Author Archives: Alexander Dix

Tracking und Profiling – online und offline

Dass die Online-Welt immer mehr mit der Offline-Welt zusammenwächst, zeigt sich auch in der immer schnelleren Entwicklung von Techniken zur Beobachtung und Ortung von Menschen und der Verfolgung ihrer Bewegungen zu den verschiedensten Zwecken. Lange Zeit wurde dieses Thema ausschließlich bezogen auf die Internet-Nutzung diskutiert. Inzwischen jedoch haben die Anbieter von Internet-Inhalten erkannt, dass Online-Profile sehr viel aussagekräftiger werden, wenn sie zum einen das Verhalten der Nutzer webseitenübergreifend abbilden und zum anderen auch ihr Verhalten offline miteinbeziehen.

Zu diesem Thema veranstaltete die Europäische Akademie für Informationsfreiheit und Datenschutz am 23. November 2016 im Abgeordnetenhaus von Berlin einen Workshop, an dem auch zahlreiche ausländische Experten teilnahmen, die sich an der vorausgegangenen Herbstsitzung der Internationalen Arbeitsgruppe zum Datenschutz in der Telekommunikation (sog. Berlin-Group) beteiligt hatten.

Zunächst berichtete Tobias Judin von der norwegischen Datenschutzaufsichtsbehörde Datatilsynet über die Ergebnisse einer Prüfung diverser Tracking-Technologien, die in Norwegen in öffentlich zugänglichen Bereichen eingesetzt werden. Diese reichen von WiFi-Netzen über Bluetooth-Technologie und den Einsatz von Beacons in Ladengeschäften bis hin zu intelligenter Videoanalyse, die über den Einsatz herkömmlicher Kameras weit hinausgeht. Judin erläuterte die Einordnung dieser Technologien nach norwegischem Recht, die sich durchaus auf andere europäische Länder übertragen lässt. Er bezeichnete die Transparenz beim Einsatz solcher Technik durch Unternehmen als essentiell als notwendig, wenn auch nicht als hinreichend. Darüber hinaus sei die informierte Einwilligung der Betroffenen einzuholen. So ist der Betreiber einer Ladenkette, der seine Kunden in den Geschäften lokalisieren lassen und über eine App gezielte Angebote machen will, dazu verpflichtet, sowohl elektronisch in der App als auch in den jeweiligen Geschäften durch analoge Hinweise auf diese Ortungsmöglichkeit hinzuweisen, um den Kunden eine Entscheidung zu ermöglichen, ob sie davon Gebrauch machen wollen. Für den Einsatz intelligenter Videoanalyse müssen – so Judin – nach norwegischem Recht strengere rechtliche Voraussetzungen erfüllt sein als für WiFi- und Beacon-Technologie.

Achim Klabunde, Leiter des IT-Bereichs beim Europäischen Datenschutzbeauftragten, widmete sich der technisch unterstützten Beobachtung durch öffentliche Stellen. Soweit es sich dabei um EU-Institutionen handelt, werden sie vom Europäischen Datenschutzbeauftragten kontrolliert. Dabei sparte er die öffentliche Sicherheit und Grenzkontrollen aus und konzentrierte sich auf die Beobachtung der Internet-Nutzung durch Unionsbehörden. Er beleuchtete die Reichweiten-Analyse und die Nutzung von sozialen Netzen, wobei er die neueste Entscheidung des EuGH zum Personenbezug von IP-Adressen und die festgestellte Unvereinbarkeit des deutschen Verbots der Speicherung von Nutzungsdaten für Sicherheitszwecke nach dem TMG mit in seine Analyse einbezog.

Die Perspektive der US-Federal Trade Commission beleuchtete in einem Video-Statement der Guilherme Roschke, Counsel for International Consumer Protection der FTC. Er schilderte die umfangreichen Aktivitäten der FTC im Zusammenhang mit verschiedenen Formen des geräteübergreifenden Online-Tracking durch Internet-Unternehmen, die ihre Kunden darüber entweder überhaupt nicht oder irreführend informieren. Dies reicht von „history sniffing“, bei dem die Nutzungshistorie des Browsers ausgelesen wird, bis hin zur unbemerkten Herstellung von Internet-Verbindungen durch moderne Fernsehgeräte, ein Thema, das auch in Deutschland für Diskussionen gesorgt hat. Bemerkenswert war die Aussage, dass die FTC – wie auch die europäischen Datenschutzbehörden – der Auffassung ist, dass Daten, die mittels technischer Identifikationsmerkmale wie der IP- oder der Mac-Adresse zur Personalisierung verwendet werden können, nicht generell als anonyme Daten anzusehen sind.

Abschließend berichtete Frank Wagner von der Deutschen Telekom über den gegenwärtigen Stand der internationalen Diskussion über den Do-Not-Track-Standard. Das World Wide Web Consortium (W3C) hat vor mehreren Jahren hierzu eine Arbeitsgruppe eingesetzt, die inzwischen mehrere Entwürfe für ein browsergestütztes Verfahren vorgelegt hat, mit dem Nutzer den von ihnen besuchten Webseiten mitteilen können, ob sie eine Speicherung ihrer Nutzungsdaten nach Ende der Nutzung akzeptieren oder nicht. Während die US-Internet-Wirtschaft offenbar kein Interesse an einem solchen Standard hat und das W3C deshalb Ende 2016 die Arbeiten daran einstellen wird, erläuterte Wagner die Absicht der Deutschen Telekom, gemeinsam mit anderen europäischen Stakeholdern dafür werben zu wollen, dass die Datenschutzbehörden in der Union den Do-Not-Track-Standard als eine Möglichkeit der informierten Einwilligung nach der Datenschutz-Grundverordnung qualifizieren.

 

Alexander Dix

Mehr Transparenz und Datenschutz in Rundfunkanstalten

Die norddeutschen Informationsfreiheitsbeauftragten haben vor kurzem gefordert, dass der NDR durch eine Änderung des Staatsvertrages zur Anwendung des Hamburgischen Transparenzgesetzes verpflichtet werden sollte <http://www.heise.de/newsticker/meldung/Datenschuetzer-fuer-Transparenzpflicht-beim-NDR-3332535.html?wt_mc=rss.ho.beitrag.atom> .

Diese Forderung ist berechtigt. Ebenso wichtig ist aber eine Erstreckung des Hamburgischen Datenschutzgesetzes auf den NDR wie auch die Erstreckung des Datenschutzrechts auf all diejenigen Rundfunkanstalten, die bisher im administrativen (also nicht-journalistischen) Bereich von der Geltung der Datenschutzgesetze ausgenommen sind. Dies betrifft alle Rundfunkanstalten mit Ausnahme des Rundfunks Berlin-Brandenburg, Radio Bremen und des Hessischen Rundfunks. Nur in diesen drei Rundfunkanstalten ist eine unabhängige Datenschutzkontrolle z.B. der Verarbeitung von Zuschauerdaten beim Beitragsservice gewährleistet. Auch nach der Europäischen Datenschutz-Grundverordnung ist es nicht länger gerechtfertigt, die Rundfunkanstalten im adminstrativen Bereich von der Geltung der Datenschutzgesetze und der unabhängigen Datenschutzkontrolle auszunehmen.

Rechtsverstöße des BND werden zu Recht veröffentlicht und nicht geheim gehalten

Einer der Väter des Datenschutzes, Adalbert Podlech, hat Geheimdienste als Fremdkörper im Rechtsstaat bezeichnet. In diesem Zusammenhang formulierte Podlech auch den Satz „Nur kontrollierte Macht kann regelgeleitete Macht sein.“. Auch der Bundesnachrichtendienst ist an Gesetz und Recht gebunden. Wie schlecht es um diese Bindung in der Praxis steht, hat jetzt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit in erfreulicher Deutlichkeit festgestellt. Sie hat – soweit ihr dies gestattet wurde – von ihrem Kontrollrecht Gebrauch gemacht. Dass ihre Kontrolle massiv behindert wurde und deshalb nur unvollständig sein konnte, ist schlimm genug. Aber auch die Kontrollen, die sie durchführen konnte, hatten ein bestürzendes Ergebnis. Der Bundesnachrichtendienst greift bei seiner Überwachung der Telekommunikation und des Internetverkehrs systematisch in die Grundrechte unbescholtener Bürgerinnen und Bürger ein. Darauf hatte es bereits in der Vergangenheit Hinweise gegeben, aber jetzt kann man es Schwarz auf Weiß in nüchtern-juristischer Diktion nachlesen. Der Bundesnachrichtendienst muss die in großem Umfang rechtswidrig erhobenen Daten jetzt löschen. Er sollte nicht darauf vertrauen dürfen, dass der Gesetzgeber rückwirkend oder auch nur für die Zukunft solche Praktiken legalisiert.

Allerdings: In einem Punkt irrt die Bundesbeauftragte für den Datenschutz, die zugleich Bundesbeauftragte für die Informationsfreiheit ist. Ihr „Sachstandsbericht“ über die Rechtsverstöße beim BND ist in seiner Gesamtheit als „GEHEIM“ klassifiziert. Möglicherweise sind einzelne in dem Bericht enthaltene Informationen tatsächlich geheimhaltungsbedürftig (auch wenn der Bericht jetzt in Gänze bei netzpolitik.org abrufbar ist). Aber das Ergebnis ihrer Prüfung, nämlich die festgestellten vielfältigen Rechtsverstöße, und die massive Behinderung ihrer Kontrolltätigkeit darf die Bundesbeauftragte nicht geheimhalten. Sonst würde der Bundesnachrichtendienst endgültig zu einem Fremdkörper in unserem Rechtsstaat.

Staatliche Gesichtserkennung ist etwas anderes als Kennzeichenscanning oder private Selfies

Die Anwendung von Gesichtserkennungstechnik durch den Staat ist nicht – wie der Bundesinnenminister meint – mit der Nutzung durch Private (z.B: beim Posten von Selfies oder dem Durchsuchen von Bildern bei Instagram) vergleichbar. Sie würde zu massiven Eingriffen in die Grundrechte unverdächtiger Menschen führen, die der Rechtfertigung bedürften. Ein solcher Eingriff läge schon in der automatisierten Beobachtung von Passanten mithilfe von Gesichtserkennungssoftware, die im Trefferfall „Alarm schlagen“ würde, wenn eine Person aus dem Fahndungsbestand erkannt würde. Dieser Eingriff wäre durch das geltende Polizei- und Strafverfolgungsrecht nicht gedeckt.

Das Bundesverfassungsgericht hat zwar die kurzzeitige Speicherung von Kfz-Kennzeichen beim automatisierten Kennzeichenscanning durch die Polizei dann nicht als Grundrechtswidrig angesehen, wenn nur die „Treffer-Fälle“ anschließend gespeichert werden. Diese Bewertung wird das Gericht aber aller Voraussicht nach nicht auf die Gesichtserkennung erstrecken, denn: das Kfz-Kennzeichen ist ein bloßer Datensatz, der lediglich eine Information über die Beziehung zwischen dem Kfz und seinem Halter (nicht zu seinem Fahrer) enthält. Das Gesicht (vorausgesetzt, es wird richtig erkannt) enthält zunächst eine (eindeutige) Information über die Identität der Person mit diesem Gesicht, darüber hinaus aber noch eine Vielzahl anderer (Überschuß-)Informationen z.B. über den Gefühlszustand, die ethnische Herkunft und evtl. auch über den Gesundheitszustand der Person. Eine Parallele zur Kfz-Kennzeichenerfassung ließe sich allenfalls dann ziehen, wenn jedes menschliche Gesicht in einem Datensatz verformelt wäre (gewissermaßen in einem öffentlich getragenen Personenkennzeichen). Das aber will hoffentlich niemand.

Außerdem gilt: bevor der Gesetzgeber daran gehen könnte, den Einsatz von Gesichtserkennungstechnik für Fahndungszwecke zu legalisieren, müsste ihre Geeignetheit zweifelsfrei feststehen, anderenfalls würde ein entsprechendes Gesetz den Anforderungen der Verfassung nicht genügen. Zwar ist seit dem Modellversuch am Mainzer Hauptbahnhof einige Zeit vergangen und die Technik dürfte sich weiter entwickelt haben. Noch aber sind keine neueren belastbaren Ergebnisse bekannt geworden, wonach die technikgestützte Gesichtserkennung zuverlässig genug ist, um im Echteinsatz verwendet zu werden.

Alexander Dix

Datenschutz ist nicht nur „schön“, sondern essentiell für unsere Freiheit und Sicherheit

 

Bundesinnenminister Thomas de Maizière hat nach den Terror-Anschlägen von Brüssel gesagt, der Datenschutz sei zwar schön, aber in Krisenzeiten wie diesen habe die Sicherheit Vorrang. Überdies plädierte er für ein Ein- und Ausreiseregister und für die Verknüpfung der „Datentöpfe“ von Polizei und Geheimdiensten auf europäischer Ebene.

In allen drei Punkten irrt de Maizière. Gerade ein Verfassungsminister sollte wissen, dass der Rechtsstaat im allgemeinen und besonders der Datenschutz keine Schönwetter-Veranstaltungen sind, wie auch der Hessische Datenschutzbeauftragte Michael Ronellenfitsch zu Recht betont hat. Schon nach den Anschlägen vom 11. September 2001 wurde von interessierter Seite der Datenschutz zum Sündenbock für das Versagen der Sicherheitsbehörden gemacht und der Weg für massive Einschränkungen der Datenschutzbestimmungen auch in Deutschland geebnet. Eine seriöse Evaluation dieser Einschränkungen – wiewohl verfassungsrechtlich geboten – ist unterblieben.

Dabei ist das grenzenlose Anhäufen immer größerer Datenmengen gerade kein probates Mittel im Kampf gegen den Terrorismus. Das gilt sowohl für die Vorratsdatenspeicherung wie auch für die anlasslose Speicherung von Flugpassagierdaten, die das Europäische Parlament aus gutem Grund noch nicht beschlossen hat. Es gilt erst recht für den Vorschlag de Maizières, jetzt ein generelles Ein- und Ausreiseregister einzurichten, in dem offenbar sämtliche Grenzübertritte anlassunabhängig personenbezogen gespeichert werden sollen. Als nächstes müssten – dieser Logik folgend – sämtliche Bahnfahrten auch innerhalb Deutschlands zentral bei den Sicherheitsbehörden gespeichert werden, kein Bahnticket könnte mehr ohne Identifikation des Passagiers gekauft werden. Dies ist der Weg zu einer lückenlosen Registrierung sämtlicher Reisebewegungen, die mit Sicherheit vom Bundesverfassungsgericht als grundgesetzwidrig angesehen würde, wie die Richter es bereits in der mündlichen Verhandlung über das erste – später kassierte – Gesetz zur Vorratsdatenspeicherung deutlich gemacht haben.

Es ist auch ein fataler Irrglaube zu meinen, man könne durch das Anhäufen immer größerer Daten-Heuhaufen mittels anlassloser Überwachung im entscheidenden Moment die Stecknadel – den Hinweis auf einen bevorstehenden Terroranschlag – finden. Das ist auch in den USA zur exzessiven Überwachungstätigkeit der NSA bereits festgestellt worden, ohne dass dies allerdings zu einer wesentlichen Einschränkung dieser Praxis geführt hätte. Ganz im Gegenteil: der ehemalige Richter am Bundesverfassungsgericht Wolfgang Hoffmann-Riem hat 2001 darauf hingewiesen, dass ein Staat, der immer mehr dazu übergeht, seinen Bürgern zu misstrauen, sich nicht wundern darf, wenn die Bürger beginnen, dem Staat zu misstrauen. Denn wenn trotz ausufernder Datensammlungen trotzdem Terroranschläge nicht zu verhindern sind, droht eine zunehmende Verunsicherung unter den Bürgerinnen und Bürgern, die sich und den Staat fragen: „Warum konnte dies trotz der umfassenden Datensammlungen und mächtigen Auswertungswerkzeuge nicht verhindert werden ?“ Schon jetzt beklagen Mitarbeiter von EUROPOL nach Medienberichten, dass die dortige Datenbank durch Meldungen der französischen Sicherheitsbehörden „geflutet“ werde. Man kann auch den Wald vor lauter Bäumen übersehen.

Falsch liegt de Maizière auch mit seiner Forderung, die Datenbestände von Polizei und Geheimdiensten müssten auf europäischer Ebene zusammengeführt werden. Das in Deutschland geltende Gebot der informationellen Trennung zwischen Polizei und Nachrichtendiensten hat zwar nicht allen EU-Mitgliedstaaten den gleichen Stellenwert. Eine deutsche Regierung darf sich aber nicht an seiner Aufweichung über den europäischen Umweg beteiligen. Natürlich muss die Zusammenarbeit zwischen Geheimdiensten untereinander und auch zwischen Polizei und Geheimdiensten bei konkreten Hinweisen auf Gefahren für die Gesellschaft intensiviert werden. Ein generelles präventives Zusammenführen der „Datentöpfe“ verbietet sich aber aus guten Gründen. Auch ein jetzt befürworteter erweiterter Zugriff aller Sicherheitsbehörden auf die Antiterrordatei scheidet aus. Schon bei dem im November 2015 in Kraft getretenen neuen Bundesverfassungsschutzgesetz ist mehr als zweifelhaft, ob es einer Überprüfung durch das Bundesverfassungsgericht standhalten würde.

Immerhin, in einem Punkt hat de Maizière Recht: Auch er erteilt dem aberwitzigen Vorschlag aus der eigenen Partei eine Absage, Gefährder mit elektronischen Fußfesseln auszustatten. Dann könnte man sie nämlich nicht mehr verdeckt beobachten, um Querverbindungen zu bisher unbekannten Personen aufzudecken.