Anforderungen an Smart-Home-Produkte
Daten schützen
Ab Mai 2018 stellt die Datenschutzgrundverordnung (EU-DSGVO) den Datenschutz auf eine neue Grundlage. Auch Smart-HomeProdukte sind davon betroffen. Hersteller sollten ihr Angebot so gestalten, dass sie - unabhängig vom Einsatzzweck ihrer Geräte - generell alle Aspekte der Verordnung einhalten. Was gilt es zu beachten?
Bild: Oliver TjadenWie wichtig ein hohes Niveau an Datenschutz und Datensicherheit ist, hat der Gesetzgeber erkannt und im Jahr 2016 für die EU in der 'Europäischen Datenschutzgrundverordnung' (EU-DSGVO) bzw. 'General Data Protection Regulation (GDPR)' beschlossen. Diese stellt den Datenschutz auf eine neue Grundlage. Nach Ablauf einer zweijährigen Übergangsfrist kommt sie ab dem 25. Mai 2018 in EU-Ländern zur Anwendung. Der deutsche Gesetzgeber hat bereits das Bundesdatenschutzgesetz neu formuliert und hundert weitere Gesetze angepasst. Die DSGVO gilt für die Verarbeitung personenbezogener Daten. Während es bei Funktionsgebäuden offensichtlich ist, dass bei der Erhebung personenbezogener Daten der Datenschutz gilt, gibt es beim privaten Wohnen ein verbreitetes Missverständnis. Ursache dafür ist eine Einschränkung im neuen Bundesdatenschutzgesetz (BDSG neu). In §1 heißt es: Das Gesetz findet keine Anwendung, wenn "die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten" erfolgt. Sofern smarte Geräte in der Privatwohnung genutzt werden und deren Daten ausschließlich in den vier Wänden bleiben, ist das tatsächlich kein Thema für den gesetzlichen Datenschutz. Wenn die Geräte Daten drahtlos übertragen und die Daten auch außerhalb der Wohnung empfangen werden können, ist das schon kritischer. Eindeutig datenschutz-relevant wird es, wenn die Übertragung ins Internet erfolgt und die Daten Personenbezug haben. 'Personenbezug' bedeutet, die Person kann direkt oder indirekt identifiziert werden. Damit ist schon eine dynamische IP-Adresse personenbezogen, denn über die Daten des Providers könnte die Person identifiziert werden. Bezogen auf IoT-Geräte ist offensichtlich, dass die Wohnung zur Privatsphäre gehört. Alles, was von dort nach außen dringt, sind schützenswerte Daten. Das gilt selbst dann, wenn es nur um die ausgewählte Raumtemperatur geht. Die im Garten gemessene Außentemperatur ist dagegen öffentlich und unterliegt nicht dem Datenschutz. Die DSGVO schützt nicht nur private Nutzer (consumer), sondern generell alle Personen, von denen Daten erfasst werden. Das gilt im gewerblichen Umfeld auch für die Bediener-Erkennung durch Logins, Aktivierung eines Einrichtungsmodes und Wartungsbetrieb, sobald technisch zugeordnet werden könnte, welche Person dies ausführt. Neu sind jetzt die Forderungen nach 'Privacy by Design' und 'Privacy by Default'.
Bild: TÜV Rheinland AGPrivacy by Design
Privacy by Design bedeutet 'eingebauter Datenschutz'. Bereits bei der Entwicklung soll der Datenschutz berücksichtigt und nicht erst nachträglich aufgesetzt werden. Datenschutzrisiken sollen von Anfang an vermieden werden. In Bezug auf IoT-Geräte empfiehlt sich dabei eine Unterscheidung zwischen dem Gerät selbst und den mit dem Gerät verbundenen IoT-Service, zum Beispiel die Steuerung über eine App. Das Gerät muss technische Merkmale besitzen, die einen Datenschutz-konformen Betrieb ermöglichen. Ein Beispiel: Jedes IoT-Gerät sendet und empfängt Daten. Diese Datenübertragung soll verschlüsselt erfolgen. Verschlüsselung benötigt Rechenleistung. Der Prozessor im Gerät muss dafür von Anfang an ausreichend groß gewählt werden oder dieses Merkmal möglicherweise schon eingebaut haben. Beim IT-Service für das IoT-Gerät geht es vorrangig um den Geschäftsprozess und die Infomations-Architektur. Das muss im Sinne von Privacy by Design so gestaltet sein, dass die erfassten Daten nur für den Zweck genutzt werden können, der mit dem Nutzer vertraglich vereinbart ist. Um diese 'Datennutzungskontrolle' direkt in die Informationsarchitektur zu integrieren, betritt die Informatik Neuland. Vor allem muss die Zweckbindung der Daten in den Geschäftsprozessen festgeschrieben sein. Eine Vorratsdatenspeicherung für heute noch nicht bekannte Zwecke im Sinne von Big Data Analyse ist damit ausgeschlossen, solange die Daten personenbezogen sind. Für anonymisierte oder pseudonymisierte Daten ist dies unkritisch.
Bild: TÜV Rheinland AGPrivacy by Default
Privacy by Default steht für datenschutzfreundliche Voreinstellungen. Das betrifft bei IoT-Geräten besonders die Registrierung, die der Nutzer durchführen soll, und insgesamt die App. Es dürfen keine Daten vom Nutzer abgefragt oder Einwilligungen verlangt werden, die nicht für den Service erforderlich sind. Sofern verwendet müssen folgende Einwilligungen per Default abgeschaltet sein. Sie dürfen nur verwendet werden, wenn der Nutzer explizit zustimmt:
? Nutzen der Daten für oder Senden von
personalisierter Werbung.
? Übertragung Diagnosedaten an den Hersteller,
z.B. zur Softwareverbesserung.
? Übertragung des Standorts.
? Teilen von Daten, d.h. Daten sind für
andere Nutzer sichtbar.
? Weitergabe von personalisierten Daten
an Dritte (Nicht-Nutzer).
Aus Privacy by Default und anderen gesetzlichen Regelungen leitet sich ab, dass das IoT-Gerät keine Sprache (z.B. zur Spracherkennung) und kein Bild übertragen darf, sofern es dem Nutzer nicht offensichtlich sein muss, dass diese Übertragung eine Kernfunktion des Gerätes ist.
Die No-Gos
Die Verkettung von Datensätzen aus unterschiedlichen Quellen macht aus harmlosen Daten plötzlich sensible. Dazu ein Beispiel: Ein smarter Anwesenheitssensor im Büro steuert das Licht. Werden die Daten gespeichert und mit dem Raumverzeichnis verkettet, lassen sich Mitarbeiter-Listen erstellen, wer wann wie oft und wie lange sein Büro verlässt. Zumindest ist dies bei Einzelbüros möglich. Die Verkettung von Daten ist nach dem BDSG untersagt, vor allem um Profilbildung zu verhindern. Da Speicherplatz praktisch nichts kostet, hebt man Daten gern auf. Diese Vorratsdaten-Speicherung ist nicht zulässig. Unzulässig ist selbstverständlich auch die Täuschung. Es muss transparent sein, wo welche Daten und zu welchem Zweck erhoben werden. Versteckte Kameras oder Sensoren soll es nicht geben. Ebenso dürfen Sensoren nicht für Zwecke missbraucht werden, die man nicht erwartet. Ein Beispiel sind Wagen, die in einigen Personenschleusen und vielen Aufzügen eingebaut sind. Der Nutzer würde getäuscht, wenn damit sein Gewicht protokolliert werden würde. Die Weitergabe oder gar der Verkauf personenbezogener Daten ist nicht zulässig, abgesehen von eng definierten Ausnahmen. Das ist vor allem im privaten Bereich, also bei Wohngebäuden, ein kritischer Punkt. Mancher Anbieter smarter Geräte lässt sich über einen Absatz in der Datenschutzerklärung vom Nutzer pauschal genehmigen, aufbereitete Sensor-Daten an die Werbewirtschaft oder sogar an Finanzdienstleister weiterzugeben. Die Nutzung des Gerätes wird an vertragliche Vereinbarungen gekoppelt, die nicht für den Nutzungs-Zweck erforderlich wären. Mit dem neuen BDSG ist mit solchen Vereinbarungen Schluss.
Daten sind das neue Öl
Hinter allen Regelungen steckt die Erkenntnis: 'Daten sind das neue Öl', die 'neue Währung' oder 'der vierte Produktionsfaktor'. Daten haben einen hohen Wert, den es zu schützen gilt. Gleichzeitig treiben Daten die Wirtschaft voran und ihre Sabotage kann erhebliche wirtschaftliche und soziale Auswirkungen haben. Dass es dafür jetzt neue gesetzliche Vorschriften gibt, erscheint absolut konsequent. Die Unternehmen sollten das nicht nur als Zwang, sondern als Chance sehen. Sie können sich durch vorbildlichen Datenschutz profilieren und die große Zahl potenzieller Kunden ansprechen, die den IoT-Geräten kritisch gegenüberstehen, weil sie sich Sorgen um ihre Privatsphäre machen. TÜV Rheinland hilft dabei. Er hat auf Basis der DSGVO technische Anforderungskataloge und Prüfprogramme entwickelt, mit denen IoT-Geräte und die zugehörigen Services getestet werden. Bei erfolgreicher Prüfung wird ein Zertifikat erteilt. Damit zeigt der Anbieter den Aufsichtsbehörden, seinen Händlern und den Verbrauchern, dass er ein hohes Niveau an Datenschutz und Datensicherheit einhält.
Bild: TÜV Rheinland AGPrivacy by Design
Privacy by Design bedeutet 'eingebauter Datenschutz'. Bereits bei der Entwicklung soll der Datenschutz berücksichtigt und nicht erst nachträglich aufgesetzt werden. Datenschutzrisiken sollen von Anfang an vermieden werden. In Bezug auf IoT-Geräte empfiehlt sich dabei eine Unterscheidung zwischen dem Gerät selbst und den mit dem Gerät verbundenen IoT-Service, zum Beispiel die Steuerung über eine App. Das Gerät muss technische Merkmale besitzen, die einen Datenschutz-konformen Betrieb ermöglichen. Ein Beispiel: Jedes IoT-Gerät sendet und empfängt Daten. Diese Datenübertragung soll verschlüsselt erfolgen. Verschlüsselung benötigt Rechenleistung. Der Prozessor im Gerät muss dafür von Anfang an ausreichend groß gewählt werden oder dieses Merkmal möglicherweise schon eingebaut haben. Beim IT-Service für das IoT-Gerät geht es vorrangig um den Geschäftsprozess und die Infomations-Architektur. Das muss im Sinne von Privacy by Design so gestaltet sein, dass die erfassten Daten nur für den Zweck genutzt werden können, der mit dem Nutzer vertraglich vereinbart ist. Um diese 'Datennutzungskontrolle' direkt in die Informationsarchitektur zu integrieren, betritt die Informatik Neuland. Vor allem muss die Zweckbindung der Daten in den Geschäftsprozessen festgeschrieben sein. Eine Vorratsdatenspeicherung für heute noch nicht bekannte Zwecke im Sinne von Big Data Analyse ist damit ausgeschlossen, solange die Daten personenbezogen sind. Für anonymisierte oder pseudonymisierte Daten ist dies unkritisch.
TÜV Rheinland AG
Dieser Artikel erschien in Industrie 4.0 Magazin (I40) 06 2018 - 22.03.18.Für weitere Artikel besuchen Sie www.i40-magazin.de
