Über 50% aller Apps verstoßen vermutlich gegen neue EU-Richtlinie

[m-j-e]

Die EU und ihre lieben Richtlinien, besonders im Bereich Datenschutz nimmt man es ganz ernst. Am 25. Mai tritt die neue Datenschutzrichtlinie 'GDPR' in Kraft und stellt alles auf den Kopf. App Entwickler haben aber nur bis Februar Zeit ihre Produkte anzupassen, dann will Google aussortieren.

Die neue Richtlinie soll das unerlaubte Sammeln von personenbezogenen Daten verhindern. Zu diesen Daten gehört unter anderem auch die Position, Kalendereinträge, Kontakte oder Aufnahmen durch das Mikrofon. Laut Safedk, einem Softwareunternehmen welches Lösungen zur Überwachung und Auswahl von SDKs anbietet, verstößt ein Großteil der vorhandenen Apps gegen einen oder mehrere Aspekte der Richtlinie. So greifen 56% aller Apps auf den Standort des Nutzers zu. Oft stammen diese Zugriffe aus SDKs (Software Development Kits), diese vorgefertigten 'Pakete' beinhalten Drittanbietersoftware und können somit Daten erheben, die eigentlich für die App nicht relevant sind. Die durchschnittliche Android App beinhaltet 18,5 SDKs, App-Entwickler sind dann aber auch für unerlaubte Zugriffe durch SKDs verantwortlich. Besonders Werbung-Netzwerk SDKs greifen oft auf den Standort zu, dies wird unter der neuen Richtlinie nicht mehr erlaubt sein. In Zukunft müssen App-Entwickler also scharf aufpassen, dass sich in den SDKs nichts 'unerlaubtes' versteckt.

​

Heißt das jetzt, dass alle Apps die den Standort wissen wollen gelöscht werden müssen? Das sicher nicht. Es geht vielmehr um das 'unangebrachte' Sammeln von Daten. Wenn beispielsweise eine Taschenlampen-App auf das Mikrofon und den Standort zugreifen will, macht das wenig Sinn. Doch eine Diktiergerät-App hingegen muss auf das Mikrofon zugreifen können. Wenn die neue Richtlinie im Mai in Kraft tritt, dann muss dem Nutzer klar aufgelistet werden, wozu welche Daten gesammelt werden. Nutzer haben dann auch das Recht eine komplette Löschung aller personenbezogenen Daten anzufordern. Wird sich nicht daran gehalten, drohen saftige Geldstrafen.

Forums-User @*Struppi* hat sich mit der Richtlinie ausgiebig beschäftigt und konnte das Thema, gut für Laien verständlich, zusammenfassen:

Ich habe die DSGVO (Datenschutz-Grundverordnung, im Artikel hier wird nur das englische Kürzel GDPR genannt - General Data Protection Regulation) im Rahmen meiner Master-Thesis zufällig ziemlich ausführlich unter der (rechtswissenschaftlichen) Lupe gehabt.

Schlussfolgerungen wie -Kalenderapps werden künftig illegal- sind natürlich nicht zutreffend. Vielmehr steht die Verordnung unter der Zielsetzung der TRANSPARENTEN Verarbeitung personenbezogener Daten. Wie bereits richtig angemerkt, soll eine ungerechtfertigte Erhebung, Vorhaltung und Nutzung solcher Daten eingedämmt werden. Dazu gehört natürlich auch, dem User anzuzeigen, in welche Datenverarbeitungen er denn nun einwilligen soll. Das bringt mich auch schon zum eigentlich wichtigsten Punkt: Gemäß Artikel 6 Abs. 1 Buchst. a) DSGVO ist eine Einwilligung in die Verarbeitung der konkreten Daten einzuholen und zwar zur Erfüllung des angestrebten Vertrages oder der vorgehaltenen Leistung. Wer seine Kalender-App nutzen möchte, der geht damit ohnehin einen Vertrag ein, in diesem kann durch die bereits seit langem existierende Anzeige der App-Berechtigungen gleichzeitig vertraglich eingewilligt werden, dass er all dies auch genau so wünscht. Ein Verstoß gegen die Richtlinie ist somit längst nicht so wahrscheinlich, wie man zunächst schwarzmalerisch annehmen mag.

Ein Verstoß gegen die Richtlinie begründet sich also nicht schon darin, dass Apps solche Daten verwenden oder erheben, die durch die Richtlinie geschützt werden sollen. Es steht dem User jederzeit frei, sein okay dazu zu geben. Ein Verstoß ist gegeben, sofern eine App solche Daten ohne Wissen und Einwilligung verarbeitet und daran sollte letztlich keiner von uns ein Interesse haben.

Spannend wird es, wenn sich Apps gleichzeitig Daten unserer Kontakte einsammeln wollen, denn hierin kann ich als User eigentlich nicht so wirklich rechtmäßig einwilligen, denn es handelt sich um das Datenschutzrecht Dritter. Hier wird es in der Tat wohl zu Einschränkungen kommen müssen, allerdings meines Erachtens primär für Google und Apple selbst, nicht so wirklich für die Taschenlampenapp-Entwickler.

Diskussion zum Beitrag
(im Forum "Android Sicherheit")
[newsquelle]http://blog.safedk.com/gdpr/google-play-user-privacy-30-days/[/newsquelle]