Datenschutz - Ideen und Konzepte

Offenheit - Ideen und Konzepte bei Inhalten und OER bedeutet auch, dass Inhalte möglichst sparsam mit den Daten ihrer Nutzer*innen umgehen.

TL;DR Risikoeinschätzung

Hinweise zum Datenschutz und der Datenverarbeitung der NutzerInnen können rudimentär aus der Datenschutzerklärung der Webseiten ausgelesen werden.

Gleichzeitig kann die Webseite selbst unabhängig von der Datenschutzerklärung agieren.

Eine automatische Textanalyse der Datenschutzerklärung und Cookie-Einstellungsmöglichkeiten kann Hinweise auf die Nutzerfreundlichkeit der Datenverarbeitung liefern.

Diese können pro Webseite/Domäne unterschiedlich klar formuliert und einstellbar sein.

Weiterführend: Welche Daten werden bei einem Login abgefragt und wie werden sie verarbeitet?

Abhängig von Login notwendig - Ideen und Konzepte, IT Barrieren (ursp. IT-Sicherheit) - Ideen und Konzepte und Persönlichkeitsrechte - Ideen und Konzepte

Weitere Recherchen sind nötig. Erste PoC's wären möglich.

Geschätzte Arbeitszeit: 1,5 PerMo

Begriffsbestimmung

Datenschutz-Grundverordnung (DSGVO)

Frei zitiert nach dem DSGVO Gesetzestext:

"Die DSGVO ist eine Verordnung der EU, die Vorschriften zum Schutz von Personen bei der Verarbeitung und dem Verkehr von personenbezogener Daten enthält. Die DSGVO findet Anwendung auf personenbezogene Daten von betroffenen Personen, die sich in der EU befinden."

"Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. D.h. alle Daten, die eine Person direkt oder indirekt identifizieren können (insb. Nutzerkennungen/Kennnummer, Standortdaten, Ausdrücke der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität).

"Verarbeitung" beschreibt alle automatisierten oder nicht-automatisierten Vorgänge, die im Zusammenhang mit personenbezogenen Daten stehen. Z.B. das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

"Verletzung des Schutzes personenbezogener Daten" ist eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

"Einwilligung" der betroffenen Person ist jede freiwillig für den bestimmten Fall abgegebene Willenserklärung, die informiert und unmissverständlich in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung abgegeben wurde, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Grundsätze für die Verarbeitung personenbezogener Daten

Personenbezogene Daten müssen

auf eine für die betroffene Person nachvollziehbare Weise verarbeitet werden
nur für festgelegte, eindeutige und legitime Zwecke erhoben werden
auf einem dem Zwecke angemessen und notwendigem Maß beschränkt sein
sachlich richtig sein und ansonsten unverzüglich gelöscht werden
in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; länger, für im öffentlichen Interesse liegende Archivzwecke oder wissenschaftliche und historische Forschungszwecke oder statistische Zwecke gemäß Artikel 89 Absatz 1
auf eine Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen

Datenschutzerklärung

In der Datenschutzerklärung muss der Webseitenbetreiber deutlich machen, dass sorgfältig und verantwortungsvoll mit personenbezogenen Daten umgegangen wird und informieren, wie dies geschieht. Es müssen also Art, Umfang und Zweck der Nutzung von personenbezogenen Daten aufgezeigt werden und es muss zwingend eine Widerspruchsmöglichkeit gegeben sein. Dabei müssen auch eingebundene Dienste, wie z.B. Social Media, Analysetools und Formulare beschrieben sein.

Eine Datenschutzerklärung muss in präziser, transparenter, leicht zugänglicher Form und in klarer und einfacher Sprache verfasst sein. Der Link zur Datenschutzerklärung sollte von jeder einzelnen Seite der Webseite klickbar und eindeutig beschriftet sein.

Cookies & Tracking

HTTP-Cookies sind Textinformationen, die im Browser des Endgeräts des Betrachters zu einer besuchten Webseite gespeichert werden. Diese Informationen können bei einem erneuten Besuch der Webseite an den Webserver übertragen werden und so den Betrachter identifizieren und bspw. das Login oder den Warenkorb speichern.

Cookies können auch für Webtracking genutzt, um z.B. dem Nutzer personalisierte Werbeempfehlungen anzuzeigen. Dazu werden individuelle Benutzerprofile über das Surfverhalten erstellt. Da ein Anbieter durch Cookies nur das Verhalten auf der eigenen Webseite verfolgen kann, müssen hierfür Tracking-Komponenten von Tracking-Anbietern in die Webseite integriert werden. Dabei handelt es sich um Skripte, verlinkte Skripte oder verlinkte Komponenten (wie Webseiten, Banner, Bilder, Schriften, Zählpixel). Beim Aufrufen der Webseite werden dann die eingebauten Tracking-Komponenten geladen und Anfragen zum Server der Tracking-Anbieter erstellt, die dann wiederum Cookies im Browser hinterlegen. So kann der Tracking-Anbieter websiteübergreifend den Nutzer identifizieren und wiederum Nutzungsdaten an die erste Webseite zurückliefern. Es können Elemente mehrerer Tracking-Anbieter auf einer Webseite eingebaut und genutzt werden.

Seit Mai 2020 reicht es in Deutschland nicht mehr, dass Nutzer aktiv Cookies widersprechen können. Stattdessen müssen sie aktiv ihre Einwilligung geben, damit Cookie-Tracking rechtens ist. (Quelle: Süddeutsche Zeitung)

Datensaugende Dienste

Datensaugende Konzerne und deren Dienste sind u.A.: Alphabet, Twitter, Meta. Inwiefern diese verwendet werden, steht in der Datenschutzerklärung.

Kriterien & Metriken

Im Prinzip muss eine Reihe technischer Einstellungen geprüft werden:

Ist eine Datenschutzerklärung und ein Impressum vorhanden?
- Ist diese eindeutig beschriftet, leicht zugänglich/auffindbar und auf jeder Seite unten im Footer verlinkt?
Ist im Impressum eine ladungsfähige Adresse hinterlegt?
Ist ein korrektes Cookie-Banner vorhanden? Können alle nicht funktionale Cookies schnell abgelehnt werden und werden nicht mehr Cookies benutzt, als im Banner angezeigt?
Wurden Tracker-Dienste o.ä. auf der Webseite erkannt ohne, dass diese in der Datenschutzerklärung benannt sind?
Werden personenbezogene Daten abgefragt? Werden diese veröffentlicht ohne das diese vorher abgefragt wurden? Wird die Nutzerin ausreichend über die gespeicherten Daten aufgeklärt?
Ist der Nutzungszweck der abgefragten Informationen nachvollziehbar oder unnötig?
Welche Eingabedaten werden abgefragt, bspw. Kreditkartendaten?

Ideen

DSGVO und andere Anforderungen können geschlossen für eine Domäne analysiert werden. Geprüft werden muss es jedoch für jede einzelne Webseite, da nur bestimmte Seiten bspw. ein Login enthalten müssen. Es gibt keinen Datensatz, der verlässliche Datenschutzerklärung beschreibt. Über die bereits in WLO vorhandenen Domänen könnten diese gecrawlt und dann klassifiziert werden.

Der Datenschutz von abgebildeten Personen hängt mit Persönlichkeitsrechten zusammen.

Technische Mindest-Kriterien können für den Datenschutz definiert werden. Personenbezogene Daten bspw. sind eindeutig definiert und können über NLP aus Texten und Formularen extrahiert werden. V.a. Trackern und Cookies könnten von einer Whitelist abgefragt und abgeglichen werden. Selbst solche, die als "notwendig" gelten, könnten so weiterführend geprüft werden. So prüft Cookiebot bspw. Webseiten, ob sie DSGVO konform sind.

Ein erster PoC ist in MetaLookup integriert, s. MetaLookup

Konzept

Zur Bestimmung der Datenschutzmetrik sollten zuerst die oben bestimmten Metriken berechnet werden.

Dazu wird zunächst nach automatisiert nach der Datenschutzverordnung auf der Webseite gesucht, mittels entsprechender NLP Erkennungen. Weiterhin werden auf der Seite nach Hinweisen auf datensaugende Dienste gesucht.

Das Cookie-Banner wird auf seine Funktionalität und Nutzerfreundlichkeit untersucht, entsprechend der rechtlichen Vorgaben.

Zur Generierung von Trainingsdaten werden die Datenschutzverordnung der bekannten Domänen gecrawlt und nach datensaugenden Diensten durchsucht.

Hürden, Probleme und Grenzen

Die Übersetzung der rechtlichen Bestimmungen in technische Anforderungen ist auch hier kritisch und ggf. kurzlebig. Es gilt also das selbe wie bei Persönlichkeitsrechte - Ideen und Konzepte und Strafrecht - Ideen und Konzepte.

Es ist unklar, wie leicht eine Erkennung von Cookie-Bannern und deren Einstellungen ist, da jede Webseite diese anders konfigurieren und einbauen kann. Außerdem sind Cookies schwer vergleichbar.

Skalavorschlag

keine Datenschutzerklärung gefunden und/oder kein Cookie-Banner gefunden
Datensaugende Dienste erkannt; keine Cookie-Einstellungen erkannt; weitere personenbezogenen Daten werden erfasst
Datensaugende Dienste erkannt; Cookies können eingestellt werden
Cookies können eingestellt/schnell (1 Klick) abgelehnt werden, keine datensaugenden Dienste erkannt; weitere personenbezogenen Daten werden nachvollziehbar und angemessen erfasst
Webseite nutzt nur funktional notwendige Cookies; weitere personenbezogenen Daten werden nachvollziehbar und angemessen erfasst
Webseite nutzt nur funktional notwendige Cookies; es werden keine weiteren personenbezogenen Daten erfasst