Skip to content

Einbindung von Flickr doch konform zur DS-GVO

GDPR
GDPR & ePrivacy Regulations von Dennis van der Hejden. Original bei Flickr

Vor kurzem stellte ich mir hier im Blog die Frage, ob man noch Bilder des Dienstes Flickr einbinden kann. Nach meiner Prüfung kam ich zu dem Schluss, dass dies nicht mehr der Fall ist und entfernte die Bilder aus meinem Blog.

Heute hielt ich einen Workshop, der u.a. auch die Datenschutz-Grundverordnung zum Thema hatte. Dort fragte mich ein Teilnehmer, ob denn das Land Thüringen eine korrekte Datenschutzerklärung (DSE) hat. Der folgende Abschnitt brachte mich dann doch ins Staunen:

Flickr

Innerhalb unseres Onlineangebotes können Funktionen und Inhalte des Dienstes Flickr eingebunden sein. Flickr ist ein Foto- und Bilder-Dienst des amerikanischen Unternehmens SmugMug Inc. (67 E. Evelyn Ave, Suite 200
Mountain View, California, U.S.)Wenn Sie selber Flickr aktiv nutzen und ein Bild oder Video veröffentlichen, können wir ihn ebenfalls sehen, wenn Sie ihn jedermann zugänglich gemacht haben oder wenn wir Ihnen über Flickr folgen. Ebenfalls können wir Ihre Angaben auf Flickr sehen, wenn thueringen.de Ihrem Profil folgt. Einzelheiten zur Verarbeitung der Daten bei Flickr und den Sichtbarkeitseinstellungen entnehmen Sie bitte den Datenschutzbedingungen von Flickr bzw. Oath (ehemals Yahoo): policies.oath.com/ie/de/oath/privacy/index.html  

Das heißt, das Land Thüringen ist der Meinung, rechtmäßig Flickr-Bilder einbinden zu können. Wie kann das sein?

Weder Flickr noch Yahoo! noch eine der anderen Firmen steht bisher auf der Privacy-Shield-Liste. Und die Datenschutzbedingungen von Flickr gaben doch bisher auch nichts her. Aber: Unter anderen ist das Datenschutzcenter von Oath mit verlinkt. Dort steht gleich am Anfang:

Für Produkte oder Dienste von Oath, auf die ohne Anmeldung bei einem Account zugegriffen wird, gilt diese Datenschutzerklärung für diese Produkte und Dienste ab 25. Mai 2018.  

Flickr gehört mit zu Oath. Also gelten diese Bedingungen auch für Flickr. In der DSE steht drin, dass die Oath (EMEA) Limited in Dublin diese Dienste bereitstellt und damit wohl Verantwortlicher im Sinne der DS-GVO ist. Also werden die Daten von einem Unternehmen mit Sitz in der EU verarbeitet und die DS-GVO möchte ja den freien Verkehr personenbezogener Daten fördern (oder zumindest nicht einschränken).

Weiterhin erklärt Oath, dass sie die Standardvertragsklauseln der EU-Kommission verwenden bzw. nur Daten mit Unternehmen austauschen, die nach Privacy Shield zertifiziert sind.

Insgesamt scheint die Datenschutzerklärung den Anforderungen der Art. 13 und 14 DS-GVO zu entsprechen. Und auch inhaltlich ist es jetzt so, dass man wohl doch bedenkenlos Bilder von Flickr in seinem Blog einbinden kann.

Blog entflickt

In einem Beitrag vor ein paar Tagen kam ich zu der Ansicht, dass spätestens mit der Anwendung der Datenschutz-Grundverordnung am 25. Mai 2018 Flickr nicht mehr genutzt werden kann. Das bedeutete für mich, dass ich mein Blog auf Bilder prüfen muss, die über Flickt eingebunden werden. Soweit ich das sehe, ist das jetzt abgeschlossen. Es sollten keine Bilder mehr über Flickr und andere fremde Quellen kommen.

Weiterhin habe ich geprüft, ob ich bei YouTube-Videos die Domain youtube-nocookie.com verwende. Auch dies sollte jetzt der Fall sein. Damit kommen die Videos hier im Blog entweder von obiger YouTube-Seite oder von media.ccc.de.

Solltet ihr noch Sachen finden, die von woanders eingebunden werden, freue ich mich über einen Hinweis in den Kommentaren.

Kann man Flickr-Fotos noch einbinden?

Update: 11 Tage nach dem untenstehenden Blogpost hat sich die Lage doch grundlegend geändert. Ich habe in einem neuen Beitrag beschrieben, warum es mittlerweile doch rechtmäßig ist, Flickr-Bilder einzubinden. Daher kann der untenstehende Beitrag ignoriert werden.


Ich bin gerade dabei, mein Blog durchzuschauen, was ich an fremden Inhalten einbinde oder was nach den Bestimmungen der Datenschutz-Grundverordnung (DS-GVO) relevant wäre. Dabei fiel mir auf, dass ich an einigen Stellen den Fotodienst Flickr verwende. Das heißt, ich habe auf deren Seiten Bilder gespeichert und für Beiträge werden diese Bilder hier mit eingebunden.

Wie verhält sich dies nun nach der DS-GVO? Wenn jemand einen Blogbeitrag mit einem solchen Flickr-Bild besucht, dann sehe (oder im Sinne der DS-GVO erhebe) ich bzw. mein Server die IP-Adresse des Besuchers. Unter anderem zählt diese als personenbezogenes Datum. Durch den Abruf des Bildes werden diese personenbezogenen Daten in ein unsicheres Drittland übertragen. Denn Flickr gehört US-Firmen (Yahoo! bzw. SmugMug) und deren Server stehen in den USA. Nun sagt der Artikel 35 DS-GVO, dass die Daten trotzdem in solche unsicheren Staaten übertragen werden kann, wenn es ein angemessenes Schutzniveau gibt. Dies kann durch verschiedene Faktoren passieren. Im Falle der USA ist der so genannte Privacy Shield eine der Varianten. Die US-Unternehmen können sich zertifizieren lassen und in eine Liste eintragen. Steht ein Unternehmen auf der Liste, ist der erste Schritt getan. Da ein solches Unternehmen personenbezogene Daten in meinem Auftrag verarbeitet, wäre wohl noch ein Auftragsverarbeitungsvertrag abzuschließen und die Datenschutzerklärung entsprechend zu ergänzen.

Im Falle von Flickr suchte ich also nach einem Eintrag in der Liste beim Privacy Shield. Dort fand ich weder einen Eintrag zu Flickr noch zu Yahoo! oder SmugMug. Auch anderweitige Suchen brachten mich nicht weiter. Damit muss ich wohl davon ausgehen, dass Flickr eben nicht nach Privacy Shield zertifiziert ist. Jetzt könnte ich versuchen, einen Vertrag gemäß der Standardvertragsklauseln der EU mit Flickr abzuschließen. Ich halte es aber für fraglich, dass Flickr dies mit jedem seiner Kunden tun wird und dass dies auch bis zum 25. Mai 2018 unterschrieben ist.

Daher ist es wohl so, dass eben kein geeignetes Datenschutzniveau gewährleistet werden kann und damit auch keine Bilder von Flickr eingebunden werden können. Zumindest dann nicht, wenn man der DS-GVO folgen will. Das heißt für mich, dass ich dies jetzt ändern werde und die Bilder lokal ausliefere.

Natürlich bin ich kein Jurist. Das oben Geschriebene ist daher als Meinung eines informierten Laien zu verstehen. Falls ihr andere Argumente oder Meinungen habt, freue ich mich über Kommentare.

Erkennungsdienstlich behandelt

Fingerabdruck

Ich komme gerade von der Kriminalpolizei, wo ich erkennungsdienstlich behandelt wurde. Wenn das so weitergeht, muss ich bald meine DNA abgeben und am Ende atme ich selbst gesiebte Luft. :-) Was war passiert?

Es ist schon etwas länger her, da fragte mich eine Firma an, ob ich nicht eine Analyse ihrer IT-Infrastruktur vornehmen könne. Sie hatten den Verdacht, dass da etwas “nicht stimmt”. Es war anzunehmen, dass jemand aus der Mitarbeiterschaft Daten entwendet. Ich untersuchte also das Netzwerk und einige Rechner. Dabei stach ein Rechner besonders hervor. Dort baute ich mit dem Sysadmin die Festplatte aus und kopierte diese zur weiteren Untersuchung. Es stellte sich heraus, dass der Mitarbeiter in massivem Umfang Daten aus der Firma geschleust hatte. Im weiteren Verlauf schaltete die Firma die Staatsanwaltschaft ein. Diese hat mittlerweile die (Ermittlungs)fäden in der Hand. Im Rahmen dessen werden diverse Gegenstände untersucht und geschaut, wer diese angefasst hat. Als Tatortberechtigter durfte ich somit meine Fingerabdrücke abgeben.

Im Vorfeld habe ich lange gerätselt, ob das machen soll oder nicht. Denn es gibt nicht wenige Fälle, in denen die einmal erhobenen Daten irgendwo landen, so nach dem Motto: Könnte man vielleicht noch einmal gebauchen.. Meinen Anwalt konnte ich für einen fundierten Rat nicht erreichen also verließ ich mich auf meinen guten Glauben und Fragen. Ich hatte mir vorgenommen, den Beamten vorher über die befürchteten Konsequenzen auszuquetschen und, falls es unglaubwürdig wäre, die Abgabe zunächst zu verweigern. Aber dazu kam es gar nicht. Denn kaum war ich in seinem Büro angekommen, setzte er zu einer längeren Belehrung an. Demnach werden die Spuren nicht gespeichert, sondern nur mit den am Tatort vorgefundenen verglichen. Die Fingerabdrücke werden nach den Worten des Beamten nicht in Datenbanken gespeichert, sondern nach Abschluss des Falles (oder sagte er, nach Beendigung des Vergleichs?) gelöscht. Wahrscheinlich schaute ich immer noch skeptisch und er meinte zum Schluss, dass sie, selbst wenn sie die Abdrücke aufheben und später auswerten würden, dürften die nicht gegen mich verwendet werden. War da nicht was mit den Früchten des vergifteten Baumes? In der Tat scheint dies nicht so zu sein, wie ich dachte. Die Wikipedia weiß mehr im Artikel zum Beweisverbot. Schließlich bekam ich einmal einen Satz schwarze Hände. Dank eines Spezialwaschmittels sind die aber schon wieder sauber.

Ich fand den Besuch letztlich recht interessant. Denn der Beamte war sehr offen und wir unterhielten uns über einige Themen, u.a. natürlich auch über das Abnehmen von Abdrücken. Interessanterweise nutzt die Polizei dieselbe Methode wie der CCC. Der Unterschied besteht letztlich nur darin, dass es das Ganze für die Polizei als fertige Einheit gibt.

Spätestens wenn der Fall abgeschlossen ist, werde ich mal eine Auskunftsanfrage bei verschiedenen Behörden starten und hoffentlich herausfinden, dass keine Informationen über mich gespeichert sind. :-)

Foto von TheRealGrudge

Zitat des Tages

Gestern stand ich am Holzmarkt in Jena und lauschte einer Veranstaltung diverser Schüler. Hinter postierte sich ein älteres Ehepaar und der Mann regte sich gleich auf, dass die Schüler ja neuerdings ein Kinderparlament wollten, das das garantiert alles unerzogene Gören wären und noch einiges anderes, was ich nicht verstand. Schließlich endete seine Tirade mit dem Satz:

Die Grünen sind der Sargnagel des Vaterlands.

tweetbackcheck