Was ist Identitätsdiebstahl?

,

Von „Alexa“, dem Sprachassistenten, der alle Gespräche mithört, über neue Bewegungsprofile durch E-Scooter und zum Smart Home: Alle Lebensbereiche werden vollständig digitalisiert. Nichts geht mehr ohne die Verarbeitung von personenbezogenen Daten, um sich zu identifizieren oder zu bezahlen. Doch es gibt Schattenseiten: Identitätsmissbrauch. Neue Zahlen belegen, dass Verbraucher immer häufiger vom Missbrauch ihrer personenbezogenen Daten zur Begehung von Straftaten bedroht sind. Vielfach werden Identitäten für Betrugs- und Geldwäschedelikte, aber auch zur Erpressung (auch mit Privatfotos, sog. „Sextortion“) oder zum Cyber-Mobbing verwendet.

Bereits im Jahr 2016 ermittelte die Unternehmensberatung PwC, dass jeder dritte Deutsche schon einmal von einem Identitätsdiebstahl betroffen gewesen ist. Warenkreditbetrug sei die häufigste Masche. Mehr als ein Viertel der Geschädigten habe Rechnungen für Einkäufe erhalten, die sie nie getätigt haben. Von Konto-Abbuchungen, die nicht zuzuordnen waren, berichten mehr als 20 Prozent. Knapp 30 Prozent der Opfer haben durch diesen Identitätsdiebstahl einen finanziellen Schaden von durchschnittlich 1.366 Euro erlitten.[1]

Im Jahr 2017 wurden bereits 49% der deutschen Nutzer Opfer von Internetkriminalität, wie der bitkom Digitalverband erhoben hat.[2] „Rund jeder Fünfte gibt an, dass Zugangsdaten zu Online-Diensten wie Sozialen Netzwerken oder Online-Shops gestohlen (19 Prozent) oder persönliche Daten illegal genutzt (18 Prozent) wurden. Rund jeder Sechste (16 Prozent) ist beim Online-Shopping oder Online-Banking betrogen worden.“

Nach einer FORSA-Umfrage aus dem Jahr 2018 mit 2.040 Teilnehmern, gaben 12 Prozent der Befragten an, bereits Opfer von Identitätsmissbrauch gewesen zu sein. 10 Prozent der Befragten sei ein finanzieller Schaden durch Identitätsmissbrauch entstanden und 30% Prozent teilten mit, jemanden zu kennen, dessen Daten für Identitätsmissbrauch verwendet wurden.

Opfer von Identitätsmissbrauch werden meist kalt erwischt. Wer rechnet schon jeden Tag damit, dass ein Unbekannte im eigenen Namen im Internet auf Shopping-Tour gehen, Facebook-Konten hacken, um den eigenen Freunden gefährliche Links zu schicken oder in das Online-Bankkonto einbrechen? Nicht nur haben Opfer meist mit gravierenden rechtlichen und finanziellen Folgen zu kämpfen, z.B. Abwehr von unberechtigten Forderungen, die Wiederherstellung der Bonität oder technische Prävention weitere Schadensfälle. Die Opfer leiden meist unter der traumatischen Erfahrung, die Kontrolle darüber verloren zu haben, wer was über sie weiss und warum. Das Grundvertrauen in die Sicherheit der (mittlerweile lebensnotwendigen) Datenverarbeitung ist zudem nachhaltig erschüttert.

[1] PwC, https://www.pwc.de/de/handel-und-konsumguter/assets/cyber-security-identitaetsdiebstahl-2016.pdf

[2] Repräsentativen Befragung von 1.017 Internetnutzern ab 14 Jahren im Auftrag des Digitalverbands Bitkom, https://www.bitkom.org/Presse/Presseinformation/Cybercrime-Jeder-zweite-Internetnutzer-wurde-Opfer.html

/0 Kommentare/von

5 Gründe warum Fanpages nicht gelöscht werden müssen

Am 05.06.2018 hat der EuGH entschieden, dass Nutzer, die bei Facebook eine Fanpage betreiben, für diese datenschutzrechtlich eine Mitverantwortung tragen. In großer Panik haben viele Unternehmen ihre Fanpages gelöscht – das halte ich für überstürzt, denn:

  1. Wer einen Account oder Fanpage zu ausschließlich privaten und familären Zwecken nutzt, ist von der Datenschutz-Grundverordnung (DSGVO) nicht betroffen.
  2. Die Vorabentscheidung des EuGH klärt nur, wie weit der Begriff der „verantwortlichen Stelle“ auszulegen ist. Unmittelbare Auswirkung auf die Haftung von Fanpage-Betreibern hat das nicht.
  3. Der dem Verfahren zugrunde liegende Sachverhalt ist veraltet – längst hat Facebook Erläuterungen zur Datenverarbeitung mit Cookies in seiner Datenschutzrichtlinie nachgebessert. Über das Seitenimpressum der Page kann zudem eine externe Datenrichtline eingepflegt werden.
  4. Die Datenschutz-Grundverordnung sieht das Konstrukt der „Gemeinsamen Verantwortung“ gem. Art. 26 DSGVO vor. Facebook könnte auf die Nutzer im Geltungsbereich der DSGVO zugehen und die gemeinsame Verantwortung regeln, sodass klar ist, wer welche Pflichten hat und wie sich die Haftung für mögliche Datenschutzverstöße durch Facebook auf Fanpage-Betreiber auswirkt.
  5. Abzuwarten bleibt auch die endgültige Entscheidung des Bundesverwaltungsgerichts – erst diese unmittelbare Rechtswirkung für deutsche Fanpage-Betreiber haben.

Mehr dazu in meiner Urteilsanmerkung in der Legal Tribune Online vom 6.6.2018: 

https://www.lto.de/recht/hintergruende/h/eugh-c21016-facebook-fanpages-datenschutz-verantwortlichkeit/ 

/0 Kommentare/von

EuGH: Fanpage-Betreiber sind gemeinsam mit Facebook verantwortliche Stellen

Das Gericht begründet seine lange erwartete Entscheidung damit, dass Facebook Cookies setzt, um die Insights zu generieren. Diese Insights enthalten demografische Angaben und Informationen über die Interessen der Nutzer. Fanpage-Betreiber verwenden diese Informationen, um ihre Fanpages zielgruppengerecht anzupassen und Werbeschaltungen (Promotions) zu optimieren; daher seien sie gemeinsam mit Facebook für die Zwecke und Mittel der Datenverarbeitung verantwortlich. 

„Nach Auffassung des Unabhängigen Landeszentrums für Datenschutz wiesen nämlich weder die Wirtschaftsakademie noch Facebook die Besucher der Fanpage darauf hin, dass Facebook mittels Cookies sie betreffende personenbezogene Daten erhebt und diese Daten danach verarbeitet (…).

Sodann befindet der Gerichtshof, dass ein Betreiber wie die Wirtschaftsakademie als in der Union gemeinsam mit Facebook Ireland für die fragliche Datenverarbeitung verantwortlich anzusehen ist.

Ein solcher Betreiber ist nämlich durch die von ihm vorgenommene Parametrierung (u. a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten) an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt. Der Gerichtshof weist insoweit darauf hin, dass der Fanpage-Betreiber insbesondere demografische Daten über seine Zielgruppe – und damit die Verarbeitung dieser Daten – verlangen kann (u. a. Tendenzen in den Bereichen Alter, Geschlecht, Beziehungsstatus und berufliche Situation), Informationen über den Lebensstil und die Interessen seiner Zielgruppe (einschließlich Informationen über die Käufe und das Online-Kaufverhalten der Besucher seiner Seite sowie über die Kategorien von Waren oder Dienstleistungen, die sie am meisten interessieren) und geografische Daten, die ihn darüber informieren, wo spezielle Werbeaktionen durchzuführen oder Veranstaltungen zu organisieren sind und ihm ganz allgemein ermöglichen, sein Informationsangebot so zielgerichtet wie möglich zu gestalten.“ (PM EuGH)

Was bedeutet das für die Praxis?

Das Risiko, dass eine Datenschutzaufsichtsbehörde oder ein Abmahn-Anwalt gegen fehlende oder unzureichende Datenschutz-Informationen auf FB-Fanpages vorgehen werden, ist deutlich gestiegen. Gleichwohl informiert Facebook mittlerweile relativ umfangreich darüber, wie Cookies gesetzt bzw. personenbezogene Daten verarbeitet werden. Welche Anpassungen bei der Fanpage vorgenommen werden müssen, um diese legal zu betreiben, sollte daher genau geprüft und die Risiken abgewogen werden. Fanpage-Betreiber unterliegen nunmehr den Anforderungen der DSGVO.  Fanpage-Betreiber können im Seitenimpressum unter „Datenrichtlinie“ Datenschutz-Informationen gem. Art. 13 DSGVO darüber aufnehmen, wie personenbezogene Daten gemeinsam mit Facebook verarbeitet werden. Insbesondere Gewinnspiele und die hier erwähnten Insights sollten angesprochen werden.

 

/0 Kommentare/von

Seminar zur DSGVO

Es gibt viele Infos über die DSGVO – wer aber versucht, die Musterformulare in der Praxis umzusetzen, verliert schnell die Nerven. In diesem Seminar erkläre ich Schritt für Schritt, wie man Datenschutz in der Kanzlei tatsächlich umsetzt und anwendet. Anmeldung und weitere Informationen über Facebook:

/0 Kommentare/von

WhatsApp & Datenschutz in der Apotheke

„Jetzt über WhatsApp bestellen“ – Apotheken, die unbedarft und ohne ausdrückliche Einwilligung WhatsApp einsetzen, um von ihren Kunden Arzneimittelbestellungen entgegen zunehmen, handeln rechtswidrig. Nach Auffassung des Bayerischen Landesamtes für den Datenschutz erfüllen Apotheken dabei nicht ohne weiteres die Anforderungen an die technischen und organisatorischen Maßnahmen für Daten mit hohem Schutzbedarf. Das Bedürfnis der Apotheken als Verantwortliche ihren Kunden eine weit verbreitete und einfach anwendbare Kommunikationsmöglichkeit zu Verfügung zu stellen, erkennt das Landesamt jedoch an, wenn dies von Kunden ausdrücklich gewünscht und nachgefragt wird.

 

Aus diesem Grund könne WhatsApp aus der Sicht des Landesamtes beanstandungsfrei eingesetzt werden, wenn der Verantwortliche den Nutzer hinreichend auf die gegenwärtigen Datenschutzbedenken hinweise, eine informierte transparente Einwilligung einhole und dem Kunden parallel ein anderer sicherer Kommunikationsweg ohne Medienbruch angeboten werde, damit sich der Kunde frei für oder gegen eine WhatsApp-Kommunikation entscheiden könne. Weitere Hinweise zur Geltendmachung von Betroffenenrechten können die Erklärung abrunden.

Mit der Anwendbarkeit der Datenschutz-Grundverordnung ab dem 25. Mai wird es auch für Apotheken ernst: Gesundheitsdaten sind als „besondere Kategorie“ gem. Art. 9 DSGVO strengen Anforderungen an die Einwilligung und die Zweckbindung ausgesetzt. Neben der Pflicht zur Gewährleistung der Sicherheit der Datenverarbeitung (Art. 32 DSGVO) wird hier künftig das Erfordernis einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) zu beachten sein. Zur Vermeidung von Haftungsfällen nach Art. 82 DSGVO und Bußgeldverfahren ist eine frühzeitige Befassung mit dieser Problematik und eine datenschutzrechtlich zulässige Umsetzung anzuraten.

Mehr dazu: „Bedenken first – WhatsApp second Die digitale Arzneimittelvorbestellung sollte wohlüberlegt sein“, erschienen in der Januar-Ausgabe 2018 der Deutschen Apotheker Zeitung (DAZ): 

https://www.deutsche-apotheker-zeitung.de/daz-az/2018/daz-1-2018/bedenken-first-whatsapp-second  

Bildquelle: freestocks.org on Unsplash.

 

 

 

 

 

/0 Kommentare/von

Neu: Grundlagen des Datenschutzrechts für Verwaltungsbehörden in Bayern

„Das kann ich Ihnen nicht sagen, … wegen Datenschutz!“ ist ein Satz, den man kennt: Was ist das eigentlich dieser Datenschutz? Das jetzt von Herrn Regierungsrat Alexander Seidl und mir verfasste Werk richtet sich an Einsteiger in das Rechtsgebiet, Verwaltungsanwärter und -schüler sowie für behördliche Datenschutzbeauftragte konzipiert. Weiterlesen

/0 Kommentare/von

EuGH-Generalanwalt: Facebook-Fanpage-Betreiber ist (mit-)verantwortliche Stelle

Unternehmen können bei Facebook eigene Seiten, sogenannte Fanpages, betreiben, um für Ihre Produkte und Dienstleistungen zu werben. Ob die Nutzung von Fanpages eine datenschutzrechtliche Verantwortlichkeit nach sich zieht ist bislang nicht höchstgerichtlich entschieden worden. Im Kern geht es um die Auslegung der in Art. 2 lit. d EU-Datenschutzrichtlinie [und ebenso in Art. 4 Nr. 7 DSGVO] normierten Begriffsdefinition zur verantwortlichen Stelle:

„für die Verarbeitung Verantwortlicher“ [ist] die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet„.

In dem am EuGH rechtshängigen Vorlageverfahren, dessen Urteil in 2018 mit großer Spannung und Tragweite für Unternehmen erwartet wird, hat sich nun der Generalanwalt, Yves Bot, in seinen am 24.10.2017 veröffentlichten Schlussanträgen für die datenschutzrechtliche Mitverantwortung der Fanpage-Betreiber ausgesprochen:

Art. 2 Buchst. d [DSRL] ist dahin auszulegen, dass der Betreiber einer Fanpage eines sozialen Netzwerks wie Facebook ein für die Verarbeitung Verantwortlicher im Sinne dieser Bestimmung hinsichtlich der Phase der Verarbeitung von personenbezogenen Daten ist, die in derErhebung von Daten über die diese Seite besuchenden Personendurch dieses soziale Netzwerkim Hinblick auf die Erstellung von diese Seite betreffenden Besucherstatistiken besteht.

Es bleibt abzuwarten, ob und in welchem Umfang der EuGH den Schlussanträgen folgt. Sollte sich der EuGH zur Mitverantwortung der Fanpage-Betreiber bekennen, kommt eine Vielzahl an Pflichten und Compliance-Fragen auf Unternehmen zu, die vom Datenschutzbeauftragten, ggf. mit anwaltlicher Begleitung abgefangen werden müssen.

/0 Kommentare/von