Wie wir vor einigen Tagen berichteten, hat die englische Datenschutzaufsichtsbehörde unter dem Titel „GPEN Privacy Sweep 2016“ eine Aktion zur Prüfung des Datenschutzes bei Produkten im Bereich des „Internet of Things“ (IoT) organisiert. Auch Bayerns Landesamt für Datenschutzaufsicht war beteiligt und verrät nun genauere Details.

WAS WURDE GEPRÜFT?

Wie wir dem Anhang der Pressemitteilung entnehmen können wurden insbesondere folgende „smarte“ Geräte der Prüfung unterzogen: Geräte aus dem Gesundheitsbereich (32%), Fitness Tracker (30%), Haushaltsgeräte (15%), Smart TVs (6%) und sonstige smarte Geräte (17%): „Wir untersuchten Geräte aus sämtlichen Bereichen wie beispielsweise Haushaltsgeräte, Spielzeug, vernetzte Autos, Smart-TV und Fitness-Tracker. Ein besonderes Augenmerk legten wir auf Geräte aus dem Gesundheitsbereich. Hier fallen besonders schützenswerte Daten an, sodass die Nutzer klar und verständlich darüber aufgeklärt werden müssen, wie mit den Daten umgegangen wird.“

SMART DEVICES MADE IN BAVARIA

Weltweit wurden 314 Geräte mit Internetanbindung überprüft. Davon 14 die in Bayern hergestellt werden und somit in den Kontrollbereich des Bayerischen Landesamts für Datenschutzaufsicht fallen: „Es ist uns ein besonderes Anliegen an der jährlich stattfindenden
internationalen Prüfung mitzuwirken. Das Internet verbindet alle Nutzer auf der Welt miteinander. Das muss auch für die Aufsichtsbehörden gelten. Nur wenn die Behörden zusammenarbeiten, können wir ein gemeinsames Sprachrohr bilden und den Unternehmen klar und deutlich die rechtlichen Anforderungen vermitteln – und diese durchsetzen.“

ERGEBNIS DER PRÜFUNG IN BAYERN

„Das Ergebnis unserer Prüfung ist eindeutig: Wer sich smarte Geräte zulegt und diese im Alltag verwendet, ist nicht mehr anonym. Viele Daten lassen einen eindeutigen Rückschluss auf den Nutzer zu.“ So werden bei 61% der überprüften Devices eindeutige Gerätekennungen erhoben und verarbeitet, bei 41% Audio- und Fotodateien, Standortdaten bei ganzen 68%, Selbst Telefonnummern und Adresse bei über 50%. Name und E-Mail-Adresse führen das Feld an und werden jeweils bei über 80% der Geräte erhoben und verarbeitet.

ERHEBLICHE MÄNGEL

Bei 68% der in Bayern überprüften Geräte wird der Nutzer gar nicht darüber aufgeklärt, welche Daten überhaupt von ihm erhoben werden. Dies verhindert die informationelle Selbstbestimmung: „Wenn der Nutzer nicht weiß, welche Daten von ihm überhaupt gespeichert werden,
wie kann er dann bewusst mit seinen Daten umgehen?“. Darüber hinaus wird der Nutzer in 60% der Fälle gar nicht ausreichend aufgeklärt wie seine erhobenen Daten dann weiter verarbeitet und genutzt werden: „Es ist ein enttäuschendes Ergebnis der Prüfung, dass der Nutzer zum überwiegenden Teil nicht ausreichend über den Umgang mit seinen personenbezogenen Daten aufgeklärt wird. Die Aufklärung des Nutzers darf nicht länger eine lästige Pflicht der Unternehmen sein. Datenschutz – vor allem Transparenz gegenüber dem Nutzer – kann auch ein Wettbewerbsvorteil sein. Dessen sollten sich Unternehmen künftig bewusst werden.“

SCHLECHTE AUFKLÄRUNG

„Die meisten Datenschutzbestimmungen lassen viele Fragen der Nutzer unbeantwortet. Umso erstaunlicher ist es, dass einige Unternehmen – immerhin fast 40 Prozent – nicht einmal Kontaktdaten für Rückfragen angeben. Der Nutzer hat in diesem Fall keine Chance sich
hinreichend zu informieren.“ Aber auch darüber, wie man seine Daten wieder löschen lassen kann, wird der Nutzer in 72% der Fälle nicht aufgeklärt: „Dies kann gerade in Fällen, in denen gebrauchte Geräte verkauft werden, für den Nutzer zum Fiasko werden – man denke nur an den gebrauchten Fitness-Tracker mit Gesundheitsdaten.“