Die neue Orientierungshilfe zu den Datenschutzanforderungen an App-Entwickler und Anbieter - Ein erster Überblick

Transkript

1 Fachkundig beraten Die neue Orientierungshilfe zu den Datenschutzanforderungen an App-Entwickler und Anbieter - Ein erster Überblick Dr. Christiane Bierekoven, Rechtsanwältin, Fachanwältin für IT-Recht It-sa 2014 Nürnberg

2 Eingangsstatement To heal we must know, to know we must share (Dave Eggers, The Circle, S. 150) 2

3 Apps, nicht nur als Fitness-Coach sondern als Pollen-Prüfer, Fress-Feind, Hausarzt- Telecall, Pillen-Prüfer, Patienten-Kladde, Geh-Hilfe, Leib-Wächter, könnten unser Leben künftig bestimmen. (Wirtschaftswoche, Heft 37, S. 32 II.) 3

4 ABER: Erneute App-Prüfung zeigt weiterhin erhebliche Mängel beim Datenschutz, hinsichtlich der bayerischen Apps ist die Festsetzung von Bußgeldern geplant, (Pressemitteilung des Bayerischen Landesamtes für Datenschutzaufsicht vom ) Anlass: International Sweep Day 2014 vom Mai 2014 Fazit: Datenschutz ist ein wesentlicher Erfolgsfaktor zur Erschließung des Milliardenmarktes der digitalen Medizin und des Vertriebs von Apps insgesamt. 4

5 Agenda 01 Zielgruppe/Adressaten 02 Anwendbarkeit deutschen Datenschutzrechts 03 Verantwortlichkeiten 04 Erlaubnistatbestände und Datenschutzgrundsätze 05 Unterrichtung des Nutzers 06 Technischer Datenschutz 5

6 Agenda 07 Erhöhter Schutzbedarf 08 Rechtsfolgen unzulässigen Datenzugangs 6

7 Agenda 01 Zielgruppe/Adressaten 02 Anwendbarkeit deutschen Datenschutzrechts 03 Verantwortlichkeiten 04 Erlaubnistatbestände und Datenschutzgrundsätze 05 Unterrichtung des Nutzers 06 Technischer Datenschutz 7

8 Zielgruppe/Adressaten Entwickler mobiler Applikationen Apps Anbieter 8

9 Zielgruppe/Adressaten im nicht-öffentlichen Bereich bei Anwendbarkeit der datenschutzrechtlichen Vorschriften des Telemediengesetzes ( 11 ff. TMG) und des Bundesdatenschutzgesetzes (BDSG) 9

10 Zielgruppe/Adressaten Maßgeblich für App-Entwickler App-Anbieter privacy by design: Beachtung des Datenschutzes bei Entstehung/Entwicklung von Apps Verantwortliche Stelle für datenschutzrechtliche Ansprüche bei Datenschutzverstößen privacy by default: Integration datenschutzfreundlicher Voreinstellungen 10

11 Agenda 01 Zielgruppe/Adressaten 02 Anwendbarkeit deutschen Datenschutzrechts 03 Verantwortlichkeiten 04 Erlaubnistatbestände und Datenschutzgrundsätze 05 Unterrichtung des Nutzers 06 Technischer Datenschutz 11

12 Anwendbarkeit deutschen Datenschutzrechts Es gilt: a) Räumlicher Anwendungsbereich Maßgeblich: Sitz des App-Anbieters Bundesrepublik Deutschland EU/ EWR Drittländer deutsches Datenschutzgesetz (BDSG) Recht des Mitgliedstaates/ Vertragstaates deutsches Datenschutzrecht bei Verwendung persönlicher Daten mittels App im Internet 12

13 Anwendbarkeit deutschen Datenschutzrechts b) Sachlicher Anwendungsbereich Personenbezogene Daten nach 3 Abs. 1 BDSG Über Datum bestimmbare Person namentlich bei Apps: IP-Adresse Geräte- und Kartenkennungen (IMEI/UDD/IMSI/MAC-Adresse u.ä.) Name des Telefons Standortdaten Audiodaten / Foto- und Filmaufnahmen einer Person Daten für biometrische Erkennungsverfahren Informationen über App-Nutzung 13

14 Agenda 01 Zielgruppe/Adressaten 02 Anwendbarkeit deutschen Datenschutzrechts 03 Verantwortlichkeiten 04 Erlaubnistatbestände und Datenschutzgrundsätze 05 Unterrichtung des Nutzers 06 Technischer Datenschutz 14

15 Verantwortlichkeit App-Anbieter ist verantwortliche Stelle nach 3 Abs. 7 S. 1 BDSG a) Kein Verweis auf App-Entwickler b) Adressat datenschutzrechtlicher Vorgaben Folge c) Anlaufstelle für Nutzerrechte d) Kontrollpflichten e) Verpflichtung der Auftragsdatenverarbeitung auch bei Cloud-Diensten 15

16 Verantwortlichkeit App-Entwickler ist verantwortlich bei rechtswidrigen Handlungen, insbesondere Verstößen gegen Weisungen des Auftraggebers Datenverwendung außerhalb des Auftragsumfangs Betreiber eines App-Stores bei eigener Datenverarbeitung (Anmeldung im App-Store) Verwaltung von Abos 16

17 Agenda 01 Zielgruppe/Adressaten 02 Anwendbarkeit deutschen Datenschutzrechts 03 Verantwortlichkeiten 04 Erlaubnistatbestände und Datenschutzgrundsätze 05 Unterrichtung des Nutzers 06 Technischer Datenschutz 17

18 Erlaubnistatbestände und Datenschutzgrundsätze Grundsatz: Verbot mit Erlaubnisvorbehalt Maßgeblich a) BDSG: im Allgemeinen b) TMG: im Besonderen Erlaubnistatbestände sind: 14 TMG: Bestandsdaten (Vertragsdaten) 15 TMG: Nutzungsdaten (Daten zur Dienstnutzung) 18

19 Erlaubnistatbestände und Datenschutzgrundsätze Wesentlich für: Bereitstellung von Nutzungsprofilen bei Datennutzung für Werbung Marktforschung bedarfsgerechte Gestaltung von Telemedien Folge: Hinweis auf Widerspruchsrecht in Datenschutzerklärung und Opt-Out-Möglichkeit anzuwenden auf Reichweitenmessung werbefinanzierte Apps 19

20 Erlaubnistatbestände und Datenschutzgrundsätze Inhaltsdaten, d. h. online Datenaustausch Nutzer / App-Anbieter zur Vertragsbegründung mit offline-ausführung Beispiele: Pizza-App Kalender-App Social-Networks Einwilligung bei Fehlen eines gesetzlichen Erlaubnistatbestands Nachteil: jederzeitige Widerruflichkeit Einhaltung der Anforderungen nach 13 Abs. 2 TMG 20

21 Erlaubnistatbestände und Datenschutzgrundsätze Datenschutzgrundsätze Direkterhebung und Unterrichtung ( 4 Abs. 3 BDSG) Datenvermeidung und -sparsamkeit anonyme und pseudonyme Nutzung Zweckbindung Erforderlichkeit 21

22 Agenda 01 Zielgruppe/Adressaten 02 Anwendbarkeit deutschen Datenschutzrechts 03 Verantwortlichkeiten 04 Erlaubnistatbestände und Datenschutzgrundsätze 05 Unterrichtung des Nutzers 06 Technischer Datenschutz 22

23 Unterrichtung des Nutzers Anforderungen: Impressum, 5 TMG Datenschutzerklärung, 13 Abs.1 S. 1 TMG Pflichten des App-Anbieters (auch hier Cookie-Hinweis) Hinweise zum Nutzungsbeginn mit Einstellung der App in App-Store und Installation / vor Start der App Jederzeitige Abrufbarkeit App-spezifische Datenschutzerklärung, Stichwort: Zugriffsrechte Lesbarkeit Stichwort: Kapitel-Einleitung Kontaktmöglichkeiten Nutzerrechte (Auskunft, Berichtigung, Löschung, Sperrung) 23

24 Agenda 01 Zielgruppe/Adressaten 02 Anwendbarkeit deutschen Datenschutzrechts 03 Verantwortlichkeiten 04 Erlaubnistatbestände und Datenschutzgrundsätze 05 Unterrichtung des Nutzers 06 Technischer Datenschutz 24

25 Technischer Datenschutz Maßgeblich: Sicherheit a. Authentifizierung von Anmeldedaten b. Eindeutige Kennungen c. sichere Datenübertragung Transportverschlüsselung mit starker Verschlüsselung d. lokale Datensicherung Sandboxing beachten e. kein Auslesen von Log In-Berechtigungen f. Begrenzung des Zugriffs auf Standortdaten g. Absicherung des Backends gegen unbefugten Datenzugriff 25

26 Agenda 07 Erhöhter Schutzbedarf 08 Rechtsfolgen unzulässigen Datenzugangs 26

27 Daten mit erhöhtem Schutzbedarf insbesondere: Gesundheitsdaten/Fitnessdaten Stichwort: Digital Health Es gelten folgende Besonderheiten: a) Sichere Datenübertragung durch Zertifikate-/ Public-Key-Pinning neben Transportverschlüsselung 27

28 Daten mit erhöhtem Schutzbedarf b) Lokale Datenspeicherung Sandboxing mit AES Stand 2014: 256 keine dauerhaft verschlüsselte Speicherung Stattdessen: Lediglich Übertragung für Anwendung wirksames Löschen der verwendeten Speicherbereiche c) Gesonderte Authentifizierungen für Zugriff d) Verschlüsselte Speicherung auf Endgerät e) Einwilligung beachten Stichwort: Verschwiegenheitsverpflichtung, 203 StGB 28

29 Agenda 07 Erhöhter Schutzbedarf 08 Rechtsfolgen unzulässigen Datenzugangs 29

30 Konsequenzen unzulässigen Datenumgangs a) Aufsichtsverfahren, 38 Abs. 5 BDSG b) Bußgeldtatbestände, 43 BDSG c) Straftatbestände, 44 BDSG Beachte: bei OWi-Verfahren nach 30 OWiG auch Geldbuße gegen App-Anbieter-Unternehmen möglich Folge: Verantwortlichkeit der Geschäftsleitung 30

31 Ihre Ansprechpartnerin Dr. Christiane Bierekoven Rechtsanwältin Fachanwältin für IT-Recht Rödl & Partner Äußere Sulzbacher Str. 100 D Nürnberg Telefon +49 (911) Telefax +49 (911) Jeder Einzelne zählt bei den Castellers und bei uns. Menschentürme symbolisieren in einzigartiger Weise die Unternehmenskultur von Rödl & Partner. Sie verkörpern unsere Philosophie von Zusammenhalt, Gleichgewicht, Mut und Mannschaftsgeist. Sie veranschaulichen das Wachstum aus eigener Kraft, das Rödl & Partner zu dem gemacht hat, was es heute ist. Força, Equilibri, Valor i Seny (Kraft, Balance, Mut und Verstand) ist der katalanische Wahlspruch aller Castellers und beschreibt deren Grundwerte sehr pointiert. Das gefällt uns und entspricht unserer Mentalität. Deshalb ist Rödl & Partner eine Kooperation mit Repräsentanten dieser langen Tradition der Menschentürme, den Castellers de Barcelona, im Mai 2011 eingegangen. Der Verein aus Barcelona verkörpert neben vielen anderen dieses immaterielle Kulturerbe. 31