Kurzer Hinweis zu der Nachricht des Deutschlandfunks, laut dem angeblich die #GroKo plant, "verschlüsselte Kommunikation über Smartphone-Messenger zu überwachen". Der Artikel wird überwiegend falsch so verstanden, als gehe es um einen Entschlüsselungszwang (#cryptowars"). Thread:
Der Bericht des Deutschlandfunk verweist auf einen Bericht in der FAZ, den ich nicht kenne. Aber online auf FAZ. NET gibt es mittlerweile einen weiteren Bericht (oder denselben?), der etwas deutlicher sagt, worum es geht: Um Quellen-TKÜ. faz.net/aktuell/politi…
Bei der Quellen-TKÜ "hackt" sich eine Sicherheitsbehörde auf das Endgerät des Nutzers, um darüber dessen Kommunikationsverhalten zu überwachen. Das Ziel ist also die Telekommunikationsüberwachung (TKÜ), die Umsetzung erfolgt aber auf dem Endgerät (Stichwort "#Bundestrojaner").
Bei der Quellen-TKÜ wird die Sicherheit der Übermittlungsstrecke - also insbesondere die dabei eingesetzte Verschlüsselung - nicht kompromitiert. Es gibt also keine "Backdoor" und keinen "Entschlüsselungszwang". (Probleme gibt es trotzdem, bei der Sicherheit des Endgeräts.)
Für einen "Backdoor-Zwang" oder dergleichen wäre das Bundespolizeigesetz auch der falsche Ort - so etwas würde man (wenn überhaupt) in das TKG aufnehmen, beziehungsweise in die Telekommunikations-Überwachungsverordnung (TKÜV).
(Caveat: Ich kenne zu dem Thema auch nur Medienberichte, vielleicht liege ich falsch. Hinweise aus der Timeline sind gerne willkommen.)
• • •
Missing some Tweet in this thread? You can try to
force a refresh
Wer (wie ich) früher in Aushilfsjobs in Handel und Produktion gearbeitet hat, weiß, dass der Führungsstil dort manchmal sehr rauh sein kann. Das spiegelt sich natürlich auch in der Art, wie und welche Daten die Führungskräfte über ihre Mitarbeiter einspeichern.
Aus Sicht der Datenschutzabteilung eines solchen Unternehmens heißt dies: Achtung, hier gibt es ein strukturelles Risiko, dass Führungskräfte personenbezogene Daten einspeichern, für die es keine Rechtsgrundlage gibt (nach Art. 6 und 9 DSGVO bzw. § 26 BDSG).
Der LfDI BW hat vorgestern eine Orientierungshilfe zum Umgang mit #SchremsII veröffentlicht. Ich bin wirklich dankbar für jedes belastbare Statement der Datenschutzbehörden, habe dazu aber ein paar kurze Anmerkungen (Thread).
Allgemein (nicht nur hier) würde ich mir wünschen, dass i.S. SchremsII mehr differenziert wird.
Der Fall, den der EuGH entschied, betraf Daten zum Privatleben von sehr vielen Personen und Fälle, in denen ein Zugriff von US-Sicherheitsbehörden durchaus wahrscheinlich ist.
Die typischen Fälle von Drittlandübermittlungen sind aber andere.
Das sind Fälle wie "unser 3rd level-Support sitzt in den USA, und manchmal muss er sich auf Produktivsysteme aufschalten".
Oder: "unsere zentrale Personalverwaltung sitzt in den USA".
Kurzer Hinweis dazu, wie eine (stärker) zentralisierte Datenschutzaufsicht in Deutschland aussehen könnte.
Es gibt dort eine interessante Parallele zum Rundfunk-, bzw. Medienrecht, die vielleicht nicht jedem Datenschutzjuristen bekannt ist. (Thread)
Die Aufsichtsbehörden für den privaten Rundfunk (sowie über weitere Akteure rund um Rundfunk- und Medienverbreitung, Stichwort #Medienstaatsvertrag) sind die Landesmedienanstalten. Dies sind staatsfern organisierte Landesbehörden mit speziellem Aufgabenbereich.
Genau wie auch beim Datenschutz stellte sich auch im Rundfunkrecht die Frage: Wie kann eine Aufsicht organisiert werden, die zwar aus sachlichen Gründen bundeseinheitlich erfolgen muss - der Rundfunk macht nicht an Landesgrenzen halt - aber trotzdem bei den Ländern bleiben soll?
Da sich in letzter Zeit zunehmend Statements von Datenschutzbehörden und Gerichten häufen, die zu Sachverhalten Stellung nehmen, die (auch) vom TK-Recht geprägt sind, hier einmal ein kurzer Abriss zu den Zusammenhängen und Unterschieden.
Das Telekommunikationsgeheimnis (bzw. auf EU-Ebene: das Recht auf Vertraulichkeit der Kommunikation) ist ein Rechtsgut, das im demselben Rang steht wie der Datenschutz und davon unabhängig ist. Historisch ist es älter, geht auf das Briefgeheimnis zurück. de.wikipedia.org/wiki/Briefgehe…
Heute sind die beiden Rechtsgüter jeweils eigenständig verankert.
1) Kann ein Unternehmen eine Auftragsverarbeitung im B2C-Bereich durchführen?
2) Falls ja: Geht dies auch dann noch, wenn die Privatperson im Bereich des Haushaltsausnahme handelt?
Umfragen unten:
1) Auftraggeber ist eine Privatperson, Auftragnehmer ein großes Unternehmen. Ist eine Auftragsverarbeitung möglich?
2) Nur antworten, falls Antwort auf Frage 1 "ist möglich" war: Auftragnehmer ist weiterhin ein großes Unternehmen. Auftraggeber ist eine Privatperson, die die Dienstleistung im Bereich der Haushaltsausnahme nutzt (Art. 2 Abs. 2 lit. c DSGVO). AV trotzdem noch möglich?
1) The validity, interpretation and enforcement of Standard Contractual Clauses (SCC)
2) The validity of the EU/US Privacy Shield
1) The first topic is the validity and interpretation of the SCCs.
With respect to the validity, the CJEU holds that the SCCs are valid. SCCs *can* be invalid if they do not provide "effective mechanisms" against inadequate data transfers. However, this is not the case here.