Tag Archives: Smartphone

Neues Asylgesetz: Warum das Auslesen von Smartphones ein schwerer Grundrechtseingriff ist

Immer häufiger wird darüber berichtet, dass Behörden Einblick in elektronische Gerätschaften und die darauf gespeicherten Daten nehmen wollen. Dies betrifft zum einen Strafverfahren, aber zunehmend auch andere Bereiche, etwa die Kontrolle von Reisenden durch US-Grenzbehörden oder – jüngstes Beispiel – die Bearbeitung von Asylanträgen und die Durchsetzung der Ausreisepflicht abgelehnter Asylbewerber.

Das Bundeskabinett hat am  20. Februar 2017  den Entwurf eines „Gesetzes zur besseren Durchsetzung der Ausreisepflicht“ beschlossen. Neben anderen Maßnahmen enthält es eine Regelung, die den Asylbewerber dazu verpflichtet,

„ …im Falle des Nichtbesitzes eines gültigen Passes oder Passersatzes an der Beschaffung eines Identitätspapiers mitzuwirken und auf Verlangen alle Datenträger, die für die Feststellung seiner Identität und Staatsangehörigkeit von Bedeutung sein können und in deren Besitz er ist, den mit der Ausführung dieses Gesetzes betrauten Behörden vorzulegen, auszuhändigen und zu überlassen“ (§ 15 Abs. 2 Nr. 6 Asylgesetz).

Die Neuregelung wird wie folgt begründet:

„Die Identitätsprüfung ist bei Personen ohne Ausweisdokumente oft langwierig und fehleranfällig. Um die Identitätsprüfung zu erleichtern, kann die Auswertung von Datenträgern, wie Mobiltelefonen, Tablets und Laptops, wichtige Erkenntnisse liefern. Entsprechende Hinweise lassen sich in zunehmendem Maße nicht nur Mobiltelefonen, sondern auch anderen Datenträgern, die die Betreffenden mit sich führen, entnehmen. So können etwa die Adressdaten in dem Mobiltelefon eines ausreisepflichtigen Ausländers beziehungsweise gespeicherte Verbindungsdaten aufgrund der Auslandsvorwahl wesentliche Hinweise auf eine mögliche Staatsangehörigkeit geben.“

Das Bundesverfassungsgericht hatte bereits in seiner Entscheidung zur „Online-Durchsuchung“ am 22. Februar 2008 (1 BvR 370/07) festgestellt, dass die Nutzung informationstechnischer Systeme für die Persönlichkeitsentfaltung vieler Bürger von zentraler Bedeutung ist und zugleich neuartige Gefährdungen der Persönlichkeit mit sich bringt:

„Eine Überwachung der Nutzung solcher Systeme und eine Auswertung der auf den Speichermedien befindlichen Daten können weit reichende Rückschlüsse auf die Persönlichkeit des Nutzers bis hin zu einer Profilbildung ermöglichen. Hieraus folgt ein grundrechtlich erhebliches Schutzbedürfnis.“

Dieses Schutzbedürfnis ist vergleichbar mit dem durch Art. 10 Grundgesetz geschützten Fernmeldegeheimnis und der durch Art. 13 Grundgesetz garantierten Unverletzlichkeit der Wohnung. Um dem Rechnung zu tragen, hat das Gericht aus dem allgemeinen Persönlichkeitsrecht ein Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme abgeleitet, das so genannte „Computergrundrecht“. Weitere Grundrechtspositionen, die ihr zu beachten sind, ergeben sich aus dem Datenschutz (Grundrecht auf informationelle Selbstbestimmung) und dem Schutz des Kernbereichs der privaten Lebensgestaltung.

Wenn man bedenkt, dass  seit dieser Entscheidung neun Jahre vergangen sind, in denen sich die Informationstechnik dramatisch weiterentwickelt hat, hat die Bedeutung des Schutzes der  technisch generierten und gespeicherten Informationen dramatisch zugenommen. Dies gilt insbesondere für die seinerzeit kaum verbreiteten Smartphones, die inzwischen verschiedenste Funktionen in sich vereinen und die über nahezu unerschöpfliche direkte oder indirekte (Cloud) Speichermöglichkeiten verfügen.

Behörden oder sonstige Stellen, die Einsicht in Smartphones, Laptops und Tablet Computer nehmen, verschaffen sich damit Zugang zum gesamten digitalen Abbild des Lebens der Nutzer.  Im konkreten  Anwendungsfall – im Asylverfahren –  ist damit zu rechnen, dass auf Smartphones und Tablet Computern eine Vielzahl höchst sensibler Informationen gespeichert sind,  welche die Erlebnisse, Kontakte und Gefühle der  Asylbewerber offen legen, genauso wie vielfältige . Zudem befinden sich darauf vielfach  Informationen über anwaltliche Beratungen, die Konsultation von Hilfseinrichtungen für Traumatisierte, zu Menschenrechtsorganisationen oder Flüchtlingsinitiativen.

Das Bundesamt für Migration darf den Zugriff auf die informationstechnischen Systeme nicht nur dann verlangen, wenn dies für die Identitätsfeststellung unabdingbar ist. Die Verpflichtung zur Aushändigung greift immer schon  dann, wenn sich der zuständige Sachbearbeiter davon nützliche Erkenntnisse“ über den Asylbewerber verspricht, weil sie „für die Feststellung seiner Identität und Staatsangehörigkeit von Bedeutung sein können“.

Zwar soll die Auswertung der Daten gemäß dem neuen § 15a Asylgesetz „nur zulässig (sein), soweit dies für die Feststellung der Identität und Staatsangehörigkeit des Ausländers … erforderlich ist und der Zweck der Maßnahme nicht durch mildere Mittel erreicht werden kann.“ Im Hinblick auf das von der Neuregelung verfolgte Ziel ist zu erwarten, dass die Datenauswertung stets dann erfolgt, wenn von dem Asylbewerber kein nachweislich echtes Identitätspapier  vorgelegt werden kann oder Zweifel an der Echtheit der vorgelegten Pässe oder Ausweise bestehen. Dies betrifft mehrere 100.000 Flüchtlinge, die in den letzten Jahren nach Deutschland gekommen sind.

Auch inhaltlich  wird die Auswertung der Datenträger nicht wirksam begrenzt. Prinzipiell kann jedes auf einem Smartphone gespeicherte Datum die Identitätsfststellung erleichtern: Nicht nur Kontaktlisten, das Surfverhalten im Internet, Standortdaten und Verbindungsdaten der Telekommunikation oder die Spracheinstellungen dürfen ausgewertet werden. Auch die Inhalte von E-Mails, Kurz- und Sprachnachrichten oder sonstigen Dokumenten und Fotografien fallen unter die neue Regelung. Mit anderen Worten: Die Neuregelung ermöglicht einen umfassenden Einblick in das Leben der Betroffenen.

Nach der Gesetzesbegründung soll dem vom Bundesverfassungsgericht geforderten absoluten Schutz des Kernbereichs der Privatsphäre dadurch Rechnung getragen werden, dass bei Vorliegen tatsächlicher Anhaltspunkte, dass „allein Erkenntnisse aus dem Kernbereich privater Lebensgestaltung erlangt würden“,  die Auswertung zu unterbleiben habe. Diese Formel ist nichts anderes als weiße Salbe. Welchem Datenträger sieht man schon an, dass er allein solche höchst privaten Informationen enthält?

Auch wenn der nun von der Bundesregierung beschlossene Zugang zu elektronischen Gerätschaften – anders als bei der Online-Durchsuchung – offen, also in Kenntnis des Betroffenen erfolgen soll, handelt es sich doch um einen schwerwiegenden Eingriff in Grundrechte. Ein solcher Grundrechtseingriff darf gesetzlich nur angeordnet werden, wenn die Verhältnismäßigkeit der Mittel gewahrt bleibt und entsprechende verfahrensmäßigen Sicherungen, etwa eine gerichtliche Anordnung und entsprechende technisch-organisatorische Maßnahmen, gewährleistet sind.

Alle diese Voraussetzungen fehlen bei dem von der Bundesregierung beschlossenen Gesetzentwurf.

Wearables und Gesundheits-Apps: Gesünder ohne Datenschutz?

Von Peter Schaar

Den folgenden Beitrag habe ich anlässlich der Veranstaltung des BMJV und des BITKOM e.V. zum Safer Internet Day am 9. Februar 2016 verfasst, die sich unter dem Titel „Am Puls der Zeit? Wearables und Gesundheits-Apps“ mit Datenschutzfragen beschäftigt, die durch digitale Fitnessmesser aufgeworfen werden.

Die digitale GSmartphoneesundheitswelle, die aus dem Silicon Valley auch nach Europa schwappt, unterspült manchen Deich, den die EU zum Schutz der Privatsphäre ihrer Bürgerinnen und Bürger um den europäischen Binnenmarkt errichtet hat. Und sie konfrontiert uns einmal mehr mit der Frage, ob derartige Schutzanlagen angesichts umfassender Digitalisierung noch zeitgemäß sind.

Besonders hip sind Fitness-Armbänder und andere Gadgets, die Schritte zählen, zurückgelegte Wege messen, Puls und Schlafgewohnheiten aufzeichnen. Die Datenauswertung übernehmen sog. Gesundheitsapps, die auf dem Smartphone oder Tablet-Computer installiert werden.

Nun kann man darüber streiten, ob diese Systeme der Gesundheit wirklich dienen und ob die individuelle digitale „Selbstoptimierung“ tatsächlich so viel bringt, wie es die Anbieter versprechen. Auch ich habe da meine Zweifel – schließlich habe ich hier einen Selbstversuch unternommen und einige Monate lang ein Fitnessarmband ausprobiert, leider ohne erkennbaren Erfolg. Aber wahrscheinlich mangelt es mir einfach an Selbstdisziplin.

Was geschieht mit den Fitness-Daten?

Unabhängig vom gesundheitlichen Aspekt stellt sich die Frage, was mit den Daten geschieht, die in immer größerer Zahl anfallen, wenn alle möglichen Vitalfunktionen digital gemessen werden. In den meisten Fällen bleiben diese Daten, die immer detaillierter Auskunft über die Gesundheit der Nutzer geben, nicht in den Fitnessarmbändern, Smartwatches, Smartphones und Tablet-Computern, sondern sie wandern in die Cloud, wo sie von den Anbietern ausgewertet werden. Daher kommen auch die Ratschläge zur Selbstoptimierung – angeblich zum einzelnen Nutzer passende Tipps für besseren Schlaf, gesündere Ernährung oder sonstiges Verhalten. Meist kommen – wie bei den Amazon-Vorschlagslisten für geeigneten Lesestoff – Big Data-Verfahren zum Einsatz, bei denen die individuellen Messergebnisse mit den riesigen Mengen insgesamt erhobener Daten aller Nutzer verknüpft werden, um so bestimmte Verhaltensmuster zu erkennen.

Diese Personalisierten Tipps bilden allerdings nur die sprichwörtliche Spitze eines Eisbergs der Informationsverarbeitung. Was mit den Daten sonst noch in der Cloud passiert, ist für die Nutzer praktisch undurchschaubar. Auch ein Blick in die Nutzungsbedingungen und „Datenschutzerklärungen“ hilft da vielfach kaum, denn häufig wird die Datenverwendung nur sehr kryptisch oder allgemein beschrieben, so dass niemand wirklich etwas damit anfangen kann. Bisweilen erfährt der verwunderte Nutzer immerhin, dass er mit dem Kauf und der Verwendung eines Fitnessarmbands alle Nutzungsrechte der Daten an den Anbieter abgetreten hat und dass er darin einwilligt, die Daten überall in der Welt – auch in Staaten ohne jeglichen Datenschutz – zu verarbeiten. Deshalb sei jedem ein Blick in diese Erklärungen empfohlen, ehe er oder sie den Anbietern die durchaus sensiblen Gesundheitsdaten anvertraut.

Schlafgewohnheiten – auch für Freunde und Chefs interessant?

Problematisch ist auch, dass vielfach eine Anmeldung bei dem jeweiligen Dienst unter dem „Realnamen“ erforderlich ist und dass nicht etwa – wie im deutschen Telemediengesetz ausdrücklich gefordert – die Verwendung eines Pseudonyms ausreicht. Automatisch werden dann bisweilen die E-Mail-Adresse und andere Identifikationsmerkmale mit Social Network-Accounts abgeglichen und die eigenen Werte automatisch mit „Freunden“ oder „Followern“ geteilt. Nicht jedem Nutzer ist bewusst, dass dieses Sharing im Hintergrund stattfindet und so auch Arbeitskollegen, Nachbarn oder andere von Aufenthaltsorten, Fitnessübungen und Schlafgewohnheiten erfahren. Und nicht jedem ist es recht, nach der Genesung vom Chef darauf angesprochen zu werden, wie denn der lange, anstrengende Spaziergang mit der (angeblichen) ernsten Krankheit zu vereinbaren war, für die man krankgeschrieben war.

Schließlich sind die so gewonnenen Daten von erheblichem wirtschaftlichen Wert: Nicht nur für Sportartikelhersteller, sondern auch für Pharmaunternehmen, Versicherungen und Auskunfteien. Welche Unternehmen die Informationen erhalte, wie sie mit den Daten umgehen und für welche Zwecke sie die Daten nutzen, bleibt dem Nutzer regelmäßig verborgen.

Gesundheit ist kein Vorwand für Persönlichkeitsprofile

Um auf den Datenschutz zurückzukommen: Natürlich ist nichts dagegen einzuwenden, wenn Menschen anstreben, sich gesünder zu ernähren oder mehr zu bewegen und dass sie sich dabei elektronischer Hilfsmittel bedienen, die ihnen vielleicht helfen, ihre Vorsätze umzusetzen. Nicht in Ordnung ist es aber, wenn Unternehmen die Hard- und Software dazu verwenden, hinter dem Rücken der Betroffenen an deren höchstpersönliche Daten zu gelangen, sie zu Profilen zusammenzuführen und ggf. zu verkaufen.

Schon heute sind für den Umgang mit persönlichen Daten gesetzliche Vorgaben zu beachten, insbesondere das Bundesdatenschutzgesetz. Manche Gesundheits-App-Anbieter meinen, nicht an diese Vorgaben gebunden zu sein, weil sie ihre Dienste aus dem Ausland oder aus Übersee anbieten. Das neue EU-weite Datenschutzrecht stellt sicher, dass zukünftig überall im Europäischen Wirtschaftsraum dieselben Datenschutzregeln gelten. Höchstpersönliche Gesundheitsdaten dürfen nur mit ausdrücklicher Einwilligung der Betroffenen erhoben und nur zu genau festgelegten Zwecken verwendet werden. Diese Regeln gelten für alle Unternehmen, die in Europa ihre Dienste anbieten, egal wo die Datenverarbeitung stattfindet. Wer sich nicht daran hält, muss empfindliche Bußgelder – bis zu 4% des Weltjahresumsatzes – fürchten.

Gerade bei Gesundheitsdaten ist Datenschutz ein Wettbewerbsvorteil

Gesundheitsdaten zählen zu den sensibelsten Informationen überhaupt. Nachhaltiger wirtschaftlicher Erfolg wird In diesem Bereich nur jenen digitalen Geschäftsmodellen beschieden sein, die dies berücksichtigen. Deutsche und europäische Anbieter von Fitness-Apps haben die Chance, durch vorbildlichen Umgang mit den ihnen anvertrauten Daten einen Vertrauensvorsprung zu gewinnen. Gerade hier besteht die Chance, dass guter Datenschutz zu einem Wettbewerbsvorteil wird.

Unabhängig davon sei aber jedem Nutzer geraten, Fitness-Apps umsichtig zu verwenden. Ansonsten läuft man Gefahr, sich später über den laxen Umgang mit sensiblen Daten krank zu ärgern.