Datenschutzmängel bei smarten Alltagsgeräten

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat sich an einer internationalen Prüfaktion des Global Privacy Enforcement Networks (GPEN) beteiligt und die Ergebnisse in einer Pressemitteilung veröffentlicht. Unter der Federführung der britischen Datenschutzaufsichtsbehörde haben 25 Aufsichtsbehörden weltweit zusammengearbeitet und die Datenschutzkonformität von ausgewählten „smarten“ Alltagsgeräten untersucht.

Ergebnisse der Prüfaktion des GPEN: mangelnde Transparenz

In der vom GPEN koordinierten Untersuchung wurden 314 vernetzte Alltagsgeräte in Bezug auf die datenschutzrechtliche Umsetzung auf den Prüfstand gestellt. Das Ergebnis lautet:

60 Prozent der Datenschutzbestimmungen klären den Verbraucher nicht ausreichend darüber auf, wie die personenbezogenen Daten erhoben, verarbeitetet und genutzt werden
68 Prozent der Datenschutzbestimmungen enthalten keine Hinweise darüber, welche Daten gespeichert werden
72 Prozent der Datenschutzbestimmungen liefern keine Informationen zur Datenlöschung
38 Prozent der Datenschutzbestimmungen geben keine Kontaktinformationen für Rückfragen an

Insgesamt kommen die Datenschutzbehörden zu dem Ergebnis, dass die Mehrzahl der Datenschutzbestimmungen von smarten Geräten mangelhaft ist. Sie enthalten nur unzureichende Informationen für die Verbraucher. Die Grundsätze „Aufklärung über Datenverarbeitungsprozesse“, „informierte Einwilligung“, „Transparenz“ und „Datensparsamkeit“ werden von den meisten Herstellern und Anwendungsentwickeln unzureichend beachtet.

BayLDA: „In sieben von zehn Fällen erhält der Nutzer weder Informationen darüber, wie und wo Daten gespeichert werden noch wie er die teils sehr sensiblen Daten wieder löschen kann“.

Problem: sorgloser Umgang mit Gesundheitsdaten
Besonders problematisch aus Sicht der Datenschützer ist der sorglose Umgang mit sensiblen Gesundheitsdaten. Fitnesstracker und viele andere medizinischen Geräte erheben besonders sensible Daten und schicken sie unverschlüsselt ins Netz. Dem Datenschutzrecht nach haben diese Daten einen besonders hohen Schutzbedarf und sind durch technische Maßnahmen wirkungsvoll – im Interesse des Betroffenen – gegen Zugriff durch unbefugte Dritte zu schützen.

„Internet der Dinge“ (IoT)
Mit dem Begriff „Internet der Dinge“ (Internet of Things = IoT) wird eine Infrastruktur bezeichnet, in der Alltagsgeräte mit Sensoren ausgestattet werden, die – teilweise in erheblichem Maße – personenbezogene Daten erheben, verarbeiten, speichern und an Dritte weiterleiten. Die Geräte verfügen über eine eindeutige Kennung und können dadurch Nutzern direkt zugeordnet werden. Ausgestattet mit Netzwerkfunktionen können sich diese Geräte mit anderen Geräten oder Systemen verbinden und Daten austauschen. Aus der Vielzahl der erhobenen Daten und in Folge der Vernetzung der Informationen lassen sich sehr detaillierte Nutzer- und Bewegungsprofile ableiten. Häufig ist den Nutzern die Tragweite der Datenverarbeitung nicht bekannt. Viele Geschäftsmodelle basieren auf der möglichst umfassenden Sammlung von Daten und deren Übertragung an Geschäftspartner. Wollen Nutzer diese Datenübertragung verhindern, haben sie häufig nur die Wahl, entscheidende Gerätefunktionen zu deaktivieren. (js)

Quellen:

Pressemitteilung des Bayerische Landesamt für Datenschutzaufsicht (BayLDA) vom 26.09.2016:
Das Internet der Dinge: Internationale Prüfaktion deckt Mängel im Datenschutz auf

ARTIKEL-29-DATENSCHUTZGRUPPE, WP 223:
Stellungnahme 8/2014 zu den jüngsten Entwicklungen im Internet der Dinge