Wer seine persönlichen Daten schützen möchte, muss nicht auf das Internet verzichten. Mit den richtigen Einstellungen, sicheren Anmeldeverfahren und einem bewussten Umgang mit persönlichen Informationen lässt sich das Risiko einer unerwünschten Datenverarbeitung reduzieren. Gleichzeitig regeln die Datenschutz-Grundverordnung (DSGVO) und weitere gesetzliche Vorschriften, unter welchen Voraussetzungen Unternehmen personenbezogene Daten verarbeiten dürfen.
Der betriebliche Datenschutz betrifft Unternehmen ebenso wie den privaten Umgang mit personenbezogenen Daten. Im Internet werden zahlreiche Informationen verarbeitet, darunter Namen, E-Mail-Adressen, Fotos, Kontaktdaten, Standortinformationen oder Angaben zum Nutzungsverhalten. Ein Teil davon wird freiwillig veröffentlicht. Andere Daten entstehen bei der Nutzung von Webseiten, Apps und Online-Diensten oder werden von Anbietern verarbeitet.
Viele digitale Angebote erleichtern den Alltag: Sie können mit Freunden und Geschäftspartnern kommunizieren, Reisen buchen, Rechnungen bezahlen, Informationen suchen oder soziale Netzwerke nutzen. Dabei entstehen jedoch Datenspuren. Welche Informationen erhoben werden, zu welchem Zweck sie verarbeitet werden und wie lange sie gespeichert bleiben, hängt vom jeweiligen Dienst ab.
Datenschutz bedeutet deshalb nicht, möglichst wenige digitale Angebote zu nutzen. Entscheidend ist vielmehr, welche Daten Sie preisgeben, welche Berechtigungen Sie erteilen und welche Sicherheitsmaßnahmen Sie einsetzen.
Wie kann man die eigenen Daten schützen?
Bei der Nutzung von Webseiten und Apps sollten Sie zunächst prüfen, welche personenbezogenen Daten tatsächlich benötigt werden. Nach den Grundsätzen der DSGVO sollen personenbezogene Daten unter anderem zweckgebunden und auf das notwendige Maß beschränkt verarbeitet werden.
Achten Sie deshalb auf folgende Punkte:
- Welche personenbezogenen Daten werden erhoben?
- Zu welchem Zweck werden die Daten verarbeitet?
- Werden Daten an andere Unternehmen oder Dienstleister weitergegeben?
- Können Sie den Dienst auch nutzen, ohne zusätzliche persönliche Angaben zu machen?
- Welche Daten werden auf Ihrem Gerät gespeichert?
- Welche Zugriffsrechte verlangt eine App, etwa auf Kamera, Mikrofon, Kontakte oder Standort?
- Wie lange werden die Daten gespeichert?
- Welche Möglichkeiten bestehen zur Auskunft, Berichtigung oder Löschung?
- Wird die Verbindung zu einem Dienst verschlüsselt hergestellt?
- Ist nachvollziehbar, welches Unternehmen für die Datenverarbeitung verantwortlich ist?
- Gibt es eine Möglichkeit, Einwilligungen später zu widerrufen?
Für digitale Dienste gelten neben der DSGVO auch besondere Vorschriften des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Anbieter digitaler Dienste müssen unter anderem technische und organisatorische Maßnahmen zum Schutz der Nutzer vor unbefugtem Zugriff treffen. Das Gesetz sieht außerdem vor, dass die Nutzung digitaler Dienste grundsätzlich anonym oder unter einem Pseudonym ermöglicht werden soll, soweit dies technisch möglich und zumutbar ist.
Bei Cookies und vergleichbaren Technologien kommt es ebenfalls auf den konkreten Zweck und die eingesetzte Technik an. Für bestimmte Zugriffe auf Informationen in Ihrem Endgerät ist nach § 25 TDDDG eine Einwilligung erforderlich, sofern keine gesetzliche Ausnahme greift. Bei der anschließenden Verarbeitung personenbezogener Daten sind zusätzlich die Vorgaben der DSGVO zu beachten.
Welche persönlichen Daten sollten Sie möglichst sparsam teilen?
Überlegen Sie vor der Veröffentlichung, ob eine Information für den jeweiligen Dienst tatsächlich benötigt wird. Das gilt insbesondere für Angaben wie vollständige Adresse, Telefonnummer, Geburtsdatum, persönliche Dokumente oder Informationen über den eigenen Aufenthaltsort.
Bei sozialen Netzwerken sollten Sie außerdem überlegen, welche Inhalte dauerhaft öffentlich sichtbar sein sollen. Fotos, Angaben zum Wohnort oder Informationen über längere Abwesenheiten können Rückschlüsse auf Ihre Lebensumstände ermöglichen.
Ein Benutzername oder Pseudonym kann die öffentliche Zuordnung zu Ihrer Person erschweren. Das bedeutet allerdings nicht automatisch, dass Sie gegenüber dem Betreiber eines Dienstes anonym bleiben. Für die Registrierung können weiterhin personenbezogene Daten erforderlich sein.
Bedenken Sie außerdem, dass das Löschen eines Beitrags oder Fotos nicht garantiert, dass zuvor veröffentlichte Inhalte aus dem Internet vollständig verschwinden. Inhalte können beispielsweise von anderen Nutzern gespeichert, kopiert oder weiterverbreitet worden sein.
Das richtige Passwort wählen
Ein gutes Passwort sollte nicht aus einem leicht erratbaren Namen, Geburtsdatum oder einem einfachen Begriff bestehen. Besonders wichtig ist, dass Sie dasselbe Passwort nicht für mehrere wichtige Konten verwenden.
Passwortmanager können dabei helfen, für unterschiedliche Dienste individuelle Zugangsdaten zu verwenden. Das BSI weist auf die Möglichkeit von Passwortmanagern hin und beschreibt Anforderungen an den sicheren Umgang mit gespeicherten Zugangsdaten.
Wo ein Dienst Passkeys unterstützt, können Sie auch diese moderne Anmeldemethode nutzen. Dabei wird statt eines herkömmlichen Passworts ein kryptografisches Schlüsselpaar verwendet. Der private Schlüssel bleibt auf dem Gerät beziehungsweise im dafür vorgesehenen sicheren Speicher und wird beispielsweise durch eine PIN oder biometrische Freigabe geschützt. Das BSI beschreibt Passkeys als Möglichkeit für eine passwortlose und sichere Anmeldung.
Zusätzlich sollten Sie, sofern angeboten, eine Zwei-Faktor-Authentisierung aktivieren. Sie verlangt neben dem Passwort einen weiteren Nachweis, beispielsweise über eine Authentifizierungs-App, einen Sicherheitsschlüssel oder ein anderes zugelassenes Verfahren.
Ein Passwort muss außerdem nicht nach einem festen Zeitplan geändert werden, wenn kein konkreter Anlass besteht. Sinnvoll ist eine Änderung insbesondere dann, wenn ein Zugang möglicherweise kompromittiert wurde oder ein Anbieter von einem Sicherheitsvorfall berichtet.
Datenschutz in sozialen Netzwerken
Soziale Netzwerke bieten zahlreiche Möglichkeiten zur Kommunikation und Veröffentlichung eigener Inhalte. Gleichzeitig sollten Sie die dortigen Privatsphäre- und Sicherheitseinstellungen regelmäßig kontrollieren.
Prüfen Sie insbesondere:
- Wer kann Ihre Beiträge und Fotos sehen?
- Wer kann Sie kontaktieren oder zu Gruppen hinzufügen?
- Welche persönlichen Informationen sind öffentlich sichtbar?
- Welche Apps und Dienste sind mit Ihrem Konto verbunden?
- Welche Standortinformationen werden verwendet?
- Können Suchmaschinen Ihr Profil oder bestimmte Inhalte finden?
- Welche alten Beiträge und Fotos sind noch öffentlich?
Sensible Informationen sollten Sie nicht unbedacht über öffentliche Beiträge oder Nachrichtenfunktionen austauschen. Dazu gehören beispielsweise Zugangsdaten, Kopien von Ausweisdokumenten, Zahlungsinformationen oder andere vertrauliche Unterlagen.
Wenn Sie einen Dienst nicht mehr verwenden, können Sie prüfen, ob das Benutzerkonto gelöscht werden kann. Beachten Sie dabei, dass gesetzliche Aufbewahrungspflichten oder andere rechtliche Gründe dazu führen können, dass bestimmte Daten nicht unmittelbar gelöscht werden müssen.
Die DSGVO gewährt betroffenen Personen unter anderem Rechte auf Auskunft, Berichtigung und unter bestimmten Voraussetzungen Löschung personenbezogener Daten. Welche Rechte im Einzelfall bestehen, hängt von der jeweiligen Verarbeitung und ihrer Rechtsgrundlage ab.
Datenschutz im Browser
Auch die Einstellungen des Browsers beeinflussen den Datenschutz. Moderne Browser bieten unter anderem Möglichkeiten, Cookies, Website-Berechtigungen, gespeicherte Zugangsdaten und Verlaufsdaten zu verwalten.
Kontrollieren Sie beispielsweise regelmäßig:
- welche Webseiten Cookies speichern dürfen,
- welche Webseiten auf Standort, Kamera oder Mikrofon zugreifen dürfen,
- welche Passwörter im Browser gespeichert sind,
- welche Erweiterungen installiert sind,
- welche Daten beim Schließen des Browsers gelöscht werden,
- ob der Browser automatisch aktualisiert wird.
Ein vollständiges Löschen aller Cookies ist dabei nicht immer sinnvoll. Manche Webseiten benötigen bestimmte Cookies für technische Funktionen oder gespeicherte Einstellungen. Entscheidend ist daher, zwischen technisch erforderlichen und anderen Cookies zu unterscheiden und die jeweiligen Einstellungen bewusst vorzunehmen.
Veraltete Browser sollten nicht weiter verwendet werden, wenn für sie keine Sicherheitsupdates mehr angeboten werden. Das BSI weist darauf hin, dass Browser regelmäßig aktualisiert und bei fehlender Unterstützung durch den Hersteller ersetzt werden sollten.
Der Internet Explorer gehört nicht mehr zu den aktuellen Browsern und sollte für den normalen Internetzugang nicht mehr eingesetzt werden.
Vorsicht bei Standort- und Geräteberechtigungen
Smartphones und Computer können zahlreiche Informationen über ihre Umgebung und Nutzung erfassen. Dazu gehören beispielsweise Standortdaten, Fotos, Kontakte, Mikrofon- oder Kamerazugriffe.
Prüfen Sie deshalb bei Apps, ob die angeforderten Berechtigungen für deren Funktion tatsächlich erforderlich sind. Eine Taschenlampen-App benötigt beispielsweise keinen Zugriff auf Ihre Kontakte.
Standortfreigaben sollten Sie nur dort aktivieren, wo sie benötigt werden. Auch Fotos können zusätzliche Informationen enthalten. Je nach Gerät und Einstellung können beispielsweise Aufnahmezeit oder Standort als Metadaten gespeichert werden.
Besondere Vorsicht ist bei sensiblen Dokumenten angebracht. Ausweiskopien, Kontoauszüge, Verträge oder andere vertrauliche Unterlagen sollten nicht ungeschützt über öffentliche Dienste oder unsichere Kommunikationswege verschickt werden.
Verschlüsselte Verbindungen erkennen
Bei der Übertragung vertraulicher Informationen sollten Sie darauf achten, dass die Verbindung zum jeweiligen Dienst geschützt ist. Bei Webseiten erkennen Sie eine verschlüsselte Verbindung in der Regel an „https://“ in der Adresszeile des Browsers.
Das frühere Kürzel „SSL“ wird heute meist noch umgangssprachlich verwendet. Technisch kommen moderne TLS-Verfahren zum Einsatz. Eine HTTPS-Verbindung schützt den Transport der Daten zwischen Ihrem Browser und dem Server, ist aber kein Beweis dafür, dass ein Anbieter mit den Daten insgesamt datenschutzkonform umgeht.
Überprüfen Sie deshalb zusätzlich, wem Sie die Daten anvertrauen und welche Informationen der Anbieter über deren Verarbeitung bereitstellt.
Was tun, wenn personenbezogene Daten bereits veröffentlicht wurden?
Wenn Sie feststellen, dass persönliche Informationen ohne Ihre Zustimmung veröffentlicht wurden, sollten Sie zunächst dokumentieren, wo die Daten erscheinen. Speichern Sie gegebenenfalls Screenshots und notieren Sie die betroffene Internetadresse.
Anschließend können Sie sich an den Betreiber der jeweiligen Webseite oder Plattform wenden und je nach Sachverhalt die Berichtigung oder Löschung verlangen. Unter bestimmten Voraussetzungen können Sie sich dabei auf die Rechte aus der DSGVO berufen.
Bei einem betroffenen Benutzerkonto sollten Sie außerdem das Passwort ändern und prüfen, ob weitere Konten dasselbe Passwort verwenden. Falls möglich, aktivieren Sie eine Zwei-Faktor-Authentisierung und kontrollieren Sie die letzten Anmeldeaktivitäten.
Bei einem Verdacht auf einen Missbrauch von Zahlungsdaten sollten Sie zusätzlich das betroffene Kreditinstitut oder den Zahlungsdienstleister kontaktieren.
Wo erhalten Sie Unterstützung bei Datenschutzproblemen?
Für die Datenschutzaufsicht sind in Deutschland grundsätzlich die Datenschutzbehörden der Länder zuständig, wenn es um private Unternehmen oder andere Stellen im jeweiligen Zuständigkeitsbereich geht. In Nordrhein-Westfalen ist dafür der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) zuständig.
Betroffene können sich bei Datenschutzproblemen an die zuständige Datenschutzaufsichtsbehörde wenden. Der LDI NRW stellt hierfür unter anderem Informationen und ein Beschwerdeverfahren bereit.
Bevor Sie eine Beschwerde einreichen, sollten Sie den Sachverhalt möglichst genau dokumentieren. Hilfreich sind beispielsweise die betroffene Webseite oder App, der Zeitpunkt des Vorfalls, die Kommunikation mit dem Unternehmen und vorhandene Nachweise.
Die Datenschutzaufsichtsbehörden können Datenschutzverstöße prüfen und im Rahmen ihrer gesetzlichen Befugnisse Maßnahmen gegenüber verantwortlichen Stellen ergreifen. Je nach Sachverhalt kommen unter anderem Anordnungen zur Änderung einer Verarbeitung oder weitere aufsichtsrechtliche Maßnahmen infrage.
Datenschutz beginnt mit wenigen Gewohnheiten
Sie müssen das Internet nicht meiden, um Ihre persönlichen Daten besser zu schützen. Entscheidend sind einige grundlegende Gewohnheiten: Verwenden Sie für wichtige Konten unterschiedliche Zugangsdaten, nutzen Sie nach Möglichkeit eine Zwei-Faktor-Authentisierung oder Passkeys, halten Sie Browser und Betriebssystem aktuell und prüfen Sie regelmäßig die Berechtigungen Ihrer Apps.
Teilen Sie persönliche Informationen nur dort, wo sie tatsächlich benötigt werden. Kontrollieren Sie die Privatsphäre-Einstellungen Ihrer Onlinekonten und reagieren Sie zeitnah, wenn Sie einen unberechtigten Zugriff oder eine unerwünschte Veröffentlichung feststellen.
Für Unternehmen kommt zusätzlich ein strukturierter Datenschutz und IT-Sicherheitsansatz hinzu. Dort müssen neben den eigenen Zugangsdaten und Geräten auch die personenbezogenen Daten von Kunden, Beschäftigten und Geschäftspartnern geschützt werden.
