMs)
• Meldung von Sicherheitsverstößen an den Verantwortlichen, Art. 33 (2)
• Unterstützung bei der Datenschutzfolgenabschätzung,
• Benennung eines Datenschutzbeauftragten
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 11www.datenschutzzentrum.de
Auftragsdatenverarbeitung
Rechtsfolgen
Rechtsfolgen
• Datentransfer zum und Verarbeitung beim Auftragsverarbeiter ist
privilegiert, d.h. sie bedarf keiner gesonderten Rechtsgrundlage
neben dem Auftrag.
• Auftragsverarbeiter haftet nur für die Verletzung der speziellen
Pflichten eines Auftragnehmers oder bei Verstoß gegen eine
Weisung auf Schadensersatz, Art. 82 (2).
Bei Überschreiben des Auftrags wird Auftragsverarbeiter mit
allen Pflichten und Risiken zum Verarbeiter.
• Geldbußen können gegen den Auftragnehmer verhängt werden.
• U.a. ist bußgeldbewährt ein fehlender Vertrag, so dass künftig
Auftragnehmer einen solchen aus Eigeninteresse anbieten
sollten. Bisher bestenfalls auf gesonderte Nachfrage für
Geschäftskunden.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 12www.datenschutzzentrum.de
Auftragsdatenverarbeitung
in Drittstaaten
Ist Sitz des Auftragnehmers im Drittstaat möglich?
• Drittstaat = EU/EWR-“Ausland“, insbesondere USA
• Bisher: Nach BDSG war Auftrags-DV nach strenger Auslegung ausgeschlossen
• DSGVO: Art. 27 (1) begründet ausdrücklich Pflicht zur Bestellung eines
Vertreters in der Union, d.h. implizit dass Auftragsverarbeitung in Drittstaaten
nicht per se verboten sein kann.
Besonders zu beachten bei Drittstaaten
• Besondere Risiken der Datenverarbeitung in Drittstaaten sind m.E.
entsprechend zu bewerten und zu berücksichtigen bei der Auswahl.
• Mögliche Risiken staatlicher Zugriffe auf Daten in Rechenzentren in Drittstaaten
aber auch auf den Auftragsverarbeiter mit Sitz in Drittstaaten (und
Rechenzentrum in der EU) können dazu führen, dass im Ergebnis der Schutz
der Rechte der betroffenen Personen nicht gewährleistet ist, Art. 28 (1). Dieses
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 13www.datenschutzzentrum.de
Datenverarbeitung im Konzern
Übermittlung von Daten im Konzernverbund:
Das Datenschutzrecht kennt kein Konzernprivileg!
Erwägungsgrund 48 DSGVO:
Verantwortliche, die Teil einer Unternehmensgruppe oder einer
Gruppe von Einrichtungen sind, die einer zentralen Stelle
zugeordnet sind können ein berechtigtes Interesse haben,
personenbezogene Daten innerhalb der Unternehmensgruppe für
interne Verwaltungszwecke, einschließlich der Verarbeitung
personenbezogener Daten von Kunden und Beschäftigten, zu
übermitteln.
Es steht keine direkte Erlaubnis im Sinne einer
Rechtsgrundlage dort sondern nur ein Anhaltspunkt für Art. 6
(1) (f) DSGVO.
Abwägung bleibt zwingend.
Erforderlichkeitsgrundsatz gilt unverändert (genügen z.B.
anonymisierte Daten für Konzernstatistik?).
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 14www.datenschutzzentrum.de
Verarbeitung von Kundendaten im Konzern
• Stammdaten in einer konzernweiten Kundendatenbank?
Wohl als Auftragsverarbeitung möglich (Bisher:
Rechtsgrundlage für die Übermittlung an Dritte erforderlich)
Verteilung unterschiedlicher Zugriffsberechtigungen bzw.
Nutzung eines mandantenfähigen Systems – Erforderlichkeit!
Zugriff nur soweit ein Vertragsverhältnis mit dem jeweiligen
Konzernunternehmen vorhanden.
• Auftragsverarbeitung durch ein Konzernunternehmen (z.B.
konzerneigene Rechenzentrum)
Auftragsdatenverarbeiter sind privilegiert bei Rechtsgrundlage
Verantwortlichkeit und Kontrolle im Konzernverbund
besonders gut durchsetzbar aber es muss auch eine reale
Auswahlmöglichkeit der Verantwortlichen Konzerntochter
geben, sonst keine wirksame Auftragsverarbeitung möglich.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 15www.datenschutzzentrum.de
TOMs zur Sicherstellung der Vertraulichkeit
bei Auftragsdatenverarbeitung
• Bereits bei der Auswahl von Auftragsverarbeitern sollte
darauf geachtet werden, dass je nach Sensibilität der
Daten auch schon ein Zugriff der dortigen Mitarbeiter und
Administratoren ausgeschlossen ist.
• Bei herkömmlichen Maßnahmen ist eine verlässliche und
regelmäßig per Stichproben kontrollierte Protokollierung
Pflicht.
• Ideal sind Systeme, die Zugriffe von lokalen
Administratoren ausschließen (siehe folgende Folien)
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 16www.datenschutzzentrum.de
Schutz vor Admins:
Beispiel: Projekt SPLITCloud
firewalls
Presen-
Business
tation Database
Logic
Logic
Guest OS Guest OS Guest OS
on VM on VM on VM
Hypervisor Hypervisor Hypervisor Central.
Config
Sec. & HV. Sec. & HV. Sec. & HV.
Conf. Conf. Conf. Hypervisor
TOM-App
Logging VPN Hardened VPN Hardened VPN Hardened VPN
Hypervisor Hardened
Server Hypervisor
Host OS Hypervisor
Host OS Hypervisor
Host OS Host OS
Hardware Hardware
Hardware Hardware
Hardware Hardware
Hardware Hardware
Hardware
Hardware
TPM TPM TPM TPM
Anwendungsfall ist ein Unternehmen, dass als SaaS-Dienstleistung Software für die Abrechnung von
Energielieferanten bereitstellt, diese auf einem Rechenzentrum von Drittanbietern betreibt und dabei
gewährleistet, dass die Daten der Endkunden (Namen, ID, Stromverbrauch, …) weder dem RZ noch dem
Softwareanbieter bekannt werden.
Die Anwendungs-Tiers sind gegeneinander abgeschottet. Die Systeme laufen mit gehärtetem OS und mit
TPM-Absicherung. Die Schlüsselverteilung kann je nach Anforderungen erfolgen im Trusted Object
Manager (TOM). Wichtige Schlüsselfigur ist der TOM-Administrator.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 17www.datenschutzzentrum.de
Schutz vor Admins:
Projekt SPLITCloud
Je nach Wahl des Standortes des TOM-Administrators kann eine effiziente Kontrolle gegenüber andere in
der Verarbeitungshierarchie erfolgen. Hier beim SaaS-Anbieter. Denkbar auch direkt beim Anwender
(Stadtwerke) oder als Maßnahme der Selbstbeschränkung im Rechenzentrum.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 18www.datenschutzzentrum.de
Schutz vor Admins:
Vorteile, Rechtsfolgen
• Das ergreifen von techn.-org. Maßnahmen und der Einsatz
Datenschutzfördernder Technologien (privacy enhancing
technologies, PETs) kann:
die Zulässigkeit der Verarbeitung überhaupt erst
herzustellen, indem die zu Interessen der betroffenen
Personen durch eine verlässliche Reduktion des Risikos
so minimiert wurden, dass bei der Güterabwägung keine
Überwiegenden Interessen der Betroffenen mehr
entgegenstehen - Art. 6 (1) (f) DSGVO;
bereits für sich einen erheblichen Beitrag zur Sicherheit
der Verarbeitung leisen, Art. 32 DSGVO.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 19www.datenschutzzentrum.de
Schutz vor Admins:
Beispiel: Sealed Cloud
• Ebenfalls durch Verschlüsselung und gehärtetes OS aber
zusätzlich mit weiteren TOM wie einem elektrisch
verriegeltem Serverrack arbeitet der Ansatz einer Sealed
Cloud.
• Entschlüsselung immer nur im laufenden Betrieb, während
der Rechner im Rack physikalisch vor Zugriff gesichert ist.
• Einsatz in Modellprojekten des ULD:
PARADISE: Lösungen für die Doping-
Bekämpfung, die Datenschutz und
Komfort der Sportler fördert
Privacy&Us: Trainingsnetwork für
wissenschaftlichen Nachwuchs im
Bereich Privacy und Usability bei IoT
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 20Selbstdatenschutz
Identitätsmanagement,
Tipps und Tools
zum SelbstdatenschutzIdentitätsmanagement im Netz
www.datenschutzzentrum.de
Identität, partielle Identitäten, IdM
• Digitale Identität:
Sammlung von digitalen Informationen, die zu einem
Individuum gehören
(z.B. Name, Geschlecht, Geburtstag/-ort, Nutzerkennung)
• Teilidentitäten:
Identität, die eine Person in einem bestimmten Kontext
oder Rolle bestimmt
• Identitätsmanagement (IdM):
das Verwalten von Identitäten oder Identitätsdaten
offline: situationsabhängige Angabe von Daten
online: Pseudonyme, Avatarnamen, E-Mail-Adressen
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 23www.datenschutzzentrum.de
Identitätsmanagement
in der Offline-Welt: intuitiv
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 24www.datenschutzzentrum.de
Teilidentitäten von Alice
Health Care
Government
Work
Blood
Group Shopping
Tax Insurance
Status Good-
Health
Conduct
Income Status
Certificate MasterCard
Birthday Name
Age
Address Credit
Birthplace
Rating Payment
Diners Club
Diary Foreign Driving
Alice Languages Licence
Cellphone
Phone Number Likes &
Number Dislikes Travel
Interests
Telecom-
Boyfriend
munication
Bob
Leisure
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 25www.datenschutzzentrum.de
Und online …
Nichts zu verbergen?
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 26www.datenschutzzentrum.de
Identitätsmanagement online?
Alice Mustermann
Alice.M@F-I-R-M-A.de
Alice Mustermann
Alice.M@F-I-R-M-A.de
Alice Mustermann
Alice.M@F-I-R-M-A.de
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 27www.datenschutzzentrum.de
Identitätsmanagement online!
Login: AM.Kiel
AM_BR@mail
Dessous.5.dparty@
spamgourmet.com
& anonyme Zahlung
Login: Gartenfee
alice-garten76@gmx.de
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 28www.datenschutzzentrum.de
Nichts zu verbergen?
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 29www.datenschutzzentrum.de
Denkbare Verwendung
erstellter Online-Profile:
• Hintergrundinformationen
über Stellenbewerber
• Zielgerichtete Werbung
• Bewertung der
Kreditwürdigkeit
• …
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 30www.datenschutzzentrum.de
Herausforderungen im Netz
• Intuitives Identitätsmanagement ist nicht übertragbar auf
die Online-Welt:
Datensammlung bei einzelnen Anbietern (war gestern)
Verkettung von digitalen Identitäten, Profilbildung über
Anbietergrenzen hinweg
Mangelnde wirtschaftliche Anreize für Anbieter,
datenschutzfreundliche Technologien einzusetzen
Neu DS-GVO: rechtliche Anreize teilweise vorhanden
Mangelnde Verfügbarkeit von Tools zum Selbstdatenschutz
Mangelnder breiter Einsatz von vorhandenen Lösungen
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 31www.datenschutzzentrum.de
Verkettbarkeit II: Verwendung
derselben Pseudonyme
verkettbar
Personenpseudonym
z.B. Personal-
ausweisnummer
Rollenpseudonym Beziehungspseudonym
pro pro Kommuni-
Rolle kationspartner
zunehmende
Rollenbeziehungspseudonym Unverkett-
barkeit von
Transaktionen
⇒
zunehmende
verfügbare
Transaktionspseudonym Anonymität
unverkettbar
nur einmal
verwendet
Aus: Pfitzmann/Hansen (Hrsg., 2005); Anonymity, Unlinkability, Unobservability,
Pseudonymity, and Identity Management, http://dud.inf.tu-dresden.de/Literatur_V1.smtl
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 32www.datenschutzzentrum.de
Teilidentitäten von Alice
Health Care
Government
Work
Blood
Group Shopping
Tax Insurance
Status Good-
Health
Conduct
Income Status
Certificate MasterCard
Birthday Name
Age
Address Credit
Birthplace
Rating Payment
Diners Club
Diary Foreign Driving
Alice Languages Licence
Cellphone
Phone Number Likes &
Number Dislikes Travel
Interests
Telecom-
Boyfriend
munication
Bob
Leisure
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 33www.datenschutzzentrum.de
Überblick behalten?
• Passwortmanager ist Lösungen zum Organisieren und zur
sicheren Ablage der Zugangsdaten
Verschlüsselte Ablage der Passwörter
Offline auf dem lokalen Rechner
Idealerweise mit Passwort-Generator
Betriebssystemübergreifend nutzbar
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 34Teil 2: Tipps und Tools
www.datenschutzzentrum.de
Warum Verschlüsselung nicht genügt
Kommunikationsbeziehungen lassen Rückschlüsse auf die
Kommunikationsinhalte zu.
Folie AN.ON H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 36www.datenschutzzentrum.de
Lösung Proxy?
Vorteil: Dienstanbieter kennt Quelladresse nicht.
Zugangsprovider kennt Zieladresse nicht.
Nachteil: Proxy-Betreiber erfährt komplettes Surfprofil und
Dienstleister verkettet über Browserprofile.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 37
Bild: Krause, ULDwww.datenschutzzentrum.de
Lösung Proxy-Hopping?
Vorteil: Webserver erfährt die Absenderadresse nicht.
Nachteil: Viele Proxy-Betreiber haben Zuordnung zwischen Nutzer und
Dienstleister. Dienstleister kann Verkettung über Browser Fingerprinting
herstellen.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 38www.datenschutzzentrum.de
Lösung Mixe
Vorteil: Veränderung der Reihenfolge der Anfragen bei jedem Mix,
Einheitliche Größe der Datenpakete, Verwerfen von Datenpaketen bei
Replay-Angriff.
Verbleibender Angriff: Alle anderen Nutzer des Anonymitätssets
kooperieren mit dem Angreifer.
Nachteile: Zu langsam für Mediendateien oder kostenpflichtig.
Grafik: AN.ON Projekt H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 39www.datenschutzzentrum.de
Datenträgerverschlüsselung
• Datenträgerverschlüsselung erwägen
Gefahr: Verlust von Laptop, Smartphone, USB-Sticks und SD-
Karten mit eigenen und fremden(!) Daten (Adressbücher,
Bilder, Mails, Briefe, Kalender, …)
Pflicht, wenn beruflich genutzt, als Selbstständiger, im
Unternehmen, Lehrer, Vereinsvorstand, ….
⇒ Lösung: Verschlüsseln!
⇒ Festplatten und mobile Datenträger: z.B. mit TrueCrypt
(v7.1a), Veracrypt (TrueCrypt-Nachfolger), Bitlocker
(enthalten in Windows Ultimate und Enterprise)
⇒ Smartphone: Abhängig von Version des Betriebssystems.
Teilweise automatisch aktiviert, teilweise installiert, aber
Aktivierung notwendig. Sichere PIN / Passwort wählen!
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 40www.datenschutzzentrum.de
Datenverlust verhindern
• Backups machen
Gefahr von Datenverlust (Risiko: alles von lästig bis
existenzbedrohend für einen selbst und Dritte)
Weitere Gefahr: Verschlüsselungstrojaner
Pflicht: u.a. aus Steuergesetzen, Handelsrecht, vertraglichen
Obliegenheiten, Eigeninteresse
⇒ Sicherung auf externen Datenträgern an sicherem Ort
(idealerweise verschlüsselt!)
⇒ Papierkopie in Akten der wichtigsten Unterlagen
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 41www.datenschutzzentrum.de
Surfprofile vermeiden 1
• Umfassende zentrale Surfprofile vermeiden
Gefahr: Dienste erstellen seiten- und geräteübergreifend
Surf- und Interessenprofile. Risiko u.a. Erpressung
Gefahr: Dienste tracken Nutzer, auch wenn diese nicht
angemeldet sind – Buttons eingebunden als iframe
⇒ Mehrere Geräte und Browser benutzen mit klarer
Zwecktrennung + ggf. eigenen getrennten Identitäten
⇒ Social Media gar nicht oder nur mit einem designierten
Browser nutzen
⇒ Seiten mit aktiven Social-Media-Plugins meiden
⇒ Werbe-Blocker helfen u.a. gegen aktive Buttons
⇒ Nur selektiv freischalten
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 42www.datenschutzzentrum.de
Surfprofile vermeiden 2
• Umfassende zentrale Surfprofile vermeiden
Gefahr: Dienste mit zentraler Plattform
Beispiel: NDR-Reportage Dienst Web of Trust (WOT)
⇒ Dienste mit serverseitiger Datenverarbeitung meiden oder
diese nur ganz gezielt einsetzen
(Online-Virenscanner, Werbewarnungen, Social Media,
Kinderschutzfilter, Übersetzungsdienste, …)
⇒ Lösungen mit lokaler Datenverarbeitung bevorzugen (Antivirus
installieren, Kinderfilter im eigenen Internetrouter,
Zeitkontingent im Fernseher, …)
⇒ Anbieter und Serverstandorte in der EU, Lesen der
Datenschutzerklärung.
⇒ Tracking- und Ad-Blocker verwenden (z.B. uBlock mit
EasyPrivacy-Liste)
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 43www.datenschutzzentrum.de
Surfprofile vermeiden 3:
eigene Daten im Netz
• Eigene Daten im Netz veröffentlichen
Gefahr: Verkettung ermöglicht Persönlichkeitsprofil,
Diskriminierung, …
Beispiele: Personalverantwortliche suchen im Netz
⇒ Privates unter Pseudonym(en) und getrennt nach Zwecken
und Seiten (Identitätsmanagement) veröffentl.
⇒ Datenschutzeinstellungen der Seiten restriktiv einstellen
⇒ Mehrere E-Mail-Konten / Aliasadressen nutzen
⇒ Niemals Daten Dritter ohne Einwilligung online stellen
⇒ Einwilligungen prüfen (Schule, Kita, Arbeitgeber, …)
⇒ Ggf. eigenes seriöses Profil für professionelle Kontakte
erstellen
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 44www.datenschutzzentrum.de
Surfprofile vermeiden 4
weitere Hinweise
• Surfprofile verhindern
⇒ Browser aktuell halten und zwischen mehreren Instanzen
bzw. Browsern wechseln
⇒ Cookies gezielt verwalten und regelmäßig löschen lassen
⇒ Browser-Add-ons kontrollieren
⇒ Datensparsame Suchmaschinen verwenden (und nur dann
auf große Anbieter wechseln, wenn die Ergebnisse
unzureichend sind)
⇒ Sich selbst über große aktuelle Risiken mit dringendem
Handlungsbedarf informiert halten, z.B. auf
⇒ Datenschutz.de
⇒ bsi-fuer-buerger.de
⇒ Heise.de
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 45www.datenschutzzentrum.de
Auswahl von Diensten
• Auswahl z.B. für Synchronisation von Kalendern
Gefahr: Datenabfluss in Drittstaaten, unsichere Dienste
⇒ Sind Dienste mit zentraler Datenverarbeitung nötig oder
werden Daten Dritter verarbeitet: den Dienst gezielt
auswählen (Pflicht: für Unternehmen die Daten Dritter
verarbeiten: sog. Auftragsdatenverarbeitung). Kriterien:
⇒ Anbieter- und Serverstandorte in der EU?
⇒ Datenschutzerklärung prüfen. Dürfen Daten auch für
Zwecke des Anbieters genutzt werden?
⇒ Wie wird der Dienst finanziert? Wenn keine Werbung
gewünscht ist, muss man sich darauf einstellen, für gute
und faire Leistung zu bezahlen.
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 46www.datenschutzzentrum.de
Auswahl von Geräten
Internet of Things
„Smarte“ Geräte auswählen und Rechte beschränken
• Gefahr: Smarte Geräte kommunizieren unkontrolliert mit
dem Hersteller, mit Dritten oder haben offene
Konfigurationszugänge, die freien Zugriff gestatten.
• Gefahr: DDoS-Angriffe durch Bot-Netze aus dem IoT
⇒ Auswahl der Geräte (kaum realistisch, teilweise wird
Sicherheit aber in Testberichten berücksichtigt)
⇒ Updates regelmäßig und zeitnah verfügbar?
⇒ Herkunftsland des Herstellers?
⇒ Geräte beim Aufstellen datensparsam konfigurieren
⇒ Mit dem Router die Kommunikation ins Netz unterbrechen
oder einschränken
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 47www.datenschutzzentrum.de
Weitere Quellen: Forum Privatheit
• Selbstdatenschutz ist
interdisziplinärer
Forschungsgegenstand
• Befassung aus der Sicht
diverser Disziplinen
erfolgte im Forum
Privatheit
Quelle:
https://www.forum-privatheit.de/forum-
privatheit-de/texte/veroeffentlichungen-des-
forums.php
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 48www.datenschutzzentrum.de
Förderhinweise
Die Fallbeispiele resultieren aus diesen Forschungsprojekten
mit ULD-Beteiligung
Funded by the European Union’s
Horizon 2020 research and
innovation programme under grant
agreement No. 731601
www.datenschutzzentrum.de/ www.datenschutzzentrum.de/
projekte/splitcloud/ projekte/splitcloud/ www.privacyus.eu
H. Zwingelberg: Auftragsverarbeitung nach DSGVO, PETs, IDM 49Fragen? Ansonsten:
Viel Erfolg bei der Klausur
Kontakt:
Harald Zwingelberg
hzwingelberg@datenschutzzentrum.de
www.datenschutzzentrum.de
0431/988-1222Sie können auch lesen
