Asymmetrische Informationsverteilung
Eine der größten Herausforderungen besteht nach Ansicht der Datenschützer in der sogenannten asymmetrischen Informationsverteilung und der damit potentiell einhergehenden eingeschränkten Selbstbestimmung. Da die Sensoren sehr klein sind und energiesparend betrieben werden können, seien sie nicht zwingend auf eine vorherige Nutzerinteraktion angewiesen. Die Datenerfassung könne daher theoretisch unbemerkt erfolgen. Ohne eine genaue Aufklärung über die konkreten Umstände der Erfassung und Verarbeitung erhobener Daten könne jedoch keine wirksame Einwilligung des Nutzers gewährleistet werden. Es stelle sich nach Ansicht der Datenschützer daher nicht zuletzt das praktische Problem, wie sachgerechte Informationstexte mit Hilfe sehr kleiner Geräte angezeigt und die Zustimmung des Nutzers eingeholt werden können. Es sei insoweit nicht auszuschließen, dass das Einwilligungskonzept im Kontext des ubiquitous computing an seine Grenzen stößt.
Risiko der Profilbildung
Zugleich ermöglicht die schiere Masse an durch die Sensoren erfassten Daten eine neue Qualität von Profilbildung. Aufgrund der immens angewachsenen Rechen- und Speicherkapazitäten können nunmehr große Mengen an Rohdaten aufbewahrt und auf Korrelationen und Muster untersucht werden (sog. big data Anwendungen). Dieser Aspekt stellt besondere Herausforderungen an den im Datenschutzrecht geltenden Grundsatz der Zweckbindung und an die Wahrung der Anonymität. Die Daten können zudem zum Beispiel aufgrund des Gesundheitsbezuges oder tiefer Einblicke in das Privatleben und die Wohnung den erhöhten Schutzanforderungen der besonderen Arten personenbezogener Daten unterliegen.
Und schließlich stellt die Interkonnektivität der Geräte auch neue Herausforderungen an die Sicherheit von Datenübertragungen und -speicherungen, dies gilt insbesondere dann, wenn die Geräte sicherheitsrelevante Funktionen wie Alarm- oder Schließsysteme übernehmen.
Vorgaben des Datenschutzrechtes anwendbar
Die Behörden warnen Entwickler konkret vor der leichtfertigen Annahme, die datenschutzrechtlichen Vorgaben seien nicht anwendbar, da schon keine personenbezogenen Daten vorlägen, nur weil die Daten lediglich im Kontext von Dingen erfasst würden. Tatsächlich seien die Daten stets anwenderbezogen und lägen höchstwahrscheinlich allenfalls in pseudonymer aber nicht in anonymer Form vor. Die Vorgaben des Datenschutzrechtes gälten daher in den meisten Fällen uneingeschränkt.
Entwickler sollten sich zudem bewusst sein, dass IoT-Anwendungen und diesbezügliche Verknüpfungen mehrerer Geräte zur parallelen Verantwortlichkeit mehrerer Anbieter führen können. In der Terminologie des Datenschutzrechtes werden die Anbieter nebeneinander zu verantwortlichen Stellen, soweit sie gemeinsam über die Mittel und Zwecke der Datenverarbeitung entscheiden.
Die neuen Anwendungsmöglichkeiten heben die geltenden Datenschutzgrundsätze nicht auf. Daher verbieten die Grundsätze der Zweckbindung und der Datensparsamkeit eine nicht sachgerechte Datenbevorratung. In der Folge müssen Datenflüsse und Verarbeitungsprozesse zum einen stets die konkrete Zielsetzung der Anwendung und zum anderen die Nutzererwartung im Blick haben. Sowohl heimliche als auch überbordende Verarbeitungsvorgänge sind unzulässig. Mit dem Urteil zum Recht auf Vergessenwerden hat der EuGH überdies die zeitliche Komponente der Zweckbindung betont und die Betroffenenrechte gestärkt. Dies gilt im Hinblick auf das IoT sowohl für den Anspruch auf Löschung, als auch für den vorangehenden Auskunftsanspruch. Die Behörden fordern daher, dass dem Nutzer insbesondere Auskunft über die Rohdaten und nicht nur über die aggregierten Verarbeitungsergebnisse und Accountdaten gewährt wird. Nur so könne der Nutzer von seiner informationellen Selbstbestimmung Gebrauch machen und in die Lage versetzt werden, die eigenen Daten nach Bedarf zu anderen Anbietern zu migrieren.
Empfehlungen
Die Behörden empfehlen grundsätzlich:
- Die eigenen Anwendungen frühzeitig Risikofolgenabschätzungen zu unterziehen und
- Die Prinzipien des Privacy by design und Privacy by default umzusetzen.
- Der Grundsatz der Datensparsamkeit sollte wenn möglich zu einem Verzicht auf die umfassende Erhebung von Rohdaten führen.
- Nutzer sollten stets in die Lage versetzt werden, selbst über die Verarbeitung ihrer Daten zu entscheiden.
- Die umfassende Information der Nutzer sollte so anwenderfreundlich wie möglich ausgestaltet sein und nicht versteckt werden.
Spezielle Empfehlungen für Entwickler
und Hersteller von Smart Devices:
- Jede Datenerhebung durch die Geräte muss für den Nutzer transparent und granular einstellbar sein.
- Hersteller müssen die Widerruflichkeit der Einwilligung gewährleisten.
- Device Fingerprinting sollte nur mittels zufälliger Zuordnungsmerkmale realisiert werden.
- Nutzer müssen in der Lage sein, die sie betreffenden Daten zu exportieren, um sie in anderen Anwendungen nutzen zu können.
- Datensicherheit spielt eine entscheidende Rolle. Über entdeckte Schwachstellen sollten Nutzer umgehend informiert werden.
- Entwickler von Geräten sollten das Prinzip des Security by Design umsetzen.
- Grundsätzlich sollten Rohdaten soweit möglich bereits auf dem Gerät verarbeitet werden, anstatt alle Daten zunächst an andere Stellen oder Server zu übermitteln.
- Da es denkbar ist, dass Smart Devices von mehreren Nutzern verwendet werden, sollten Nutzerprofile und effektive Löschungsoptionen vorhanden sein.
Spezielle Empfehlungen für App-Entwickler:
- App-Entwickler sollten ebenfalls größten Wert auf transparente Datenverarbeitung legen. Nutzer müssen insbesondere über die Erhebung der Daten und die Funktionsweise der App vorab genau informiert werden.
- Nutzer müssen in der Lage sein, ihre Betroffenenrechte effektiv auszuüben.
- Exportfunktionen für erhobene Daten und Nutzungsdaten sollten zur Verfügung stehen.
- Entwickler sollten genau beachten, inwiefern die verarbeiteten Daten unter den besonderen Schutz sensibler Datenkategorien fallen.
- Entwickler sollten den Grundsatz der Datensparsamkeit beachten.
Empfehlungen für Nutzer:
- Nutzer sollten die Reichweite einer abgegebenen Einwilligung beachten.
- Soweit Nutzer im Rahmen anderer Dienstleistungen (z.B im Rahmen von Hotelaufenthalten, in Mietwagen oder im Zusammenhang mit Angeboten der Krankenversicherungen) mit Smart Devices in Berührung kommen, sollten sie darauf achten, dass sie selbst Zugang zu den erhobenen Daten haben und ggf. die Löschung der Daten oder die Deaktivierung des Gerätes veranlassen können.
- Nutzer sollten Dritte über die Erhebung von Daten durch eigene Smart Devices (insbesondere bei der Nutzung von Wearables und Domotics) aufklären und stets die Betroffenenrechte von Dritten respektieren.
Individuelle Herausforderungen und Lösungen
Abschließend sei darauf hingewiesen, dass die Anregungen der Aufsichtsbehörden ernst genommen werden sollten, insbesondere da sich Veränderungen in der Intensität der Aufsichtstätigkeit erkennen lassen und nunmehr auch Entwickler damit rechnen müssen, dass Apps genauere Begutachtung erfahren. Rechtstexte und Datenschutzkonzepte lassen sich nicht kopieren, sondern alle Lösungen sollten individuell auf die Geräte, Anwendungen, Nutzergruppen und das konkrete Einsatzgebiet angepasst werden.
----
Fotocredit: Rainer Sturm | www.pixelio.de
Über die Autorin:
Mira Martz ist Volljuristin und war nach ihrem zweiten Staatsexamen
mehrere Jahre in der Unternehmenskommunikation tätig.
Bei der ISiCO Datenschutz GmbH verantwortet Mira Martz seit 2012
unter anderem die Presse- und Öffentlichkeitsarbeit.
www.isico-datenschutz.de
Empfehlungen der Art. 29 Gruppe für Nutzer,
App-Entwickler und Hersteller von Smart Devices.
Miniaturisierung, der Ausbau der Netzabdeckung und Cloud-Kapazitäten und nicht zuletzt die Erweiterung des Adressbereiches durch die Einführung von IPv6 haben eine omnipräsente Begleitung des Nutzers durch „Smart Devices“ ermöglicht. Die Kommunikation der „intelligenten Geräte“ untereinander, die auf eine möglichst nahtlose Verknüpfung von virtuellen und realen Umgebungen abzielt, wird als das Internet der Dinge (engl. Internet of Things, IoT) oder auch mit dem Stichwort „ubiquitous computing“ bezeichnet. Die nationalen Datenschutzbehörden Europas, die in der sog. Art. 29 Gruppe zusammengeschlossen sind, haben kürzlich Arbeitsthesen veröffentlicht. Diese sollen helfen, eine möglichst datenschutzkonforme Entwicklung der Smart Devices und den zugehörigen Anwendungen zu gewährleisten.
Sensibilisierung gegenüber Datenerfassung
Die Aufsichtsbehörden wollen mit ihrem Arbeitspapier insbesondere für die datenschutzrechtlichen Herausforderungen sensibilisieren, die mit der omnipräsenten und oftmals unbemerkten Datenerfassung durch unzählige Sensoren einhergehen. Auf technischer Ebene konzentriert sich das Arbeitspapier vor allem auf drei Kategorien der Smart Devices:
- „Wearables“ (d.h. tragbare Alltagsgegenstände, die mit technischen Zusatzfunktionen versehen sind, wie Kleidung mit Sensoren oder Kameras und SmartGlasses)
- „Quantified Self Sensoren“ (dies sind Gegenstände, die dazu dienen, den Nutzer bei der Erfassung von eigenen Gesundheitsdaten, wie Fitnesswerten oder dem Kalorienverbrauch oder des eigenen Verhaltens zu unterstützen, wie sie zum Beispiel in Form von Schlafrhythmus-Apps oder Fitness-Armbändern bereits weit verbreitet sind) und
- „Domotics“ (d.h. sensorgestützte Haushaltsgegenstände wie Thermostate, Stromzähler oder klassische Küchengeräten, die über das Internet oder durch andere Nutzeraktionen wie zum Beispiel Bewegungsmelder angesteuert werden können)
