#zustimmung

Gesundheitsdaten in Gefahr

Sensible Daten müssen geschützt werden

Vor allem müssen sie möglichst nicht zentral gesammelt werden - am besten ist es natürlich, sie werden gar nicht erst erfasst. Immer wieder lesen wir Kommentare auf unsere Kritik an der elektronischen Patientenakte (ePA), dass es doch gut wäre, wenn man Doppeluntersuchungen vermeiden könnte und jederzeit auf alle für den Patienten erhobenen Daten zugreifen könnte.

Dazu müssen wir leider immer wieder feststellen:

Keine zentrale Datensammlung ist sicher. Das haben auch Hacker insbesondere für Gesundheitsdaten auf dem 37. CCC Kongress wieder unter Beweis gestellt (Gesundheitsdaten nur bedingt sicher ).

Mammut-IT-Projekte kosten Unsummen, bringen nur marginale Ergebnisse und erhöhen die Gefahr für unsere Daten (s. alle Berichte über die mehr als 6 Milliarden Euro für die eGK - eine Plastikkarte mit Foto).

Die für uns maximal zulässige Instanz für eine zentrale Sammlung wäre die eigene Krankenkasse. Hier könnte uns die Politik sogar entgegenkommen, wenn sie statt Hunderter Krankenkassen eine-für-alle schaffen würde, einschließlich der Privatversicherten.

Die Relevanz unserer Gesundheitsdaten für die Forschung nutzt vor allem den Pharmariesen.

Die Pseudonymisierung unserer Daten ist keine Anonymisierung und damit langfristig gefährlich.

Unsere Gesundheitsdaten sind überhaupt nicht relevant, da sie nur von den gesetzlich Versicherten stammen würden. Die Privatversicherten werden wieder einmal privilegiert behandelt.

Das ab heute zwingend gültige eRezept wird sicher nicht ab heute Standard, weil auch die Ärzte es nicht wollen.

Wir lehnen weiterhin jede Zwangsdigitalisierung ab, weil sie für viele das Leben schwerer anstatt leichter macht.

Wir verweisen auf einen offenen Brief, den ein Bündnis aus vierzehn zivilgesellschaftlichen Organisationen und Sicherheitsforscher, darunter CCC ebenso wie der Verbraucherzentrale Bundesverband, unter der Überschrift "Vertrauen lässt sich nicht verordnen" an die Verantwortlichen für unsere Gesundheitspoltik verschickt haben. Sie fordern darin, wie Heise.de berichtet, Korrekturen an den Plänen zur weiteren Digitalisierung des Gesundheitswesens, der Mensch sollte dabei im Zentrum stehen.

Kritisiert wird auch, dass künftig bei der Ausgestaltung des "Gesundheitsdatenraums" das Bundesamt für Sicherheit in der Informationstechnik und der Bundesbeauftragte für Datenschutz und die Informationsfreiheit lediglich "ins Benehmen gesetzt werden" sollen und kein echtes Mitspracherecht haben sollen. Auch die Patienten selbst sollen weitgehend außen vor bleiben. So ist bisher nirgends geplant, ihnen eine Nutzen, z.B. durch individuelle Informationen zu ihrem Gesundheitszustand, zukommen zu lassen, wenn die angeblich so wichtige Forschung mit ihren Gesundheitsdaten (lebens-) wichtige Ergebnisse bringen sollte.

Selbst eine Gemeinwohlorientierung der Forschungsergebnisse aus unseren Gesundheitsdaten ist nirgends festgeschrieben. Auch hier wird stattdessen nur Politik zur Gewinnmaximierung für die Pharmariesen gemacht.

Bei aller Kapitalismuskritik vergessen wir nicht die vielen Datenschutzmängel: Alle unsere Artikel zu ePA+Datenverlusten https://www.aktion-freiheitstattangst.org/cgi-bin/searchart.pl?suche=ePA+verlust&sel=meta

Mehr dazu bei https://www.heise.de/news/Elektronische-Patientenakte-Zivligesellschaft-und-Sicherheitsforscher-warnen-9572354.html

Der Bahn ein Ultimatum gestellt

Bahn App läuft weiter jenseits der DSGVO

Die Bahn App ignoriert die DSGVO

... oder hat sie nicht verstanden ...

Folgendes fiel den Analysten auf:

Datenübermittlungen erfolgen noch bevor der Nutzer eine Interaktion ausgeführt hat und damit noch vor der Abgabe einer ausdrücklichen, informierten, freiwilligen und aktiven Einwilligung , wie sie die DSGVO verlangt.

Weiterhin werden Verbindungen zu 5 Servern von anderen Bahn-Diensten aufgebaut, ohne dass der Nutzer das verlangt oder überhaupt bemerken kann.

Es werden 2 Verbindungen zu verschiedenen Adobe Diensten in den USA aufgebaut und entsprechende Cookies lokal auf den Geräten gespeichert.

Unter iOS wird zusätzlich das Marketing- bzw. Analyse-Unternehmen Optimizely (USA) kontaktiert.

Nun endlich erfolgt die Abfrage der Zustimmung des Nutzers mit einem (Cookie-)Consent-Banner.

Allerdings ist dessen Darstellung kaum mit den Einwilligungen nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) der DSGVO zu vereinbaren. Dargestellt werden müssen die für den "gewünschten Telemediendienst" und "unbedingt erforderlichen" und evtl. weitere zusätzliche Cookies.

Die Deutsche Bahn beeinflusst mit ihrer hervorgehobenen Auswahl "Alle Cookies zulassen" den Nutzer zu dieser Auswahl.

Was passiert bei Nutzung der App?

Bisher war alles Vorgeplänkel, um dem Nutzer ein DSGVO-konformes Verhalten der App dazustellen. Sucht man nun nach einer Bahnverbindung, so sind

Adobe, Qualtrics und Google (Maps) bei jedem Schritt dabei.

Auch wenn man nur der Auswahl "Nur erforderliche Cookies zulassen" zugestimmt hat, übermittelt die App Daten an Tracking- und Analysedienstleister, wie Optimizely, Google, Tealium,  Adobe Inc. CrossEngage.

Die rechtliche Auseinandersetzung kann eigentlich nur Kosten für die Deutsche Bahn erzeugen, denn diese Verstöße sind bereits mehrfach höchstrichterlich beurteilt worden. Mike Kuketz führt dazu eine ganze Liste von Urteilen auf. Vor allem die völlig unnötige Verarbeitung der Daten in Drittländern (außerhalb der EU) ohne Information oder geeignete Garantien sind im Verfahren Schrems (II) gegen Facebook abschließend als illegal festgestellt.

Post App an der DSGVO vorbei programmiert?

Zwang zu unsicherer App

📷Bald wird die App von Post&DHL die einzige Möglichkeit, um Pakete an einer Packstation abzuholen. Allein das ist schon ein Grund diese App unter der Software zu listen, die uns zur Nutzung von digitalen Geräte zwingt. Es ist aber auch ein Grund, sich mal genauer anzuschauen, ob die Software die Privatsphäre der Nutzer respektiert - das sollte man bei einem Konzern. der sich mehrheitlich in Bundesbesitz befindet eigentlich erwarten.

Dem ist leider nicht so, wie Mike Kuketz in seinem Blog nach eingehender Prüfung festgestellt hat. Schlimmer noch, diese App nimmt auch die Vorgaben der europaweit verbindlichen DSGVO nicht so ganz ernst. Kurz zusammengefasst:

Wer die App Post & DHL (Version 7.0.54 (206)/7.2) für seine Paketverfolgung oder den Kauf von Brief- und Paketmarken benutzen möchte, muss als erstes seine Einwilligung zu einer Weitergabe seiner Daten geben - das verlangt auch die DSGVO.

Allerdings wartet die App nicht auf diese Einwilligung des Kunden sondern baut, wie Untersuchungen von Mike Kuketz zeigen, sofort eine Verbindung durch den Google-Tracker "Google Firebase Analytics", der den Google-Cloud-Messaging- (GCM) Nachfolger Firebase Cloud Messaging (FCM) standardmäßig mit Daten beliefert, wenn die Entwickler dies nicht aktiv deaktivieren. Genau dies geschieht in der App sofort nach dem Start. Mike Kuketz schreibt dazu: "Leider können wir die übermittelten Daten nicht einsehen, da Google eine zusätzliche Verschlüsselung darüber legt."

Damit haben wir es mit einem konkreten Verstoß gegen die DSGVO zu tun, denn wie die Datenschutzbeauftragten schreiben, muss eine solche Einwilligung ausdrücklich, informiert, freiwillig, aktiv und vor der eigentlichen Übermittlung erfolgen.

erfolgt die Datenübermittlung vor der Einwilligung,

ist die Abfrage zur Einwilligung tendenziös, sie manipuliert den Nutzer durch den rot hervorgehobenen Button mit dem Text "Alle akzeptieren", auf den die meisten Nutzer tippen werden.

Die DSGVO verlangt auch Informationen gegenüber dem Nutzer über die Art und die  Partner der Datenweitergabe. Dieser Informationspflicht kommt die App auch nicht nach.

Selbst wenn man statt "Alle akzeptieren" keinem Tracking zustimmt wird dennoch erneut eine Verbindung zu Adobe aufgebaut und die Standortdaten werden an Bing Maps von Microsoft übertragen, obwohl die Nutzung von Open Street Map Karten ohne Datenweitergabe möglich wäre.

Haben weder die Programmierer der App noch die Verantwortlichen bei Post und DHL die DSGVO gelesen oder haben sie willentlich beschlossen diese zu ignorieren?