Echt jetzt - die kommende DSGVO ist hier kein Thema ?

[Gast_398601]

für die journalistische Arbeit zumindest.

Und für rein private Dinge.

 

[Gast_406740]

Und für rein private Dinge.

das steht doch eh außer Frage und wurde auch noch nie irgendwo bezweifelt.

Die Frage ist nur, was da genau dazu gehört und was nicht (wobei das auch nur hier in Frage steht- alle anderen bisher genannten Quellen sind sich da ja einig).

Übrigens: wir sprechen da ja fast immer nur von den diversen Möglichkeiten, wie man nach DSGVO Bilder aufnehmen und veröffentlichen darf- dass die DSGVO selbst bei erlaubten Veröffentlichung noch viele weitere Regelungen enthält, die je nach konkreter Konstellation einzuhalten sind, hat /bd/ in seinen letzten Postings eindrucksvoll gezeigt.

vg, Festan

 

[parbleu !]

erst einmal geht das in dem den weiteren « Bestand » des KUG betreffenden Beschlusses des OLG Köln um ein Verfahren des einstweiligen Rechtsschutzes irgendwer gegen den WDR …

 

[chrisch]

Was die DMS angeht, die als SaaS angeboten werden, bin ich skeptisch. Nicht nur weil es für Fotografen und andere Kleinunternehmer noch eine zusätzliche monatliche Belastung ist sondern auch weil sich für mich SaaS und Datenschutz irgendwie beißen.

Ja das ist ein Paradoxon der DSGVO, dass man in manchen Bereichen nun mehr Daten sammelt, speichert und teilt als vorher, nur um die Verpflichtungen der DSGVO erfüllen zu können.

 

[Gast_398601]

Was die DMS angeht, die als SaaS angeboten werden, bin ich skeptisch. Nicht nur weil es für Fotografen und andere Kleinunternehmer noch eine zusätzliche monatliche Belastung ist sondern auch weil sich für mich SaaS und Datenschutz irgendwie beißen. .

Ich arbeite bei einem Cloud Service anbieter und kann dem Argument irgendwie gar nicht folgen. Wieso beissen sich Cloud Services und Datenschutz?!

 

[acahaya]

erst einmal geht das in dem den weiteren « Bestand » des KUG betreffenden Beschlusses des OLG Köln um ein Verfahren des einstweiligen Rechtsschutzes irgendwer gegen den WDR …

Das wirklich Interessante an dem Urteil ist, dass das KUG im Zusammenhang mit Fotografie und Bildrechten als trotz bzw. zusammen mit der DSGVO immer noch geltendes deutsches Recht betrachtet wurde.
Damit darf man vielleicht hoffnungsvoll davon ausgehen, dass andere Gerichte das in Zukunft ebenso sehen werden.

siehe auch: https://springer-hamburg.de/springer-kollegen/aktuelles-details/items/OLG-Koeln-DSGVO.html

und

http://go.rechtsuniversum.de/u/https://www.anwaltscontor.de/news/dsgvo-kug-beschluss-olg-koeln

 

[parbleu !]

Das wirklich Interessante an dem Beschluss ist dieser Satz :

Die umfangreichen Abwägungsmöglichkeiten im Rahmen des KUG erlauben […] eine Berücksichtigung auch der unionsrechtlichen Grundrechtspositionen.

 

[/bd/]

Ich arbeite bei einem Cloud Service anbieter und kann dem Argument irgendwie gar nicht folgen. Wieso beissen sich Cloud Services und Datenschutz?!

Wenn der Anbieter Mist baut und dadurch für den Betroffenen ein Schaden entsteht, bist du als Verantwortlicher gegenüber dem Betroffenen in der Haftung.

 

[/bd/]

Ja das ist ein Paradoxon der DSGVO, dass man in manchen Bereichen nun mehr Daten sammelt, speichert und teilt als vorher, nur um die Verpflichtungen der DSGVO erfüllen zu können.

Weil sie nicht wissen, was sie tun...

 

[Gast_406740]

Wenn der Anbieter Mist baut und dadurch für den Betroffenen ein Schaden entsteht, bist du als Verantwortlicher gegenüber dem Betroffenen in der Haftung.

das gilt doch auch gegenüber anderen Dienstleistern und ist kein spezielles Argument gegen Clouddienste an sich- gibt es dafür nicht die AV-Verträge?

vg, Festan

 

[acahaya]

Ich arbeite bei einem Cloud Service anbieter und kann dem Argument irgendwie gar nicht folgen. Wieso beissen sich Cloud Services und Datenschutz?!

Nicht grundsätzlich und nicht pauschal. Ich sprach spezifisch von Skepsis bei Datenschutzmanagementsystemen auf SaaS Basis.
Ich habe mir da ein paar Lösungen angesehen, bei denen ich z.B. Fragen zu technischen und organisatorischen Sicherungsmaßnahmen meiner Büroräume nur sehr sehr ungern beantworten würde, weil mir trotz AV nicht klar ist, wie sicher das eigentlich ist bzw. wer diese Informationen ggf. im Klartext lesen kann. Da müsste man auf jeden Fall mal mit einem IT Sicherheitsspezialisten vor Ort vorbeischauen.
Ich habe im Gegensatz zu vielen anderen Fotografen zig Jahre IT Erfahrung und frage mich, wie man das als Nicht-ITler, der so ein Tool nutzt um die geforderte Doku zu erzeugen, beurteilen soll. Schließlich ist man ja der Verantwortliche.

 

[chrisch]

Ich arbeite bei einem Cloud Service anbieter und kann dem Argument irgendwie gar nicht folgen. Wieso beissen sich Cloud Services und Datenschutz?!

Weil sich durch die Nutzung eines Cloud-Services der Kreis derjenigen, die Zugriff auf die Daten haben, vergrößert und man ein Stück weit die Kontrolle über die Daten verliert. Das muss nicht zwingend problematisch sein, aber setzt natürlich voraus, dass der Cloud-Anbieter dann auch alle datenschutzrechtlichen Bestimmungen einhält, was man als Kunde jedoch nur schwer überprüfen kann.

Oder anders gesagt: Aus Datenschutzsicht sind personenbezogene Daten auf einem heimischen PC wahrscheinlich besser aufgehoben als in der Cloud, wo sie vermischt mit tausenden anderen Kundendaten möglicherweise in irgendeinem Rechenzentrum eines bekannten amerikanischen Online-Buchhändlers gespeichert werden.

 

[chrisch]

Weil sie nicht wissen, was sie tun...

Naja...wenn sich manche nun überlegen, ob sie cloud-basierte Datenschutz-Managementsysteme benutzen, dann werden zig personenbezogene Daten an die Anbieter solcher Systeme weitergegeben, was die Daten nun nicht gerade schützt, sondern die Angriffsfläche eher vergrößert.

 

[Gast_398601]

Weil sich durch die Nutzung eines Cloud-Services der Kreis derjenigen, die Zugriff auf die Daten haben, vergrößert und man ein Stück weit die Kontrolle über die Daten verliert. Das muss nicht zwingend problematisch sein, aber setzt natürlich voraus, dass der Cloud-Anbieter dann auch alle datenschutzrechtlichen Bestimmungen einhält, was man als Kunde jedoch nur schwer überprüfen kann.

Der Kreis derer die Zugriff auf die Daten haben, erweitert sich nicht zwangläufig. Jeh nachdem wie der Service architektonisch gebaut ist, kann der sogar kleiner werden.

Und klar muss man als Anbieter da voll transparent sein, wir erlauben allen unseren Kunden einmal im Jahr unsere Plattform zu auditieren, gerne auch über einen externen Dienstleister den der Kunde aussucht. Und wir haben einige der größten Banken der Welt als Kunden, die prüfen uns regelmässig auf herz und nieren und drehen dabei jeden Stein um.

Oder anders gesagt: Aus Datenschutzsicht sind personenbezogene Daten auf einem heimischen PC wahrscheinlich besser aufgehoben als in der Cloud, wo sie vermischt mit tausenden anderen Kundendaten möglicherweise in irgendeinem Rechenzentrum eines bekannten amerikanischen Online-Buchhändlers gespeichert werden.

Aus Deinen Aussagen lese ich so ein wenig dass Du wenig Ahnung davon hast, wie Cloudservices wirklich funktionieren?
Glaub mir, in einer Seriös gebauten und professionell betriebenen Cloud sind die Daten viel besser aufgehoben als auf den heimischen PCs von unbedarften....................

 

[/bd/]

Ich bin seit Jahren ein großer Befürworter von Cloud-Services, gerade weil ich die, ähhh, Gegebenheiten in kleinen mittelständischen Unternehmen (auch) kenne.

Die sind mit risikomindernden Maßnahmen regelmäßig überfordert, weil Fachleute für IT- und Informationssicherheit nun nicht gerade auf Bäumen wachsen, die Investitionen in die Anlagentechnik unterschätzt werden und schließlich oft genug die baulichen Voraussetzungen nicht gegeben sind: Zwei Schiffsdiesel und mehrere LKW-Ladungen Pufferbatterien passen halt nicht in jeden Keller...

...was die Daten nun nicht gerade schützt, sondern die Angriffsfläche eher vergrößert.

Ich weiß nicht, ob das jetzt zu fachspezifisch ist, aber wer seine TOM plant, sollte sich aus meiner Sicht einige grundlegende Gedanken zu dem Begriff "Sicherheit" machen. Der Begriff wird auch von IT-Fachleuten oft so benutzt, als ob es "einen Meter" Sicherheit (hohe Sicherheit ) gäbe.

Sicherheit ist die Summe aller risikomindernden Maßnahme.
Diese Maßnahmen können technischer, organisatorischer oder rechtlicher Art sein.

Ein Risiko ist die Summe aus Eintrittswahrscheinlichkeit x der zu erwartenden Schadenshöhe in Bezug auf den Eintritt eines Schadensereignisses.

Es gibt also zwei Faktoren, an denen ich mit einer Maßnahme die Sicherheit erhöhen kann: Ein Backup vermindert z.B. die zu erwartende Schadenshöhe, eine Firewall die Eintrittswahrscheinlichkeit.

Jede Maßnahme kann selbst ein Risiko darstellen.
Dieser Punkt wird oft völlig vernachlässigt.

Zu unserem Beispiel...

Ein seriöser Anbieter von Cloud-Diensten mit einem entsprechend ausgestatteten Rechenzentrum, kann risikomindernde Maßnahmen durchführen, die in einem Firmenumfeld oder gar im teilweise privaten Umfeld eines Einzelunternehmers nicht einmal ansatzweise realisiert werden können.

Wer sich damit nicht auskennt, kann sich nicht vorstellen, was sich da in den letzten Jahren getan hat. Ein modernes Rechenzentrum ist bei weitem mit mehr Sicherheitstechnik und -organisation ausgestattet, als der Hochsicherheitstrakt einer Justizvollzugsanstalt.

Dem steht jedoch immer gegenüber, dass man seine Daten über öffentliche Netze Dritten übergibt und für den Berufsfotografen die Verarbeitung weitestgehend intransparent ist. Genau hier greift dann die Notwendigkeit einer Überprüfung durch Dritte im Rahmen einer ISO-Zertifizierung. Die ISO 27000ff, in Wirklichkeit handelt es sich nicht nur um eine sondern um eine ganze Familie von Normen, und das damit zusammenhängende Zertifizierungsverfahren ist sehr streng.

Wenn ich nun einen CLoud-Dienst in einem ISO 27000 zertifizierten Rechenzentrum mit einer klassischen IT eines Fotografen vergleiche, überwiegt aus meiner Sicht das Risiko des Betriebs der klassischen IT des Fotografen der Übertragung und Übergabe an Dritte bei weitem.

...dann werden zig personenbezogene Daten an die Anbieter solcher Systeme weitergegeben

Gerade bei der Verwendung eines Datenschutzmanagementsystems sollte man sich immer zuerst die Frage stellen: Braucht es für die Verarbeitung das personenbezogene Datum?

Im Hinblick auf die DSGVO rechne ich übrigens damit, dass Cloud-Services noch einmal einen Schub bekommen. Wenn ich einen Cloud-Service nutze und mir vom Anbieter die ISO-Zertifizierung bestätigen lasse, kann man meistens von der Web-Seite herunter laden, gelten die TOM für diese Datenverarbeitung als erfüllt. Das ist dann nur "ein Blatt Papier"...

 

[Galgenstativ]

Neues Futter zum diskutieren:

https://www.wbs-law.de/datenschutzr...otografen-fotojournalisten-und-private-77116/

Für "Streetfotografen" sieht es anscheinend danach aus, dass man die Kamera bald einmotten kann.

 

[/bd/]

Neues Futter zum diskutieren:

Für "Streetfotografen" sieht es anscheinend danach aus, dass man die Kamera bald einmotten kann.

Das ist nicht "neu", sondern ein Update eines alten Artikels, in dem sich der Herr Anwalt nach jetzigem Stand zumindest teilweise vergaloppiert hat.

Schon das erste Update des Artikels ist insofern bemerkenswert, da Herr Prof. Caspar in dem mehrfach zitierten Papier auch die Auffassung vertritt, dass de facto und de jure für die Verarbeitung (anfertigen einer Fotografie, Bearbeitung und Veröffentlichung) durchgehend Art 6 (1) f berechtigtes Interesse anzunehmen ist und die Informationspflicht bei "Street" weitestgehend entfällt. Warum Herr Solmeck in seinem ansonsten wortreichen Kommentar zum Papier des BMI nicht darauf eingeht, bleibt wohl sein Geheimnis.

Das vorliegende OLG-Urteil geht durchaus auch grundsätzlich auf die Frage ein, ob das KUG eine nationale Auslegung der Öffnungsklausel der DSGVO darstellt und bejaht dies. Im Gegensatz zu einem privatwirtschaftlich tätigen Anwalt, haben dies die überwiegende Anzahl der Rechtswissenschaftler genau so gesehen.

Ich gehe daher davon aus, dass sich die Rechtsprechung in diese Richtung verfestigen wird, auch unabhängig vom Medienprivileg.

 

[Gast_406740]

....da Herr Prof. Caspar in dem mehrfach zitierten Papier auch die Auffassung vertritt, dass de facto und de jure für die Verarbeitung (anfertigen einer Fotografie, Bearbeitung und Veröffentlichung) durchgehend Art 6 (1) f berechtigtes Interesse anzunehmen ist

das würde dann ja auf jede Fotografie zutreffen und man müsste gar nicht erst mit der KUG, Medienprivileg, Einwilligungen oder Verträgen argumentieren- hätte das OLG dann ja auch wissen können und es sich sehr viel einfacher machen können.

Und auch die Frage, wer von der Haushaltsausnahme denn nun konkret profitiert wäre ohne Belang- berechtigtes Interesse stünde ja über allem.

vg, Festan

 

[acahaya]

....
Ein seriöser Anbieter von Cloud-Diensten mit einem entsprechend ausgestatteten Rechenzentrum, kann risikomindernde Maßnahmen durchführen, die in einem Firmenumfeld oder gar im teilweise privaten Umfeld eines Einzelunternehmers nicht einmal ansatzweise realisiert werden können.

Wer sich damit nicht auskennt, kann sich nicht vorstellen, was sich da in den letzten Jahren getan hat. Ein modernes Rechenzentrum ist bei weitem mit mehr Sicherheitstechnik und -organisation ausgestattet, als der Hochsicherheitstrakt einer Justizvollzugsanstalt.

Dem steht jedoch immer gegenüber, dass man seine Daten über öffentliche Netze Dritten übergibt und für den Berufsfotografen die Verarbeitung weitestgehend intransparent ist. Genau hier greift dann die Notwendigkeit einer Überprüfung durch Dritte im Rahmen einer ISO-Zertifizierung. Die ISO 27000ff, in Wirklichkeit handelt es sich nicht nur um eine sondern um eine ganze Familie von Normen, und das damit zusammenhängende Zertifizierungsverfahren ist sehr streng.

Wenn ich nun einen CLoud-Dienst in einem ISO 27000 zertifizierten Rechenzentrum mit einer klassischen IT eines Fotografen vergleiche, überwiegt aus meiner Sicht das Risiko des Betriebs der klassischen IT des Fotografen der Übertragung und Übergabe an Dritte bei weitem.

Mir ging es wie weiter oben erwähnt um die Frage, wie ein Fotograf oder anderer Klein(st)unternehmer, der mit IT wenig zu tun hat, beurteilen soll, ob ein Anbieter eines DSM auf SaaS Basis sicher und seriös ist.
Den meisten sagt ISO 27000 wenn dann sehr wenig und die Auswahl erfolgt eher nach monatlichen Kosten als nach auf Halbwissen basierenden Scherheitserwägungen.
Ich sehe darin ein Problem und wollte das mal ansprechen. Das bedeutet nicht, dass ich grundsätzlich gegen Clouds oder SaaS Konzepte wäre, ganz im Gegenteil.

Wobei mir der CLOUD Act im Zusammenhang mit der Nutzung von Adobe CC, Dropbox, Mail in der Apple Cloud oder normalem Office 365 schon auch Stirnrunzeln bereitet, da dadurch ja eine nach US Recht legitime Übertragung von personenbezogenen Daten von EU Bürgern auf in der EU stehenden Servern an von der EU als unsicher eingestufte Drittstaaten erfolgen kann. Wenn ich das richtig sehe, erfordert das in manchen Bundesländern eine DSFA.
Gerade im Zusammenhang mit Fotos habe ich da abgesehen von der DSFVO echte Bedenken, ich denke da z.B. an die Türkei und Ermittlungen gegen vermeintliche Gülen Anhänger.
Das hat aber mit der ursprünglichen Frage nach der Sicherheit von Billig-SaaS Angeboten für DMS nichts zu tun, zumindest nicht wenn die Anbieter aus der EU sind.

 

[chrisch]

Der Kreis derer die Zugriff auf die Daten haben, erweitert sich nicht zwangläufig. Jeh nachdem wie der Service architektonisch gebaut ist, kann der sogar kleiner werden.

Das mag im Einzelfall so sein, aber grundsätzlich entsteht durch jede Datenweitergabe an einen Cloud-Anbieter ein gewisser Kontrollverlust über diese Daten, da man eben selbst nicht mehr kontrollieren kann, ob und in welchem Maße der Cloud-Anbieter auf die Daten zugreift und wozu er diese Daten vielleicht nutzt. Zudem muss man darauf vertrauen, dass der Cloud-Anbieter seine Services "ordentlich" gebaut hat und seine Systeme nach dem Stand der (Sicherheits)-Technik betreibt. Wirklich kontrollieren kann man es kaum, denn auch ein Audit ist ja nicht viel mehr als nur ein oberflächlicher Einblick und zudem für einen kleineren Kunden kaum durchführbar.