Was hat sich seit Inkrafttreten der DSGVO in Deutschland wirklich geändert?

Auch wenn es zunächst einmal banal klingt, viele Anforderungen des Datenschutzes sind keineswegs so neu, wie es für manche den Anschein hat. Wirklich neu sind vor allem folgende Punkte:

• erweitert und verbessert wurden die Rechte der Bürger auf Auskunft, Berichtigung, Einschränkung der Verarbeitung und Löschung,
• Betroffene haben nun das Recht auf Schadensersatz bei Verstößen gegen die DSGVO,
• die Sensibilität bei Bürgern ist deutlich höher, als noch vor wenigen Jahren,
• erstmals haben die Behörden mit den Bußgeldern und Strafvorschriften ein wirksames Mittel gegen Verstöße im Datenschutz in der Hand.

Nicht ganz so neu

sind dagegen, zumindest für Unternehmen in Deutschland, die Dokumentationspflichten. Die bestanden auch schon vor Inkrafttreten der DSGVO, wurden allerdings in vielen Fällen wirkungsvoll ignoriert. Hier muss gegebenenfalls nachgesteuert werden.

Datenschutz und Datensicherheit gehören zusammen

Ein wesentlicher Aspekt, das zeigen vor allem die Datenpannen der letzten Jahre, sind die zentralen Themen der Datensicherheit. Datenschutz kann ohne Datensicherheit nicht gewährleistet werden. Der Betrieb veralteter Software, schlecht oder gar nicht gewartete Internetauftritte oder menschliche Fehler können sich zu existenzbedrohenden Pannen ausweiten.

Kontinuität schafft Sicherheit

Datenschutz und Datensicherheit sind kein Einwegprojekt, das einmal aufgestellt und dann nie wieder angefasst wird. Unternehmen, die kontinuierlich an ihrer Datenschutz- und Sicherheitskonzeption arbeiten, Mitarbeiter regelmäßig schulen und Hard- und Software auf einem aktuellen Stand halten, sind deutlich weniger gefährdet, als Unternehmen, die ihre Hausaufgaben vernachlässigen. Werden die Aufgaben regelmäßig und kontinuierlich erledigt, bleiben die Kosten im überschaubaren Rahmen.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Überfordert uns der Datenschutz? erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Ein Thema, das in der Praxis allen Datenschutzbeauftragten, egal ob extern oder intern, immer wieder in vielfältiger Weise begegnet.

Neben den grundlegenden Rechtskenntnissen sollten Datenschutzbeauftragte über fundierte Grundlagen im Bereich der Datensicherheit verfügen. Der Blick auf die Gewährleistungsziele des Datenschutzes und der Datensicherheit macht deutlich, dass beide Themen miteinander verwoben, aber nicht identisch sind.

Ohne Datensicherheit ist Datenschutz nicht möglich

Die Gewährleistungsziele der Datensicherheit, Verfügbarkeit, Integrität und Vertraulichkeit, finden sich im Datenschutz wieder. Dort allerdings mit alleinigem Bezug zu personenbezogenen Daten. Gegenstand der Datensicherheit sind Daten allgemein, unabhängig, ob personenbezogen oder nicht. Datenschutz und Datensicherheit überschneiden sich also nur teilweise und können, in Einzelfällen, auch durchaus im Widerspruch zueinander stehen. Umgekehrt gilt aber auch, Mängel im Bereich der Datensicherheit schlagen in aller Regel auch auf den Datenschutz durch. Die aktuell nicht abreißenden Meldungen über Datenpannen im Gesundheitswesen machen dies schlaglichtartig deutlich. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit schlägt deshalb die Ausweitung des Gesetzes zum Schutz kritischer Infrastruktur auf Teile des Gesundheitswesens vor.

Datensicherheit im Standard-Datenschutzmodell der Datenschutzbeauftragten des Bundes und der Länder

In der nun vorliegenden Version des Standard-Datenschutzmodells (SDM) finden Verantwortliche elementare Hinweise zu den Gewährleistungszielen der Verfügbarkeit, Integrität und Vertraulichkeit. Verantwortliche sind gut beraten, die Praxishinweise des SDM im Unternehmen und in Behörden umzusetzen und dies entsprechend zu dokumentieren. Die Umsetzung des SDM kann einen Beitrag zur Verbesserung im Bereich der Datensicherheit leisten.

Insofern ist das SDM Teil eines iterativen Prozesses bestehend aus der rechtlichen Bewertung, der Gestaltung der Verarbeitungsvorgänge sowie der Auswahl und Umsetzung von begleitenden technischen und organisatorischen Maßnahmen. Das SDM bietet mit seinen Gewährleistungszielen eine Transformationshilfe zwischen Recht und Technik und unterstützt damit einen ständigen Dialog zwischen Beteiligten aus dem fachlichen, juristischen und technisch-organisatorischen Bereich. Dieser Prozess läuft während des gesamten Lebenszyklus einer Verarbeitung und kann somit die Forderung der DS-GVO nach regelmäßiger Bewertung und Evaluierung der technischen und organisatorischen Maßnahmen z. B. zur Gewährleistung der Sicherheit der Verarbeitung (Art. 32 Abs. 1 lit. d DS-GVO) unterstützen.

Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Das Standard-Datenschutzmodell, Version 2.0

Risiko = Schwere des möglichen Schadens + Eintrittswahrscheinlichkeit

Zwei Variablen bestimmen das mögliche Risiko für den Betroffenen, die Schwere des möglichen Schadens und die Wahrscheinlichkeit des Schadenseintritts. Je schwerer der mögliche Schaden für den Betroffenen wiegt, um so höhere Ansprüche sind an die technischen und organisatorischen Maßnahmen des Datenschutzes zu stellen. Ergibt die Analyse ein hohes Risiko, sollten umgehend Maßnahmen zur Verringerung der Eintrittswahrscheinlichkeit oder zur Minimierung der Verarbeitung, ggf. bis zum Verzicht auf die Verarbeitung, eingeleitet werden.

Mit speziellen Datenschutzaudits unterstützen wir Verantwortliche und interne DSB bei der Erfüllung ihrer Aufgaben.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutz und Datensicherheit erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Voraussetzungen

Die hier vorgestellte Lösung ist ideal für kleine und mittlere Unternehmen, die etwas für ihre Datensicherheit tun möchten und dabei eine DSGVO-konforme Lösung suchen. Die folgenden Voraussetzungen müssen dabei erfüllt sein:

• es soll ausreichend Speicherplatz zur Verfügung stehen
• mobile Geräte sollen einfach eingebunden werden können
• die Datensynchronisation soll auf Wunsch automatisch erfolgen
• es sollen zusätzliche collaborative Elemente wie Kalender und Aufgabenplaner zur Verfügung stehen
• der Serverstandort sollte in Deutschland oder der EU sein und nicht Drittlandgesetzen, wie beispielsweise dem amerikanischen Cloud Act, unterliegen
• die Lösung soll Gruppen und differenzierte Berechtigungen ermöglichen
• die Nutzung soll anwenderfreundlich gestaltet sein.

Die Mitarbeiter mitnehmen

Damit eine Lösung im Unternehmen funktionieren kann, muss sie Akzeptanz bei den Mitarbeitern finden. Sie muss einfach und intuitiv bedienbar sein und den Arbeitsalltag erleichtern. Werden diese simplen Prinzipien missachtet, ist häufig genug das Wachstum einer Schatten-IT innerhalb des Unternehmens die Folge.

DSGVO-konform und sicher

Damit eine Lösung als DSGVO-konform gelten kann, muss sie die im Standard-Datenschutzmodell der DSK genannten Gewährleistungsziele

• Datenminimierung
• Verfügbarkeit
• Integrität
• Vertraulichkeit
• Nichtverkettung
• Transparenz
• Intervenierbarkeit

unterstützen. Es gibt mittlerweile in der EU Angebote, die den Ansprüchen an eine rechtskonforme Cloudlösung genügen. Die Abrechnung der Lösungen richtet sich in der Regel nach dem verfügbaren Speicherplatz und der Anzahl der Benutzer, die die Cloud nutzen können. Bedauerlicherweise ist bei vielen Angeboten die Zahl der Nutzer begrenzt. Die hier vorgestellte Lösung ist prinzipiell weder bei der Zahl der Nutzer noch der Gruppen begrenzt, kann also mit der Unternehmensorganisation wachsen.

Dedizierter oder virtueller Server?

Der erste Schritt besteht in der Auswahl eines geeigneten dedizierten oder virtuellen Servers. Dabei sollte der erforderliche Speicherplatz eher großzügig kalkuliert werden, denn Umzüge einer solchen Lösung sind nun einmal mit Aufwand verbunden. Für kleinere und mittlere Unternehmen reichen gut ausgestattete virtuelle Server im Preissegment zwischen 10,- und 60,- Euro monatlich durchaus aus, größere Ansprüche erfordern eventuell einen entsprechend ausgestatteten dedizierten Server. Das Rechenzentrum, das den Server beherbergt, sollte nach ISO 27001 zertifiziert sein.

Nextcloud – mehr als nur Datensicherung

Die kurze Geschichte von Nextcloud, das als Fork 2016 bekannt gegeben wurde und seither von Frank Karlitschek und einem Team kontinuierlich fortgeführt wird, kann als Erfolgsgeschichte bezeichnet werden. 2018 hat das Informationstechnikzentrum Bund Nextcloud als Bundescloud-Lösung für 300.000 Mitarbeiter in Ministerien und Behörden frei gegeben. Nach Informationen arbeitet das ITZ gemeinsam mit Bundesamt für Sicherheit in der Informationstechnik daran, die Lösung für Verschlusssachen frei zu geben.

Mittlerweile arbeiten auch Behörden in Frankreich, Schweden und der Niederlande mit Nextcloud. Nextcloud ist freie Software und darf somit im Unternehmen auch kommerziell genutzt werden.

Datensicherung und Collaboration

Nextcloud bietet neben der reinen Datensicherung und Synchronisation von Rechnern und mobilen Devices eine Reihe kostenfreier Apps, beispielsweise Kalender oder Aufgabenplaner, an, die den Funktionsumfang erheblich erweitern. Der Zugriff auf den Nextcloud-Server erfolgt entweder über eine intuitive Weboberfläche, oder über WebDAV. Apps für Android und Apple-Smartphones können kostenfrei über die Stores bezogen werden.

Mit WebDAV können Windows-, MacOS- oder Linux Clients als Netzlaufwerke eingebunden werden. Mittels der kostenfrei verfügbaren Apps können Tablets und Smartphones eingebunden werden.

Die Einrichtung unterschiedlicher Gruppen ermöglicht ein ausdifferenziertes Rechte und Zugriffsmanagement. Alle Mitarbeiter bekommen nur die Daten, für die sie berechtigt sind.

Die Kosten-/Nutzenrechnung stimmt

Auch wenn die Einrichtung und Administration der Lösung Ressourcen in Anspruch nimmt, die Kosten- und Nutzenrechnung stimmt. Vor allem dann, wenn Unternehmen wachsen und neue Mitarbeiter und/oder Kunden integriert werden sollen.

Kunden einbeziehen

Unternehmen, die Ihren Kunden, Klienten oder Mandanten spezielle Dokumente und Informationen zur Verfügung stellen möchten, können über eine entsprechende Kundenverwaltung und passgenaue Differenzierung genau den Mehrwert bieten, der Sie vom Rest der Bewerber abhebt. Auch unseren Kunden, die wir als Datenschutzbeauftragte betreuen, bieten wir seit 2018 diesen Mehrwert.

Gerne beraten und helfen wir bei der Einführung und praktischen Umsetzung von Nextcloud in Ihrem Unternehmen.

Hier bekommen Sie Nextcloud. (Zur Unternehmensseite)

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Cloud? Aber sicher! erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

9,5 Mio Bußgeld gegen 1&1

Wie die Behörde mitteilt, wurde ein Bußgeld gegen das Unternehmen verhängt, weil Dritte, soweit sie in Kenntnis von Kundennamen und Geburtstag waren, telefonischen Zugriff auf dessen Kundendaten bekommen konnten. Diese unzureichende Absicherung führte in einem Fall dazu, dass Kundendaten an eine Stalkerin abflossen, die ihren Ex-Ehemann weiter bedrängen konnte.

Bußgeld blieb am unteren Rand der gesetzlichen Spanne

Laut Mitteilung des BfDI blieb das Bußgeld deshalb am unteren Ende der möglichen Spanne, weil 1&1 kooperationsbereit erste Abhilfe durch die weitere Abfrage zusätzlicher Kundendaten im telefonischen Support den aktuellen Schutz etwas verbesserte und zudem die Einführung eines neuen Identifikationsverfahrens im neuen Jahr versprach.

Hohes Bußgeld gegen kleines Unternehmen

Höher, gemessen am Umsatz, fiel mit 10.000 Euro das Bußgeld gegen den kleinen Telekommunikationsanbieter Rapidata aus, der trotz mehrmaliger Aufforderung keinen betrieblichen Datenschutzbeauftragten benannt hatte.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Behörden machen mit Bußgeldern ernst erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Einführung

In den letzten Jahren, nicht erst mit dem Inkrafttreten der Datenschutzgrundverordnung (DS-GVO), ist die Thematik des „Webtracking“, also des Verfolgens von Benutzern im Internet, auch über die Grenzen von Websites hinweg, ein Thema des öffentlichen Interesses geworden. Den wenigsten Besuchern von Websites dürfte geläufig sein, wie weitreichend heutzutage die Möglichkeiten der Nachverfolgung und Identifikation konkreter Internetuser websiteübergreifend sind. Was können, was dürfen Anbieter im Internet auf ihren Websites und Shops technisch realisieren?

Mit Inkrafttreten der DS-GVO haben sich vor allem zwei Aspekte geändert, einerseits wurden die Rechte von Betroffenen deutlich gestärkt, andererseits müssen Verantwortliche der Datenverarbeitung mit erheblichen Konsequenzen bei Verstößen gegen datenschutzrechtliche Bestimmungen rechnen. Nach unserem Eindruck ist die Sensibilität von Internetusern seit Mai 2018, dem Inkrafttreten der DS-GVO, noch einmal deutlich angestiegen.

Dass Themen, die sich um gesundheitliche Fragestellungen drehen, für die Betroffenen eine besondere Brisanz darstellen, sollte auch ohne einen Blick in die Gesetze jedem klar sein. Nach dem jüngsten Urteil des Europäischen Gerichtshofs vom 1.10.2019 (Planet49/Verbraucherzentrale – AZ C673/17), das sich mit der Frage beschäftigte, welche Voraussetzungen für eine rechtskonforme Erhebung von Daten im Internet seitens der Betreiber realisiert werden müssen, ist die Brisanz der Thematik nochmals deutlicher geworden.

Setting

In der Zeit vom 12.11.2019 bis zum 15.11.2019 wurden insgesamt 45 Websites zu Gesundheits-themen untersucht. Alle Websites rangierten bei der Suchmaschine DuckDuckGo zu den jeweiligen Suchworten auf den ersten beiden Seiten. Suchworte waren:

• Schwangerschaftsbeschwerden
• AIDS Praxis
• Alkoholentzugsklinik
• Magengeschwür
• Pflegeheim
• Pflegedienst
• Palliativmedizin
• Migräne
• Herointherapie

Die Auswahl der zu analysierenden Websites erfolgte nach dem Sichtprinzip, wobei insbesondere darauf geachtet wurde, nicht nur professionelle Medien aus dem Gesundheitswesen zu analysieren. Unterschiedliche Institutionen, von der Universitätsklinik, über einzelne Ärzte oder Ärzteverbünde, gemeinnützige Organisationen, Behörden, aber auch die erwähnten Medienunternehmen wurden zu den obigen Suchbegriffen auf den ersten Seiten gefunden. Die Studie ist nicht geeignet, repräsentative Zahlen für den gesamten Gesundheitsbereich zu liefern, wohl aber ermöglicht sie einen ersten Eindruck, wie weitgehend die datenschutzrechtlichen Grundlagen der DS-GVO und des BDSG (neu) sowie des Telemediengesetzes in Deutschland umgesetzt werden.

Kurzfassung

Alle untersuchten Websites wiesen zum Zeitpunkt der Analyse datenschutzrechtlich zu kritisierende Verarbeitungen auf. Die Mehrzahl der Websites hatten Drittanbieter eingebunden, Cookies und teilweise auch Einträge in den local storage gesetzt, ohne den Besucher adäquat zu informieren oder gar die Möglichkeit der Verhinderung durch den Besucher zu ermöglichen. Lediglich ein Unternehmen setzte dabei ein Consent-Tool ein, das technisch den Vorgaben des EuGH entspricht, bedauerlicherweise war auch hier eine Zustimmung vorangekreuzt und somit der Einsatz des Tools ebenfalls nicht konform nach dem Urteil des EuGH.

Gemessen an der inhaltlichen Brisanz der aufgerufenen Informationen kann das Analyseergebnis nur als datenschutzrechtlich problematisch bezeichnet werden. In fast allen untersuchten Fällen können Dritte durch die nicht-legitimierte Weitergabe von Informationen über Besucher der Websites Rückschlüsse auf private, gesundheitliche Informationen ziehen, die nicht in fremde Hände gehören.

Rechtliche Grundlagen

Wer eine Webseite betreibt, muss sich zwangsläufig auch mit dem Thema Datenschutz beschäftigen. Dabei geht es nicht (nur) um die Inhalte, die auf der Webseite veröffentlicht werden. Es geht vielmehr und natürlich vor allem mit Bezug auf die vorliegende Studie um die personenbezogenen Daten der Besucher der Webseite. Denn selbst wer seine Webseite in nacktem HTML geschrieben hat, muss seine HTML-Dokumente auf einem Webserver hinterlegen, der zwangsläufig die IP-Adressen der Clients (also personenbezogene Daten der Besucher) in irgendeiner Weise verarbeiten muss. Moderne Webseiten beschränken sich aber kaum auf reine HTML Inhalte. Vielmehr werden Techniken eingesetzt, die den Unzulänglichkeiten des wichtigen Protokolls HTTP, welches „zustandslos“ ist, begegnen sollen, so z.B. das Setzen und Auslesen von Cookies.

Der Anwendungsbereich der DSGVO ist also eröffnet. Als abstrakt generelle Regelung enthält die DSGVO freilich keine expliziten Erlaubnistatbestände für Cookies oder andere Trackingmethoden. Es ist aber mitunter schwierig, die allgemeinen Erlaubnistatbestände des Art. 6 DSGVO auf spezielle Einzelprobleme anzuwenden. Ein Gesetz, das sich speziell mit dem Datenschutz beim Betreiben von Webseiten befasst, wäre also wünschenswert. Die Betreiber von Webseiten warten jedoch bislang vergeblich auf die Verabschiedung der geplanten ePrivacy-Verordnung, die die DSGVO in diesem Punkt (etwas allgemeiner: im Bereich der elektronischen Kommunikation) bereichsspezifisch präzisieren, ergänzen und die alte Richtlinie RL 2002/58/EG ersetzen soll.¹

Solange eine besondere Regelung auf sich warten lässt, muss der Erlaubnistatbestand in der DSGVO gefunden werden.² Die deutschen Aufsichtsbehörden wenden Art. 6 Abs. 1 lit. f DSGVO an. Nach dieser Vorschrift dürfen personenbezogene Daten verarbeitet werden, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Für Sitzungscookies, die z.B. in einem Internet-Shop eine Warenkorbfunktionalität technisch ermöglichen, dürften die Voraussetzungen dieser Erlaubnisnorm unproblematisch vorliegen. Beim Tracking, das Internetnutzer „gläsern“ und verfolgbar machen soll, kann das nicht so einfach gelten. Die Aufsichtsbehörden fordern beim Einsatz solcher Technologien die Einholung einer Einwilligung der betroffenen Person. Diese Forderung dürfte zu pauschal erhoben sein, vielmehr muss eine Abwägung im Einzelfall erfolgen. Das ist keine leichte Aufgabe, sieht man sich nur die Vielzahl der unbestimmten Rechtsbegriffe an, mit denen Art. 6 Abs. 1 lit. f DSG VO hantiert.

Es kommt daher nicht von ungefähr, dass sich der EuGH mit eben solchen Fragestellungen zu beschäftigen hat, zumal dem EuGH als Hüter der Verträge die Auslegungskompetenz bezüglich europäischer Rechtsetzungsakte wie dem der DSGVO zusteht. Auf Vorlage des BGH³ erging eine wichtige Entscheidung des EuGH am 01.10.2019.⁴ Der EuGH stellt in dieser klar, dass Cookies, die nicht zwingend technisch erforderlich sind, die (aktive) Einwilligung der Nutzer voraussetzen. Ein „opt out“ ist nicht ausreichend, d.h. der Nutzer muss aktiv z.B. durch das Anklicken eines Kästchens in die Datenverarbeitung einwilligen.⁵ Das Ankreuzkästchen darf nicht vorausgewählt sein, denn das würde einem passiven Verhalten des Nutzers entsprechen und wäre damit nicht als Einwilligung zu werten. Dem Urteil des EuGH lässt sich indes nicht entnehmen, dass bei jedem Cookie eine Einwilligung vorliegen muss. Webseitenbetreiber werden daher sorgfältig zu den technisch notwendigen Cookies abzugrenzen haben, was im Einzelfall schwierig sein könnte. Dem normalen Rechtsanwender dürfte sich kaum erschließen, was der EuGH mit „hidden identifiers“ meint, die ohne Wissen der Nutzer in deren Endgeräte „eindringen“. Es gibt Spielraum für Auslegung und Diskussionen. Sicher aber ist: Die Regelungs- und Prüfdichte im Datenschutz steigt.

1 Ein aktualisierter Entwurf ist am 04.10.2019 von der finnischen Ratspräsidentschaft veröffentlicht worden. Dieser Entwurf soll in der zuständigen Ratsarbeitsgruppe diskutiert werden, um zu einem gemeinsamen Standpunkt der Mitgliedstaaten zu gelangen.

2 Dass § 15 Abs. 3 TMG keine Erlaubnisnorm in Bezug auf Tracking ist, dürfte mittlerweile herrschende Meinung in der Rechtswissenschaft sein. Praktische Unterschiede dürfte es ohnehin im Vergleich zur Anwendung des Art. 6 Abs. 1 lit. f DSGVO nicht geben.

3 BGH GRUR 2018, 96; Vorinstanz OLG Frankfurt a.M. v. 17.12.2015, Az. 6 U 30/15.

4 EuGH, Urt. v. 1.10.2019, Az. C-673/17, abgedruckt u.a. in NJW 2019, 3433 = MMR 2019, 732 m.Anm. Moos, Rothkegel.

5 Damit dürfte § 15 Abs. 3 TMG als nicht richtlinienkonform gelten, eine Anpassung durch den Gesetzgeber steht aus. Die sog. Cookie-Richtlinie (2009/136/EG) sieht ebenjene ausdrückliche Einwilligung vor.

Ergebnisse der Studie

SSL-Verschlüsselung

Zwei der untersuchten 45 Websites verfügten zum Zeitpunkt der Erfassung nicht über eine SSL-Verschlüsselung. Zwei weitere Websites verfügten zwar über die Möglichkeit der SSL-Verschlüsselung, hatten diese aber nicht als Standard voreingestellt. Die Abdeckung der untersuchten Websites mit SSL-Verschlüsselung, die als Standard voreingestellt wurde und beim Aufruf einer Seite ohne https zur sicheren Version umleitete, kann als gut bezeichnet werden. Zu diesem positiven Ergebnis mag neben einer gewachsenen Sensibilität auch die Tatsache, dass es mittlerweile kostenfreie Zertifikate gibt, beigetragen haben. In einem Fall war ein Webformular ohne SSL-Verschlüsselung eingebunden.

Cookies

Fast alle der untersuchten Websites setzen Cookies ein, insgesamt wurden von 45 Websites 851 Cookies gesetzt, davon waren 590 sogenannte „third-party-cookies“, also Cookies, die von Dritten ausgelesen werden können. Fünf von 45 Websites kamen gänzlich ohne das Setzen von Cookies aus, drei Unternehmen setzten jeweils mehr als 100 Cookies pro Website. Den Rest teilten sich die verbleibenden Unternehmen mit unterschiedlicher Intensität auf.

Die Mehrzahl der untersuchten Websites (62,22%=28 Websites) setzten 1 bis 10 Cookies ein. Der Spitzenwert lag bei 148 Cookies.

Wie aus der Verteilung sichtbar wird, setzen 40% der untersuchten Websites keine third-party-cookies ein, bei 42,22% waren es bis einschließlich 10 Cookies. Der Rest der untersuchten Websites lag teilweise deutlich über diesen Werten.

Cookie Popup

Obwohl nur fünf Unternehmen auf eine adäquate Information vor dem Setzen von Cookies verzichten konnten, wiesen nur 28 von 43 Unternehmen darauf hin, dass Sie Cookies auf der Website einsetzen. Lediglich ein Unternehmen setzte ein Consent-Tool mit weiteren Informationen und Auswahlmöglichkeiten ein. Bei den 28 Websites, die ein Cookie-Popup einsetzten, handelte es sich in fast allen Fällen um einen unspezifizierten Hinweis. In keinem der untersuchten Fälle bestand die Möglichkeit, dem Setzen von Cookies zu widersprechen und das Setzen wirkungsvoll zu verhindern. Die Anzeige des Cookie-Popup konnte in der Regel lediglich mit dem Klick auf „OK“ oder eine andere Form der „Einwilligung“ unterbunden werden.

Nicht einwilligungspflichtig sind hierbei nur Cookies, die der technischen Funktionsfähigkeit der Website und der Leistungserbringung dienen. Für alle anderen Cookies gilt, dass die informierte und freiwillige Einwilligung nach dem EuGH Urteil die einzige legitime Variante darstellt.

Local Storage („hidden identifiers“)

14 von 45 Unternehmen hatten insgesamt 171 Einträge in den local storage des Besuchers vorgenommen. Im Unterschied zu Cookies ist hier der Speicherplatz nicht begrenzt, so dass erheblich größere Datenmengen übermittelt werden können. Einträge in den local storage können unter Umständen dazu verwendet werden, Besucher zu verfolgen und Profilbildungen zu ermöglichen. Durch eine reine Sichtprüfung kann die konkrete Verwendung von Daten-speichervorgängen im local storage nicht bestimmt werden.

Consent-Tools

Obwohl schon eine Weile auf dem Markt, hat derzeit nur ein Anbieter ein echtes Conset-Tool eingebunden, das vor einem Eingriff in den Rechner des Users, diesen informiert und die freie Wahl der Zustimmung oder Ablehnung lässt. Nicht rechtskonform war dabei das vorangekreuzte Kästchen im Consent-Tool.

Einbindung von Drittanbietern

Lediglich drei von 45 Websites verzichteten auf die Einbindung von Drittanbietern. Die verbleibenden 42 Websites banden insgesamt 2769 sogenannte „third-party-requests“ in ihren Webauftritt ein. 20 Websites nutzten Google Fonts von externen Google Servern, 30 Websites banden andere CDNs in ihrem Auftritt ein.

Zwei der fünf Unternehmen, die keine Cookies einsetzten, banden Drittanbieter in ihr Webangebot ein. In beiden Fällen handelte es sich um die Einbindung von Google Fonts von den Google-Servern. Generell kann festgestellt werden, dass die Anzahl der Cookies mit der Anzahl der third-party-requests korreliert. Je mehr Cookies eingesetzt werden, um so höher ist auch die Anzahl der Einbindung von Drittanbietern auf der Website. Diese werden so zu (ungewollten?) Datenlieferanten vor allem für die großen Datensammler des Internets.

20 von 45 untersuchten Websites hatten unnötigerweise Google Fonts per Abruf von den Google Servern eingebunden und damit personenbezogene Daten an das amerikanische Unternehmen übermittelt.

8 von 45 Websites (17,7%) hatten facebook connect direkt eingebunden und damit direkt eine Datenübermittlung an Facebook angestoßen, die es Facebook ermöglicht, die Daten mit weiteren zu einem Profil zusammenzuführen.

Tracking

32 von 45 Websites nutzten Trackingtools externer Anbieter zur Analyse der Besucherströme auf der Website. Der weitaus größte Teil davon entfiel auf Google Analytics. Zwar wurde in den meisten Fällen in der Datenschutzerklärung auf die Nutzung von Analysetools hingewiesen, in keinem Fall jedoch hatte der Besucher die Möglichkeit, vor der Erfassung zu widersprechen und diese damit wirkungsvoll zu verhindern. Eine rechtskonforme Einwilligung wurde nicht eingeholt.

Fazit

Wer über Gesundheitsthemen informiert, vor allem über solche, bei denen erwartbar der Besucher der Website ein hohes Bedürfnis nach Schutz und Privatheit hat, sollte noch sensibler als andere Betreiber von Websites mit der Weitergabe von Informationen an Dritte umgehen. Diese Form der Rücksichtnahme konnten wir mit wenigen Ausnahmen nicht antreffen. Ein nicht geringer Teil der Betreiber der untersuchten Websites riskiert nicht nur Anfragen und Beschwerden der Besucher, sondern bei Bekanntwerden unter Umständen auch Anordnungen und Bußgelder der Behörden.

Langen und Baden-Baden, den 05.12.2019

Autoren der Studie:

Dr. jur. Wolfhard Steinmetz, Langen

Peter Dippold, Baden-Baden

Impressum:

Peter Dippold

Eichelgartenstr. 6

76530 Baden-Baden

info@dsb-baden-baden.de

Telefon: 07221 8589943

Urheberrechtlich geschützt. Nachdruck auch auszugsweise nur mit schriftlicher Genehmigung durch die Herausgeber.

Der Beitrag Studie: Tracking auf Websites im Gesundheitswesen erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.