nierens der Steuerpflichtigen durch die Finanzbeamten belastet die Arbeit der Betroffenen bis heute.

Im Falle einer rechtswidrigen Personalaktenführung machte die Landesbeauftragte ebenfalls von ihrem Beanstandungsrecht Ge-brauch. Die Beschäftigte einer großen öffentlichen Verwaltung ver-suchte jahrelang vergeblich, ihre Personalakte von den rechtswidrig geführten Teilen bereinigen zu lassen. Dabei handelte es sich um Da-ten, die nicht in einem unmittelbaren Zusammenhang mit ihrem Be-schäftigungsverhältnis standen oder längst hätten vernichtet wer-den müssen. Hinweise auf bereits entfernte Abmahnungen, arbeits-gerichtliche Streitigkeiten und sogar Gesundheitsdaten Dritter wa-ren auch auf Grund unzureichender Schwärzungen weiterhin Be-standteil der Personalakte. Die Personalverwaltung kam der Auffor-derung auf Entfernung der rechtswidrig gespeicherten Unterlagen trotz eindeutiger Rechtslage erst nach einer ein Jahr dauernden Aus-einandersetzung nach. Eine schriftliche Zusage der Verwaltung, dass die Personalakte bereinigt sei, stellte sich bei einer unangekündig-ten Nachkontrolle vor Ort zudem als falsch heraus.

Sowohl für den Fall der Komplettüberprüfung von Steuerdaten-abrufen in den Finanzämtern als auch im Zusammenhang mit der rechtswidrigen Personalaktenführung konstatiert Dagmar Hartge:

„Die Beharrlichkeit, mit der manche öffentliche Stellen auch nach einer Beanstandung in eindeutig unzulässiger Weise die Da-tenschutzrechte ihrer Beschäftigten weiterhin beschneiden, offen-bart deren beispielloses Unverständnis für die Persönlichkeitsrech-te der Betroffenen.“

Der vollständige Tätigkeitsbericht der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht steht in ih-rem Internetangebot unter www.lda.brandenburg.de zum Herunterladen zur Verfügung.

LfDI Mecklenburg-Vorpommern: Tätigkeitsberichte 2012/2013

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern hat dem Landtag und der Landesre-gierung für jeweils zwei Kalenderjahre einen Bericht über seine Tä-tigkeit vorzulegen.

Der Elfte Tätigkeitsbericht gemäß § 33 Absatz 1 des Landes-datenschutzgesetzes Mecklenburg-Vorpommern (DSG M-V), der Sechste Tätigkeitsbericht gemäß § 38 Absatz 1 des Bundesdaten-schutzgesetzes (BDSG) und der Vierte Tätigkeitsbericht nach dem Informationsfreiheitsgesetz Mecklenburg-Vorpommern (IFG M-V) umfassen den Zeitraum vom 1. Januar 2012 bis zum 31. Dezember 2013. Da es bei etlichen Sachverhalten fachliche Überschneidun-gen gibt, sind die Beiträge nach dem DSG M-V und nach dem BDSG nicht separat aufgeführt, weil die Themen häufig im Zusammen-hang zu betrachten sind.

Die hier dargestellten Vorgänge sollen einen Eindruck von der breit gefächerten Tätigkeit der Behörde als Beratungs-, Aufsichts- und Kontrollbehörde vermitteln. Einige Beiträge schließen an Sach-verhalte aus den Tätigkeitsberichten der vorherigen Berichtszeit-räume an. Insofern könnte es nützlich sein, in dem einen oder an-deren Fall noch einmal auf diese Berichte zurückzugreifen.

Die Ergebnisse der Aktivitäten des LfDI sind im Bericht übersicht-lich als Empfehlungen zusammengefasst. Sie richten sich sowohl an die Landesregierung als auch an die Kommunen, Unternehmen und Bürger.

Der Tätigkeitsbericht ist unter https://www.datenschutz-mv.de/datenschutz/publikationen/taetberi/tb11/lfdmvtb11.pdf verfügbar.

LfDI Bremen: Datenschutz- und Informationsfreiheitsberichte 2013

Am 21.03.2014 legte die bremische Landesbeauftragte für Daten-schutz und Informationsfreiheit, Dr. Imke Sommer, ihre beiden Be-richte über den Datenschutz und die Informationsfreiheit im Jahr 2013 vor.

Zum Bereich Datenschutz sagte die bremische Landesbeauf-tragte: „Das Jahr 2013 war eines der denkwürdigsten für die Da-tenschutzgrundrechte der Menschen. Wenn wir zurückdenken, fal-len uns zuerst die Enthüllungen der umfassenden und anlasslosen Überwachungsmaßnahmen ausländischer Nachrichtendienste ein. Aber nicht nur die haben uns hier in Bremen im letzten Jahr Sor-gen gemacht. Auch private Stellen haben das Grundrecht auf infor-mationelle Selbstbestimmung in einschneidender Weise verletzt. Wenn Menschen deshalb keinen Mietvertrag bekamen, ihr Arbeit-geber sich bei ihrer Klinik über sie erkundigte oder Prüfungsergeb-nisse oder die Inhalte von vertraulichen Personalgespräche in al-ler Munde waren, fügten Datenschutzverstöße ihnen in existen-ziellen Bereichen Nachteile zu. Damit müssen sich die Menschen nicht abfinden. Sie sollten sich wehren und können dafür auch uns zu Hilfe rufen. Gemeinsam können wir durchsetzen, dass falsche Daten korrigiert, Telefonnummern nicht an mögliche Nachmiete-rinnen beziehungsweise Nachmieter weitergegeben werden, un-gefragte Werbung unterbleibt und unnötige Informationen nicht mehr erfragt werden. Aber es muss allen klar sein, dass manche Schäden auch durch nachträgliche Bußgeldzahlungen nicht mehr gut zu machen sind: Die Wohnung bewohnt jetzt jemand anderes, die intimen Informationen über die Gesundheit und die Prüfungs-ergebnisse kennen jetzt die Falschen. Deshalb ist es wichtig, dass wir alle zusammen darauf achten, dass wir selbst und andere unser Grundrecht auf informationelle Selbstbestimmung wertschätzen!“

Viele der Datenschutzverstöße des zurückliegenden Jahres hat-ten mit „Big Data“ zu tun. Damit sind die technischen Möglichkei-ten gemeint, in riesigen Datenmengen Muster zu erkennen und daraus menschliches Verhalten „vorauszusagen“. Die Algorithmen, die diese Verhaltensprognosen ausrechnen, sind also in Software gegossene Vorurteile. Die Enthüllungen von Edward Snowden ha-ben gezeigt, in welchem vorher unvorstellbar gewesenen Ausmaß die Daten der riesigen privaten Datenkraken von ausländischen Ge-heimdiensten, aber auch von vielen anderen Stellen genutzt wer-den, um Menschen zu beobachten und zu überwachen. Es steht im Raum, dass jedes Telefonat, jeder Abruf im Internet auf der ganzen Welt Überwachungsobjekt ist, zumindest aber sein könnte. Das ist nicht mehr „Big –“, sondern schon „Giant Data“. Zu dieser Gefahr für die Datenschutzgrundrechte sagte die Landesbeauftragte für Da-tenschutz: „Wirksamen Schutz vor Bond 2.0 und vor Dagobert Duck 2.0 bieten nur das Anonymisieren oder das Abtragen der Personen-datenberge. Nur wer es schafft, die Daten so zu verändern, dass sie niemand mehr auf bestimmte oder bestimmbare Menschen bezie-hen kann, hat sie erfolgreich anonymisiert und darf große Daten-berge anhäufen.“ In Bremen wurde darüber im vergangenen Jahr unter anderem im Zusammenhang mit Rezeptdaten diskutiert.

424 DuD • Datenschutz und Datensicherheit 6 | 2014

DUD REPORT

Zum Bereich Informationsfreiheit sagte die Landesbeauftragte: „Auch wenn das zentrale elektronische Informationsregister auf der Seite www.bremen.de in den letzten Jahren sehr gewachsen ist (im Moment umfasst es um die 25.500 Dokumente), dürfen wir uns mit dem Erreichten nicht zufrieden geben. In einer lebendi-gen Verwaltung müssen die Informationsberge täglich ein gutes Stück wachsen. Wir haben noch nicht einmal die Baumgrenze er-reicht. Und genauso wichtig ist es, dass auch die Zahl der Nutzerin-nen und Nutzer noch einmal deutlich ansteigt. Amtliche Informa-tionen wie die über die Bevorratung eines Grippemittels, leerste-hende städtische Immobilien, die Folgekosten des Hafentunnels und über Kooperationen im Wissenschaftsbereich sind eine wich-tige Voraussetzung dafür, bei den Entscheidungen, die uns alle be-treffen, mitmischen zu können. Wenn es beim Zugang dazu noch hapert, helfen wir gerne mit.“

Der 8. Jahresbericht schildert sieben Fälle, in denen sich Menschen aus Bremen an die Informationsfreiheitsbeauftragte gewandt ha-ben, um sich Hilfe zu holen, weil öffentliche Stellen ihnen den Zu-gang zu öffentlichen Informationen verweigert hatten. In fünf Fällen war das schon erfolgreich. In den beiden weiteren Fällen sind die Dis-kussionen mit den betreffenden Stellen noch nicht abgeschlossen.

Hier kann der Bericht heruntergeladen werden: http://www.da-tenschutz-bremen.de/sixcms/media.php/13/36.+Jahresbericht+Da-tenschutz.pdf

EuGH erklärt Richtlinie über die Vorratsdatenspeicherung für europarechtswidrig

Die Bundesbeauftragte für den Datenschutz und die Informations-freiheit, Andrea Voßhoff, begrüßt in einer PM das Urteil des EuGH als notwendige Klarstellung einer seit langem diskutierten Frage.

Andrea Voßhoff: „Die Entscheidung des Europäischen Gerichts-hofes bringt nunmehr die dringend notwendige rechtliche Klar-heit. Auch wenn das Gericht das Mittel der Vorratsdatenspeiche-rung nicht grundsätzlich als ungeeignet verworfen hat, hat es doch eindeutig entschieden, dass die Richtlinie Grenzen überschreitet, die zur Wahrung des Grundsatzes der Verhältnismäßigkeit einge-halten werden müssen. Das Urteil muss jetzt sorgfältig geprüft wer-den, auch mit Blick darauf, ob eine Neufassung der Richtlinie über-haupt sachgerecht ist. Ich halte es deshalb für geboten, jetzt erst einmal abzuwarten, bis der europäische Gesetzgeber sich entschie-den hat, ob und wie eine europarechtskonforme Neuregelung der Richtlinie erfolgen soll.“

Der Europäische Gerichtshof hat in seinem Urteil vom 08.04. 2014 die Richtlinie zur Vorratsdatenspeicherung (RL 2006/24/EG) rück-wirkend für ungültig erklärt, da sie einen schwerwiegenden und unverhältnismäßigen Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten und somit einen Verstoß gegen Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union darstellt.

Gerichte aus verschiedenen Mitgliedstaaten hatten dem Eu-ropäischen Gerichtshof die Frage vorgelegt, ob die Richtlinie zur Vorratsdatenspeicherung mit den Vorschriften der europäischen Grundrechtecharta vereinbar sei. Bereits im Jahre 2010 hatte das Bundesverfassungsgericht die deutsche Umsetzung der Richtlinie für verfassungswidrig und nichtig erklärt; eine gesetzliche Neure-gelung hat seither nicht stattgefunden.

BSI: „Heartbleed Bug“ ist kritisch

Der „Heartbleed-Bug“, über den derzeit in den Medien berichtet wird, ist eine Sicherheitslücke in einer Programmerweiterung von OpenSSL namens „Heartbeat“. OpenSSL ist eine freie Software-Bi-bliothek für Transport Layer Security (TLS) und umfasst Implemen-tierungen verschiedener Verschlüsselungen. Insbesondere Web- und Mail-Server aber auch andere Dienste wie Virtual Private Net-works oder Appliances wie Router nutzen häufig diese Bibliothek für TLS/SSL-Verbindungen. Die Bibliothek enthält in den Versionen 1.0.1 bis 1.0.1f eine Schwachstelle, den „Heartbleed-Bug“.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft diese Schwachstelle als kritisch ein. Ein Angreifer ist unter Ausnutzung der Schwachstelle in der Lage, Speicherinhalte des OpenSSL Servers auszulesen, sofern diese die „Heartbeat“-Erwei-terung aktiviert haben. Mithilfe des „Heartbleed Bugs“ können zu-dem unter Umständen die geheimen Schlüssel von OpenSSL-Ser-vern ausgelesen werden.

Seit dem 7. April 2014 steht mit OpenSSL Version 1.0.1g ein Up-date zur Verfügung, das die Sicherheitslücke schließt. Betreiber, die auf ihren Servern OpenSSL einsetzen, sollten das Update umge-hend einspielen. Falls seit März 2012 eine verwundbare OpenSSL-Version mit aktivierter Heartbeat-Erweiterung eingesetzt wurde, kann eine vergangene Kompromittierung von Schlüsseln nicht ausgeschlossen werden. Daher empfiehlt das BSI in einem solchen Fall den Austausch der verwendeten OpenSSL Server-, beziehungs-weise Client-Zertifikate und Schlüssel sowie eine Änderung der ver-wendeten Passwörter. Der Austausch sollte erst nach der Einspie-lung des Updates erfolgen, da ansonsten die neuen Zertifikate wie-der kompromittiert werden könnten. Die alten Zertifikate müssen nach erfolgreichem Austausch gesperrt werden. Betreiber sind auf-gerufen, ihre Nutzer über die Umsetzung der Aktualisierung zu in-formieren, damit diese ihre Passwörter kurzfristig ändern.

EDSB: Jahresbericht 2013

Im Jahr 2013 war die Überarbeitung des EU-Datenschutzrahmens weiterhin ganz oben auf der Prioritätenliste des Europäischen Da-tenschutzbeauftragten (EDSB) in seiner Beratungstätigkeit zu neu-en Rechtsetzungsvorhaben und wird auch 2014 eine Priorität blei-ben. Weitere Schwerpunkte im letzten Jahr waren die Digitale Agenda und die Datenschutzrisiken neuer Technologien.

Die Umsetzung des Stockholm-Programms im Raum der Frei-heit, der Sicherheit und des Rechts, Binnenmarktthemen wie die Reform des Finanzsektors, sowie Entwicklungen im Gesundheits-wesen und bei Verbraucherthemen hatten ebenfalls Auswirkun-gen auf den Datenschutz. Der EDSB hat zusätzlich seine Zusam-menarbeit mit anderen Aufsichtsbehörden ausgebaut, insbeson-dere im Hinblick auf IT-Großsysteme.

In der Aufsicht über die Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der EU hat der EDSB im Jahr 2013 mit mehr behördlichen Datenschutzbeauftragten in mehr Or-ganen und Einrichtungen als je zuvor zusammengearbeitet. Zu-sätzlich haben mehrere Erhebungen des EDSB gezeigt, dass die meisten Organe und Einrichtungen der EU – viele Agenturen einge-schlossen – gute Fortschritte bei der Einhaltung der Datenschutz-verordnung gemacht haben; nichtsdestotrotz sollten einige von ihnen ihre Anstrengungen verstärken.

Eine ausführliche Zusammenfassung des Jahresberichtes steht in deutscher Sprache zur Verfügung: https://secure.edps.europa.eu/

DuD • Datenschutz und Datensicherheit 6 | 2014 425

DUD REPORT