ULD veröffentlicht Positionspapier zu den Folgen der Safe-Harbor Entscheidung des EuGH

Das ULD hat in einem ersten Positionspapier die wesentlichen Folgen des EuGH-Urteils für Unternehmen und öffentliche Stellen  zusammengefasst.

Ohne das Datenschutzniveau in den Vereinigten Staaten von Amerika konkret selbst zu bewerten, habe der EuGH mit diesem Grundsatzurteil hohe Maßstäbe für jedwede Datenübermittlung in Staaten außerhalb der Europäischen Union und Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum aufgestellt. In dem Urteil würde deutlich, dass die Safe-Harbor-Entscheidung aus dem Jahr 2000 diesen Maßstäben nicht gerecht werde: Weder habe die Europäische Kommission bei dieser Entscheidung das Datenschutzniveau in den USA ausreichend mit Blick auf die dortige Rechtslage geprüft, noch enthalte die Safe-Harbor-Entscheidung die erforderlichen Schutzmöglichkeiten für europäische Bürgerinnen und Bürger.

Das Urteil des EuGH habe daher über „Safe Harbor“ hinaus Folgen für andere rechtliche Instrumente, die bisher zur Rechtfertigung einer Datenübermittlung in die Vereinigten Staaten herangezogen wurden. Die vom EuGH aufgestellten Grundsätze bezüglich des notwendigen Schutzniveaus machten auch eine Neubewertung solcher Übermittlungen nötig, die auf einer Einwilligung beruhen oder auf Grundlage von Standardvertragsklauseln durchgeführt werden.

Mit Blick auf die hohen Anforderungen, die der EuGH in seinem Urteil aufgestellt habe, könne eine dauerhafte Lösung nur in einer wesentlichen Änderung im US-amerikanischen Recht liegen. Unternehmen, die personenbezogene Daten in die USA übermitteln, sollten ihre Verfahren schnellstmöglich überprüfen und Alternativen für eine Verarbeitung personenbezogener Daten in den USA erwägen. Dies gilt nicht nur für solche Übermittlungen, die sich bisher auf die Safe-Harbor-Grundsätze gestützt haben, sondern für sämtliche Übermittlungen in die USA.

Das ULD hat daher in einem ersten Positionspapier die wesentlichen Folgen des EuGH-Urteils für Unternehmen und öffentliche Stellen in Schleswig-Holstein zusammengefasst. Das Positionspapier kann abgerufen werden unter:

https://www.datenschutzzentrum.de/artikel/967-.html

 

 

Einsatz von Facebook Custom Audiences – rechtswidrig?

Unternehmen, die Facebook Custom Audiences einsetzen, riskieren nach Auffassung des Bayerischen Landesamtes für Datenschutzaufsicht die Eröffnung eines Bußgeldverfahrens.

Das Bayerische Landesamt hat in seinem kürzlich veröffentlichen Tätigkeitsbericht 2013/2014 die Ansicht vertreten, dass der Einsatz von „Facebook Custom Audiences“ rechtswidrig sei. Bei „Facebook Custom Audiences“  werden personenbezogene Datensätze, die als Identifier eine E-Mail-Adresse oder eine Telefonnummer besitzen, von Unternehmen anonymisiert (verhasht) und an Facebook übertragen. Facebook vergleicht diese Hashwerte der übermittelten Daten mit eigenen Hashwerten, die im Rahmen der Facebook-Nutzung erhoben wurden. Hierdurch kann Facebook eigene Facebook-Nutzer mit denen der Kunden abgleichen und diese identifizieren.

Beim Einsatz dieser Technologie wird für die Verschlüsselung das bekannte MD5-Verfahren verwendet. Nach Auffassung reicht dieses Verfahren für die Verschlüsselungszwecke nicht aus. Nach Ansicht des Bayerischen Landesamtes könne tatsächlich eine sog. „Brute-Force-Attacke“ dadurch deutlich beschleunigt werden, wenn ursprüngliche Klartexteigenschaften der MD5-gehashten Werte berücksichtigt werden. Wörtlich heißt es in dem Tätigkeitsbericht:

„E-Mail-Adressen bestehen oftmals aus Vornamen, Nachnamen, Punkten und Zahlen und sind dabei aufgrund einer statistischen Verteilung häufig bei wenigen E-Mail-Providern zu finden. Diese Annahme zugrunde gelegt, gehen wir bei einer – sehr vorsichtigen – Schätzung davon aus, dass mindestens 70 – 80 %  aller Hashwerte, die aus E-Mail-Adressen bestehen, von handelsüblichen PCs ohne größeren Aufwand „zurückgerechnet“ werden können“.

Facebook könne deshalb nach Ansicht des Bayerischen Landesamtes ohne wesentlichen Aufwand einen Hashwert bei der überwiegenden Zahl der Fälle zurückrechnen, wodurch auch nicht-Facebook-Nutzer betroffen sein können. Es komme deshalb trotz der vermeintlichen Anonymisierung zu einer Verarbeitung von personenbezogenen Daten die somit eine Einwilligung der betroffenen Personen bedürfe, deren Daten im Rahmen der „Custom Audiences“ an Facebook übermittelt werden. Da diese im Allgemeinen nicht vorliegen dürfte, sei von der Nutzung von „Facebook Custom Audiences“ abzuraten. Tatsächlich könne der Einsatz der „Custom Audiences“ ohne Einwilligung der Nutzer sogar eine Ordnungswidrigkeit darstellen, die mit Bußgeldern sanktioniert werden kann.

EuGH erklärt Safe Harbor-Abkommen für ungültig

Der Europäische Gerichtshof (EuGH) hat am 6.10.2015 in einem mit Spannung erwarteten Urteil das Safe Harbor-Abkommen für ungültig erklärt.

Eine Übermittlung von personenbezogenen Daten an eine Stelle außerhalb der EU bzw. des EWR ist grundsätzlich nur dann erlaubt, wenn in diesem außereuropäischen Staat ein ausreichendes Datenschutzniveau besteht. Für Übermittlungen in die USA wurde häufig Rückgriff auf das Safe Harbor-Abkommen genommen. Dies ist eine Entscheidung der EU-Kommission (2000/520/EG), die festgestellt hat, dass ein ausreichendes Schutzniveau besteht bei einer Datenübermittlung an US-Unternehmen, die der Kontrolle des US-Handelsministeriums unterliegen, die Grundsätze des Safe Harbor anerkennen und sich entsprechend zertifizieren. Dementsprechend haben sich viele große US-Unternehmen diesen Regelungen unterworfen und sich entsprechend zertifiziert.

(mehr …)