Wenn sie keine hat, wie erfüllt sie dann die Anforderungen der DSGVO?

  • philpo@feddit.de
    link
    fedilink
    Deutsch
    arrow-up
    22
    ·
    1 year ago

    Als Datenschutzbeauftragter a.D. mal ein paar Dinge dazu:

    1. Impressumspflicht hat nix mit DSGVO zu tun. Die Datenschutzerklärung ist davon komplett getrennt. Diese muss aber tatsächlich Möglichkeiten zur Beschwerde und damit auch eine ladungsfähige Adresse enthalten. Das muss aber NICHT die Privatadresse von @wintermute sein sondern kann auch über eine externe Kanzlei/einen Adressdienstleister sichergestellt sein. Da ist die DSGVO deutlich entspannter als die Impressumspflicht aus Telemediengesetz, Wettbewerbsrecht,etc.

    2. Ja, auch private,nicht kommerzielle Websites müssen der DSGVO folgen sobald sie Daten verarbeiten.

    3. Egal wie sehr man es sich schönredet: Lemmy und damit auch Feddit sammelt persönliche Daten. Jeder Beitrag eines Users fällt unter die Definition der persönlichen Daten nach §4 Abs. 1 DSGVO. Ebenso sind “unendliche” (“alle Feddit Instanzen die es jemals geben wird”) und “unwiderrufliche” Genehmigungen zur Datennutzung hinfällig.

    4. @Wintermute ist damit persönlich dafür verantwortlich die Rechte von Betroffenen zu sichern. D.h. er muss die datenschutzkonforme Löschung, Auskunftsrechte, etc. wahrnehmen. Sonst wird es schnell sehr sehr teuer. Es hilft ihm dabei auch nichts wenn er den Server im EU-fernen-Ausland hostet oder jemanden damit beauftragt. Solange er die endgültige Betreiberkontrolle hat,ist er haftbar. Problematisch sehe ich hier am ehesten aber das effektive Fehlen von Löschtools in der Lemmy Welt - momentan ist es einfach wirklich viel Arbeit Leuten eine vollumfängliche Auskunft zu geben oder ihre Daten zu löschen.

    5. Und zuletzt das große Problem: Die Föderation. Das ist so von der DSGVO/GDPR nicht vorgesehen und ist im gesamten Fediverse eine offene Flanke. Prinzipiell musst du als datensammelnde Stelle mit jeder nachgeordneten Stelle eine Vereinbarung schließen die den Dateneigner ihre Rechte zusichert. Das ist heißt: @Wintermute muss eine solche Vereinbarung z.B. mit Hetzner schließen weil diese den VPS betreuen auf dem Feddit liegt. Das betrifft aber theoretisch auch alle anderen Instanzen die nachgeordneten sind. Sprich: Wird Feddit von Lemmyxyz föderiert und gibt so seine Daten weiter muss Feddit einen entsprechenden Vertrag abschließen. Lemmyxyz darf nun seinerseits die Daten von Lemmy nicht an z.B. Beehaw föderieren. Und so weiter, und so weiter. Die eigentliche Datenweitergabe ist dabei noch das kleinste Problem. Richtig kritisch wird es in der Rechtewahrnehmung nach §7, also der Löschung. Denn der Antrag muss nur an den ursprünglichen Datenerheber gestellt werden. Karl Maier muss also nur gegenüber Wintermute die Löschung beantragen, letzterer muss dann die Löschung gegenüber den nachgeordneten Instanzen sicherstellen.

    Man kann theoretisch an dieser Stelle argumentieren,dass Feddit ja gar nicht willentlich die Daten weitergibt, analog zu den div. Archiv oder Suchmaschinen Crawlern. Das ist aber bei Betrieb eines sich in Hintergrund föderierenden Systems eben nicht so wirklich schlüssig und ich wäre mir nicht wirklich sicher ob das vor Gericht durch ginge mit Tendenz zu “eher nicht”. Denn Feddit könnte sich ja komplett deföderieren.

    Gibt es hier eine Lösung? Ich weiß es nicht. Das übersteigt dann meine “leicht fortgeschrittenen” Kenntnisse und müsste v.a. ggf. vor Gericht auch durchgefochten werden.

    Zuerst muss aus DSB Sicht aber dringend eine Löschmöglichkeit (und Auskunftsmöglichkeit)her die es a) den Admins einer Instanz erlaubt hier den Anfragen fristgerecht nachzukommen ohne sich zu Tode zu arbeiten b) zu mindestens große “bewusst föderierte” Instanzen mit in die Löschung einbezieht. Denn: Vor Gericht wird mit hoher Wahrscheinlichkeit ein "sehen Sie,wir haben bei uns gelöscht,wir haben bei den großen anderen Servern die Löschung beauftragt und kontrolliert und dafür das shadylemmyinstance23 nicht löscht können wir nix " besser ankommen als ein “lol,nix gemacht, Judgebro”. Das könnte z.B. so aussehen,dass Inhalte in der Heimatinstanz zur Löschung beauftragt werden und die Löschung dann ebenfalls föderiert werden. Folgt ein Server der Löschung nicht wird er eben von der Gemeinschaft deföderiert.

    Das ist wohlgemerkt auch nicht wasserdicht. Aber besser als nix.

    Ist wirklich ein schwieriges Thema.

    @Wintermute: Ich bin im Vereinsrecht so gar nicht drin,aber ich meine das die Vereinsgründung da weniger schützt als man denkt,da dir bei Tolerierung eines bekannten DSGVO Verstoßes bereits die grobe Fahrlässigkeit eingeredet werden kann, spätestens vom Amtsgericht wenn der Verein pleite geht. Frag da aber noch einmal einen Anwalt. Tatsächlich kann hier eine UG und eine D&G Versicherung passender sein.

    • Lemmchen@feddit.de
      link
      fedilink
      Deutsch
      arrow-up
      10
      ·
      edit-2
      1 year ago

      Und zuletzt das große Problem: Die Föderation.

      Naja, wenn ich meinem Email-Anbieter ein DSGVO-Gesuch zuschicke, dann erwarte ich ja auch nicht, dass er mir alle Mails liefert, die ich mal zu Adressen bei anderen Anbietern geschickt habe, sondern nur die, die ich tatsächlich noch bei ihm lagern habe. Und Email gibt es ja auch nicht erst seit gestern. Ich kann mir ehrlich gesagt nicht vorstellen, dass das so ein großen Problem ist.

      • philpo@feddit.de
        link
        fedilink
        Deutsch
        arrow-up
        5
        ·
        1 year ago

        Tatsächlich ist E-Mail ein interessantes Objekt und selbst mein Dozent damals konnte das nicht zu 100% begründen - hier wird streiten sich afaik die Autoren. Aber: Hier wird auch kein umfangreicher bewusster Datentransfer an unbeteiligte Dritte vorgenommen. Jeder auf dem “Weg” der E-Mail erfüllt ja seinen “Job”, aber die Mail geht nicht wild noch an Dritte die nicht übertragen oder sonstwas damit zu tun haben. (Theoretisch…)

        Aber ja, ist in der Tat interessant.

    • DocRock@metalverse.social
      link
      fedilink
      arrow-up
      4
      ·
      edit-2
      1 year ago

      @philpo
      Danke das du das nochmal so deutlich zusammen fasst.
      Ja war schon vor 17 Jahren ein “mit einem Bein im Knast” Spiel, weswegen ich nach der Sache mit dem Forum wo ich Mod war, meinen eigene Webseite dicht gemacht habe.
      Und Heute ist es noch deutlich schlimmer.

      • philpo@feddit.de
        link
        fedilink
        arrow-up
        3
        ·
        1 year ago

        Das stimmt so imho nicht. Gerade für private Betreiber ist z.B. ein klassisches Forum vergleichsweise einfach zu betreiben weil mittlerweile viele Dinge einfach höchstrichterlich geklärt sind. Der “Trick” ist halt das isolierte Hosting in der EU (Hetzner ist da eine gute Adresse, Azure nicht). Wenn du dann Löschanträge,etc. fristgerecht bearbeitest und vernünftig moderierst sind die wilden Sachen mittlerweile selten geworden.

        • DocRock@metalverse.social
          link
          fedilink
          arrow-up
          2
          ·
          1 year ago

          @philpo
          Ja ok, ein Forum oder eigene Webseite mag gesetzlich heute einfacher sein.
          Aber damit erreichst du heute ja niemanden mehr.🙄
          Habe mal für eine bekannte Musikerin von 2017 bis 2018 ein Fanforum betreut.
          Aber es haben sich kaum Fan angemeldet.
          Die blieben dann lieber auf Facebook.
          So das wir das schließlich wieder dicht gemacht haben.😐
          Heute läuft das halt alles über die “sozialen Medien”
          Wobei ich Twitter, Facebook und WhatsApp halt nicht als sozial bezeichnen würde.🤦