Die internet privacy standards (Vers. 2.8) Einführung und allgemeine Hinweise zur Anwendung

Transkript

1 Die internet privacy standards (Vers. 2.8) Einführung und allgemeine Hinweise zur Anwendung Stand: Juli 2014

2 2 1. Vorwort zur Neuauflage (Version 2.8) Das Gütesiegel ips internet privacy standards ist ein bundesweit seit 2001 etabliertes Zertifikat für Webportale. Es wird u.a. vom Bundesjustizministerium, Verbraucherschutzverbänden und der Initiative D21 der Bundesregierung empfohlen und steht für eine umfassende technische und rechtliche Auditierung des jeweiligen Portals. Die Zertifizierung von Webportalen nach ips wird von der unabhängigen Zertifizierungsstelle der datenschutz cert GmbH einem Unternehmen der datenschutz nord Gruppe durchgeführt. Die für Webangebote geltenden gesetzlichen und technischen Anforderungen unterliegen einer ständigen Entwicklung. Die Kriterienkataloge werden daher fortlaufend von der Zertifizierungsstelle aktualisiert. Die Zertifizierung mit ips anhand der ständig optimierten Prüfkriterien verdeutlicht die hohe Qualität eines Webangebotes. Mit der nun erfolgten Neuauflage werden die Kriterien u.a. an Gesetzesänderungen zum Fernabsatzrecht, die aktuelle Rechtsprechung und die Auslegung der Datenschutz- Aufsichtsbehörden (z.b. zum Thema Social-Plugins, Webtracking) angepasst. Die Autorin ist für Anregungen, Wünsche und Kritik immer dankbar. Bremen, im Juli 2014 Dr. Irene Karper LL.M.Eur. datenschutz cert GmbH Zertifizierungsstelle

3 3 2. Zielsetzung Die internet privacy standards bilden einen Katalog von Qualitätskriterien, der sowohl als Grundlage für die datenschutzrechtliche Auditierung (und anschließende Zertifizierung) von Online-Dienstleistungen, dessen Umsetzung im konkret zertifizierten Web-Angebot aber auch eine Auszeichnung für vorbildlichen Datenschutz im Internet darstellt. Mit dem Kriterienkatalog werden die gesetzgeberische Intention des 9a BDSG für ein Datenschutzaudit gezielt und praxisnah umgesetzt, die Vorabkontrolle des Datenschutzbeauftragten bzgl. des Webauftritts unterstützt, Anreize für besonders datenschutzfreundliche Lösungen geschaffen, unterschiedlichste Online-Dienstleistungen bewertbar sein und die speziellen Anforderungen der jeweiligen Funktion des Webportales berücksichtigt. 3. Die Module Den internet privacy standards liegt der Gedanke zugrunde, dass sämtliche Online- Dienstleistungen in Teilbereiche, sog. Module, aufgespalten und durch Zusammenstellung des jeweils passenden Kriterienwerkes abgebildet werden können. Derzeit gibt es 9 Module, mit denen die Prüfung vom Online-Shop bis zum E-Government-Portal möglich ist. Der ips-auditor ist dabei aufgefordert, die jeweils anwendbaren Module auszuwählen. 3.1 Die Module im Überblick: M 1 Info-Abruf Das Modul Info-Abruf umfasst Bereiche, die ohne weitere Dateneingabe durch Aufruf der Homepage und Unterseiten abrufbar sind und im Wesentlichen Informationen enthalten. M 2 Publikation Als Publikation werden Bereiche verstanden, die dem Nutzer die Veröffentlichung eigener Kommentare, Meinungen, Rezensionen, Diskussionsbeiträge und ähnlichen gedanklichen Inhalten auf den Web-Seiten des Anbieters ermöglichen (z.b. Foren, News, Gästebücher etc.) Unerheblich ist, ob die Veröffentlichung unentgeltlich oder gegen Bezahlung erfolgt. M 3 Individual-Kommunikation Das Modul Individual-Kommunikation ermöglicht die Prüfung bei den von -Diensten oder Suchkatalogen angebotenen Zusatzdienstleistungen, -Konten einzurichten und über diese -Konten (Tele-)Kommunikation abzuwickeln. M 4 Individual-Dienstleistung Der Bereich Individual-Dienstleistung erfasst den eigentlichen Kern der Online-Dienstleistung, also die von dem jeweiligen Nutzer individuell abgeforderte und auf ihn zugeschnittene, meist entgeltliche Leistung. In der vorliegenden Version beinhaltet das Modul Individual-Dienstleistung die für Online-Shops typischen Warenkorb-, Bestellannahme- und Lieferungsfunktionen. M 5 E-Government Das Modul E-Government erfasst Portale, auf denen Dienstleistungen von Behörden angeboten werden und enthält u.a. Prüfkriterien zur elektronischen Signatur, Verschlüsselungstechniken, Transparenz von Formularen sowie zu besonderen technisch-organisatorischen Sicherungsmaßnahmen im öffentlichen Bereich. M 6 E-Health Das Modul enthält rechtliche und technisch-organisatorische Vorgaben des Datenschutzes im Gesundheitswesen für elektronische Patientenakten, Online-Apotheken oder andere Dienstleistungen auf dem Online-Gesundheitssektor, etwa Anforderungen an eine

4 4 standesgemäße Werbung bei Heilberufen, an die Wirksamkeit von Patienteneinwilligungen oder an den sicheren Umgang mit Patientendaten. M 7 Verbraucherschutz Das Modul Verbraucherschutz umfasst neben den gesetzlich erforderlichen Pflichtangaben des Anbieters auch Anforderungen an den Fernabsatz sowie an die verbraucherfreundliche Umsetzung (Bestellvorgang, Widerrufsmöglichkeit, Rückabwicklung). M 8 Datenschutzmanagement Das Datenschutzmanagement beinhaltet die datenschutz- bzw. datensicherheitskonforme Gesamtorganisation des geprüften Unternehmens, wobei vor dem Hintergrund der Anforderungen aus der Anlage zu 9 BDSG hier der Schwerpunkt auf der technischen Absicherung der Datenverarbeitung liegt. Hinzu kommt die Bewertung der internen Organisation (Abläufe, Zuständigkeiten, betriebliche Vorgaben zum Datenschutz).. M 9 Bürgerportale Das ips-modul Bürgerportale ist speziell auf die datenschutz- und telekommunikationsrechtlichen Anforderungen von Postfach- und Versanddiensten im Rahmen von E-Government- Lösungen ausgerichtet und stellt daher eine besondere Mischung aus den ips-modulen Individualkommunikation und E-Government dar. 3.2 Die Auswahl der Module für die Begutachtung Der modulare Aufbau der internet privacy standards ermöglicht es, die Audit-Kriterien flexibel anzupassen, wenn eine Dienstleistung inhaltlich umgestellt, erweitert oder beschränkt wird. Darüber hinaus können Unternehmen bei einer geplanten Änderung ihres Angebots die Einhaltung der Kriterien vorab selbst überprüfen. Allgemeingültige Module (M1, M4, M8) sind dabei immer einzubeziehen, während die Anwendung spezifischer Module sich nach der jeweiligen Funktion des Webportals richtet. Beispiel: Die Dienstleistung eines Online-Shops besteht i.d.r. aus den Modulen Info-Abruf, Individual-Dienstleistung sowie aus den Modulen Datenschutzmanagement und Verbraucherschutz. Soweit sich die Module inhaltlich überschneiden, ist es zulässig, diese in einem Modul zusammenzufassen. Ferner sollen Schwerpunkte der Prüfung gebildet werden. Beispiel: 4. Das Bewertungssystem: 4.1. Die Punktevergabe Auf dem Webportal wird als Nebenfunktion ein Schwarzes Brett mit Anzeigen von Usern angeboten; obwohl es sich hierbei um eine Publikation handelt (M2), können die rechtlichen Anforderungen stattdessen auch im Modul Individual- Dienstleistung (M4), z.b. unter dem Punkt der materiellen Rechtmäßigkeit, angesprochen werden. Das Bewertungssystem sieht für die Bestimmung des Grades der Umsetzung der Anforderungen eine Punktevergabe von null bis drei Punkten vor: 0 Punkte: die Anforderungen sind nicht erfüllt: diese Bewertung soll erteilt werden, wenn die gesetzliche oder technische Anforderung entweder überhaupt nicht oder nur so grob unzureichend umgesetzt wurde, dass hierfür nicht einmal mehr ein Punkt vergeben werden kann. In den meisten Fällen führt diese Bewertung zu einer Aussetzung des Audits, bis dieser Mangel behoben ist. 1 Punkt: die Anforderungen sind teilweise erfüllt: ein Punkt kann vergeben werden, wenn Anforderungen teilweise umgesetzt wurden, aber noch Nachhol- bzw. Verbesserungsbedarf besteht. 2 Punkte: die Anforderungen sind adäquat erfüllt: diese Bewertung erfordert eine zum Audit- Zeitpunkt bereits erfolgte Umsetzung aller gesetzlichen und technischen Mindestanforderungen.

5 5 3 Punkte: die Anforderungen sind vorbildlich erfüllt: 3 Punkte können vergeben werden, wenn das geprüfte Unternehmen über die gesetzlichen Erfordernisse hinaus weitergehende Anstrengungen unternommen hat, durch die Datenschutz-Belange dem Nutzer gegenüber aktiv thematisiert werden (z.b. weiterführende Informationen zu eigenen Sicherheitsvorkehrungen oder zum Datenschutz allgemein). Dem Bewertungssystem liegt der Gedanke zugrunde, dass datenschutzrechtliche Mängel bei einzelnen Komponenten zumindest teilweise mit überobligatorischer Umsetzung von Anforderungen bei anderen Komponenten ausgeglichen werden können. Es soll für den Gutachter jedoch kein starres Raster, sondern vielmehr ein Hilfsmittel sein, um in einem ersten Schritt den Grad der Umsetzung überhaupt messbar zu machen. Überall dort, wo gesetzliche (Mindest-) Anforderungen ohne Beurteilungsspielraum nicht eingehalten werden, können Punkte erst dann vergeben werden, wenn der Mangel beseitigt ist. BEISPIEL: Ein Impressum, das die gesetzlichen Mindestangaben nicht enthält, kann erst dann mit zwei Punkten bewertet werden, wenn die fehlenden Angaben nachgeholt wurden. Auch die Vergabe nur eines Punktes ist vorher nicht möglich Die Gewichtung der Module: Das Bewertungssystem basiert neben der dargestellten Punktevergabe auf dem Gedanken, dass auf das Webportal anwendbaren Module unterschiedliche Gewichtung aufweisen. Die Gewichtung beruht auf der Schutzbedürftigkeit der in dem betreffenden Modul erhobenen und verarbeiteten Daten. Einbeziehung und Gewichtung von Modulen ist Aufgabe des Gutachters und sollte nachvollziehbar begründet werden. BEISPIEL: Für einen Online-Shop wären die Module Informations-Abruf, Individual-Dienstleistung, Datenschutzmanagement und Verbraucherschutz anwendbar. Diese könnten mit 15% Info-Abruf, 25% Individual-DL, 30% Datenschutzmanagement und 30% Verbraucherschutz gewichtet werden, da es beim E-Commerce vor allem auf das grundsätzliche Datenschutzmanagement und den Verbraucherschutz ankommt, weniger jedoch auf die reinen Informationen der Webseite. Eine Anmerkung zum Bewertungssystem: Die internet privacy standards sollen kein starres Korsett sein, in das eine Bewertung von Online-Dienstleistungen hineingepresst werden müsste. Es soll vielmehr als Hilfsmittel zur Begutachtung dienen, um ein möglichst homogenes Niveau sowie eine Vergleichbarkeit der Umsetzung von rechtlichen und technischen Anforderungen zu schaffen. Jeder Gutachter ist dabei aufgefordert, seine eigenen Kenntnisse und Erfahrungen einfließen zu lassen und wenn es in Einzelfällen erforderlich erscheint, von dem vorgegebenen Bewertungsraster mit entsprechender Begründung - abzuweichen. 5. Der Ablauf eines Datenschutzaudits nach den internet privacy standards 5.1. Zusammenstellung und Gewichtung der Module Im ersten Schritt werden Webportal vom Auditor gesichtet und die anwendbaren Module festgelegt. Im Anschluss erfolgt die Gewichtung der Module. Damit ist das Prüfungsgerüst erstellt Kriterienprüfung, Punktevergabe und Berechnung des vorläufigen Ergebnisses Nun erfolgt die eigentliche Prüfung anhand der Kriterien und die Dokumentation der Ergebnisse. Die jeweils erreichten Punkte werden am Ende eines jeden Moduls zusammengezählt. Anhand der zuvor bestimmten Gewichtung wird aus den erreichten Punkten eine Durchschnittspunktzahl (Ø-Punktzahl) für das jeweilige Modul errechnet. Die Ø-Punktzahl wird sodann in Relation zu der festgelegten Gewichtung des Moduls gesetzt und daraus ein Punktanteil ermittelt. Beispiel: im Durchschnitt wurden im Modul 1 insg. 2,71 Punkte erreicht. Gewichtet wird M1 mit 20 %. Der Anteil der Punkte beträgt daher 0,54 Punkte.

6 6 Anschließend wird der Punktanteil aller Module zusammengerechnet. Diese Gesamtpunktzahl muss mindestens den Wert 2 ergeben, anderenfalls gilt die Auditierung als nicht bestanden. Die Berechnung kann in einer Übersicht dargestellt werden, die z.b. wie folgt aussieht: Modul Info-Angebot 5.3. Dokumentation / Audit-Report Punkte Anbieterkennzeichnung 3 Datenschutzerklärung 3 Weiterleitung 2 Verantwortung f. Inhalte 2 Nutzungsdatenumgang 3 Kommerzielle Kommunikation 3 Datenvermeidung/-sparsamkeit 3 Gesamtpunkte/Maximalpunkte 19 / 21 Ø - Punktzahl 2,71 Gewichtung 20 % Punktanteil 0,54 Modul Individualleistung Punkte Transparenz 3 materielle Voraussetzungen 2 Datenvermeidung/-sparsamkeit 2 Technisch-organisat. Sicherheit 3 Gesamtpunkte/Maximalpunkte 10 / 12 Ø - Punktzahl 2,5 Gewichtung 30 % Punktanteil 0,75, Modul Datenschutzmanagement Punkte Betriebl. Datenschutzbeauftragte 3 Auftragskontrolle 2 Verfahrensverzeichnis 3 Datenschutzorganisation 3 Techn.-org. Sicherheit 3 Umsetzung von Betroffenenrechten 3 Gesamtpunkte / Maximalpunkte 17 / 18 Ø - Punktzahl 2,83 Gewichtung 50% Punktanteil 1,42 Gesamtpunktergebnis 2,71 Die Dokumentation (Audit-Report) sollte zur Erleichterung des Prüf-Aufwands der Zertifizierungsstelle den Aufbau des Kriterienkataloges berücksichtigen, wobei ansonsten jedoch keine Form vorgegeben ist. Im Audit-Report sollen die gefundenen Ergebnisses sowohl mit den aufgefundenen Mängeln (soweit sie denn mindestens die Punktzahl 1 erreichen) aber auch mit den vorbildlichen Umsetzungen dargestellt werden. Dabei können auch Abbildungen der Web-Funktionen hilfreich sein. Soweit negative und positive Bewertungen zugrunde gelegt wurden, sollten diese kurz erläutert werden. Der Audit-Report endet mit einer Empfehlung gegenüber der Zertifizierungsstelle, das Zertifikat zu erteilen oder nicht.

7 7 Ferner erstellt der ips-auditor einen Entwurf für ein Kurzgutachten. Dieses dient dazu, dem Nutzer des Web-Angebotes die Prüfergebnisse im Überblick zu erläutern. Auf den Webseiten ist hierzu ein Informationsblatt mit Anforderungen an das Kurzgutachten für Gutachter abrufbar. Das Kurzgutachten wird von der Zertifizierungsstelle ergänzt und bei erfolgreicher Zertifizierung veröffentlicht Vergabe des ips-zertifikats und Veröffentlichung des Ergebnisses Die Zertifizierungsstelle der datenschutz cert GmbH prüft den Audit-Report des akkreditierten Auditors auf Schlüssigkeit. Kommt auch sie zu dem Ergebnis, dass das Webportal alle Anforderungen der ips-kriterien mit einer Gesamtnote von mindestens 2 Punkten umsetzt, wird das Zertifikat erteilt. Die Zertifizierungsstelle kann allerdings auch von der Ansicht des ips- Auditors abweichen und das Zertifikat nicht erteilen, was zu begründen ist. Die Zertifizierungsstelle kann das ips-zertifikat erteilen. Hierzu wird zum einen das ips-logo auf der Homepage (mindestens auf der Startseite) implementiert und mit einem Link versehen, über den Interessierte zum online bereitgestellten Kurzgutachten gelangen können. Das Kurzgutachten ist auf dem Server der datenschutz cert GmbH abgelegt und innerhalb des zertifizierten Angebotes mit dem ips-logo verlinkt. Das ips-logo, die Kriterienkataloge sowie Marke und Hinweise auf eine gültige ips-zertifizierung dürfen nur mit Genehmigung der Zertifizierungsstelle und auf der Grundlage der Vergabe- und Nutzungsbedingungen verwendet werden. Das Zertifikat ist bei weitgehend gleichbleibendem Webangebot nunmehr für einen Zeitraum von zwei Jahren gültig und kann nach Ablauf der Gültigkeit durch eine erneute Prüfung (Re- Zertifizierung) erneuert werden.