DSGVO: Wie üben Sie Ihre Rechte in einer verschlüsselten Zero-Knowledge-Cloud aus?
Veröffentlicht von May Software
Die Datenschutz-Grundverordnung (DSGVO), die seit dem 25. Mai 2018 gilt, gewährt Personen, deren personenbezogene Daten verarbeitet werden, verschiedene Rechte. Diese Rechte gelten auch dann, wenn ein Dienst eine Ende-zu-Ende-Verschlüsselung — häufig als Zero-Knowledge bezeichnet — einsetzt. Bei ihrer Umsetzung muss jedoch berücksichtigt werden, welche Daten der Anbieter tatsächlich einsehen und verarbeiten kann.
Der entscheidende Punkt ist einfach: Verschlüsselung schützt Daten, entbindet einen Dienst aber nicht von der DSGVO. Umgekehrt verpflichtet die DSGVO einen Zero-Knowledge-Anbieter nicht dazu, einen geheimen Entschlüsselungsschlüssel zu schaffen, der die Sicherheit aller Nutzer schwächen würde. Für die Einhaltung der DSGVO braucht es eine Architektur und Verfahren, mit denen Betroffene ihre Rechte ausüben können, ohne die Verschlüsselung zu umgehen.
Welche Rechte haben Sie hauptsächlich?
Kapitel III der DSGVO sieht insbesondere folgende Rechte vor:
das Auskunftsrecht (Artikel 15): Sie können erfahren, ob Sie betreffende personenbezogene Daten verarbeitet werden, eine Kopie erhalten und Informationen über die Verarbeitung verlangen;
das Recht auf Berichtigung (Artikel 16): Unrichtige Daten können korrigiert und unvollständige Daten ergänzt werden;
das Recht auf Löschung (Artikel 17), sofern die in der Verordnung genannten Voraussetzungen erfüllt sind;
das Recht auf Einschränkung der Verarbeitung (Artikel 18): In bestimmten Fällen kann die Nutzung von Daten vorübergehend eingeschränkt werden, ohne dass diese zwingend gelöscht werden;
das Recht auf Datenübertragbarkeit (Artikel 20): Bestimmte Daten können in einem strukturierten, gängigen und maschinenlesbaren Format herausverlangt werden;
das Widerspruchsrecht (Artikel 21), insbesondere bei Verarbeitungen auf Grundlage berechtigter Interessen oder zum Zweck der Direktwerbung.
Diese Rechte gelten nicht uneingeschränkt. Ihre Anwendung hängt unter anderem von der Art der Daten, der Rechtsgrundlage der Verarbeitung und möglichen gesetzlichen Aufbewahrungspflichten ab. Das Recht auf Datenübertragbarkeit ist beispielsweise enger gefasst als das Auskunftsrecht: Es gilt für automatisierte Verarbeitungen auf Grundlage einer Einwilligung oder eines Vertrags sowie für Daten, die von der betroffenen Person bereitgestellt wurden oder aus ihrer Nutzung hervorgehen.
Was eine Zero-Knowledge-Cloud verändert
Bei einem klassischen Cloud-Dienst werden Dateien in der Regel während der Übertragung und auf den Speichersystemen des Anbieters verschlüsselt. Der Anbieter kontrolliert jedoch die für den Betrieb des Dienstes erforderlichen Schlüssel und kann unter bestimmten Umständen technisch auf die Inhalte zugreifen.
Bei May·Secret werden die Dateien bereits vor dem Hochladen im Browser verschlüsselt. Der zur Entschlüsselung benötigte private Schlüssel verlässt das Gerät niemals im Klartext. Der Server empfängt und speichert daher ausschließlich verschlüsselte Dateien, die er nicht selbst lesen kann.
Dadurch entstehen zwei unterschiedliche Datenbereiche:
Konto- und technische Daten, die May·Secret unmittelbar verarbeiten kann, etwa die E-Mail-Adresse, Abonnementinformationen, die Dateigröße oder technische Zeitangaben;
Dateiinhalte und bestimmte verschlüsselte Metadaten, die nur der Nutzer mithilfe seiner Entschlüsselungsgeheimnisse lesbar machen kann.
Die Antwort auf eine DSGVO-Anfrage muss die tatsächlich verarbeiteten personenbezogenen Daten umfassen. Die Zero-Knowledge-Architektur bestimmt, wie diese Daten bereitgestellt werden können; sie rechtfertigt nicht, eine Anfrage grundsätzlich abzulehnen.
Auskunftsrecht: eine Kopie ohne Schwächung der Verschlüsselung
Das Auskunftsrecht ermöglicht es, eine Kopie der verarbeiteten personenbezogenen Daten sowie Informationen über Zwecke, Empfänger, Speicherdauer und die weiteren in Artikel 15 genannten Punkte zu erhalten.
Bei einem Zero-Knowledge-Dienst kann der Anbieter die von ihm gespeicherten Konto- und technischen Daten in zugänglicher Form bereitstellen. Für Dateien kann ein Self-Service-Bereich, über den ein authentifizierter Nutzer seine Dateien herunterladen und lokal entschlüsseln kann, ein geeignetes Mittel zur Gewährung des Zugangs sein.
Der Anbieter darf seine fehlende Lesemöglichkeit nicht als allgemeine Ausnahme darstellen. Er muss die Architektur verständlich erläutern, den Abruf der Dateien ermöglichen und die übrigen personenbezogenen Daten, die er verarbeitet, gesondert berücksichtigen. Dieser Ansatz entspricht den Empfehlungen des Europäischen Datenschutzausschusses, der Self-Service-Systeme befürwortet, sofern sie einen vollständigen, sicheren und verständlichen Zugang bieten.
Berichtigung: korrigieren, was korrigiert werden kann
Profilinformationen müssen im Konto oder auf Anfrage berichtigt werden können. Bei verschlüsselten Daten kann der Anbieter keine Inhalte im Namen des Nutzers ändern, wenn er sie nicht lesen kann. Er muss jedoch die erforderlichen Funktionen bereitstellen, um die betreffenden Elemente clientseitig zu ersetzen, umzubenennen oder zu aktualisieren.
Die Verschlüsselung verhindert das Recht auf Berichtigung somit nicht. Sie überlässt lediglich die Bearbeitung des Klartextinhalts der Person, die den Schlüssel besitzt.
Löschung: Papierkorb, endgültige Löschung und gesetzliche Pflichten unterscheiden
Das Recht auf Löschung gilt unter den Voraussetzungen des Artikels 17, etwa wenn die Daten nicht mehr benötigt werden, eine Einwilligung widerrufen wurde und keine andere Rechtsgrundlage für die Speicherung besteht oder die Verarbeitung rechtswidrig ist.
Bei May·Secret wird eine Datei bei einer gewöhnlichen Löschung zunächst in den Papierkorb verschoben, damit sie wiederhergestellt werden kann. Anschließend kann der Nutzer ihre endgültige Löschung veranlassen. Bei der Löschung des Kontos werden auch die damit verbundenen Dateien aus dem aktiven Speicher entfernt.
Eine zu weitgehende Zusage sollte dennoch vermieden werden: Bestimmte Konto-, Abrechnungs- oder Sicherheitsdaten müssen gegebenenfalls für einen festgelegten Zeitraum aufbewahrt werden, um gesetzlichen Verpflichtungen nachzukommen oder Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen. Die Datenschutzerklärung muss die betroffenen Kategorien und Aufbewahrungsfristen nennen. Auch für Sicherungskopien müssen dokumentierte Aufbewahrungs- und Löschverfahren gelten.
Die Ende-zu-Ende-Verschlüsselung erhöht die Vertraulichkeit eventuell verbleibender Kopien: Ohne den erforderlichen Schlüssel bleibt ihr Inhalt unverständlich. Sie ersetzt jedoch keine sorgfältige Lösch- und Sicherungsstrategie.
Datenübertragbarkeit: die betreffenden Daten abrufen, nicht zwingend das gesamte Konto
Das Recht auf Datenübertragbarkeit umfasst nicht alle Daten, die im Rahmen von Artikel 15 zugänglich sind. Es betrifft hauptsächlich Daten, die die betroffene Person bereitgestellt hat oder die aus ihrer Nutzung des Dienstes hervorgehen, sofern die Verarbeitung automatisiert erfolgt und auf einer Einwilligung oder der Erfüllung eines Vertrags beruht.
May·Secret ermöglicht es, über die Kontoseite eine JSON-Datei mit einer Zusammenfassung der Profildaten und einem technischen Verzeichnis der Dateien zu exportieren. Jede Datei kann außerdem einzeln in ihrem ursprünglichen Format aus dem Tresor heruntergeladen und entschlüsselt werden.
Diese Unterscheidung ist wichtig: Der JSON-Export erleichtert die Weiterverwendung strukturierter Daten, während der lokale Download den Zugriff auf den Klartextinhalt ermöglicht. Eine direkte Übermittlung an einen anderen Anbieter ist nur erforderlich, soweit sie technisch machbar ist.
Widerspruch und Einschränkung: Rechte in Abhängigkeit vom Verarbeitungszweck
Das Widerspruchsrecht betrifft insbesondere Verarbeitungen auf Grundlage berechtigter Interessen. Es verpflichtet den Anbieter nicht ohne Weiteres dazu, eine Verarbeitung einzustellen, die für die Vertragserfüllung erforderlich ist. Ein Widerspruch gegen Direktwerbung muss hingegen ohne Begründung berücksichtigt werden.
Eine Einschränkung bedeutet nicht zwangsläufig, dass der Zugang zum Konto gesperrt wird. Je nach Antrag werden die betroffenen Daten gekennzeichnet und bestimmte Verarbeitungsvorgänge vorübergehend ausgesetzt, während die Daten gespeichert bleiben. Die Reaktion muss daher auf die betreffende Verarbeitung abgestimmt sein und darf nicht automatisch zu einer vollständigen Sperrung des Dienstes führen.
Ist May·Secret Verantwortlicher oder Auftragsverarbeiter?
Die Zero-Knowledge-Verschlüsselung bestimmt für sich genommen nicht die rechtliche Rolle eines Anbieters.
May·Secret ist Verantwortlicher für Verarbeitungsvorgänge, deren Zwecke und wesentliche Mittel das Unternehmen selbst festlegt. Dazu gehören insbesondere die Kontoerstellung, die Abrechnung, die Sicherheit des Dienstes und die für seinen Betrieb erforderliche Kommunikation.
Nutzt ein Geschäftskunde May·Secret, um personenbezogene Daten für eigene Zwecke zu speichern — beispielsweise Unterlagen von Kunden, Beschäftigten oder Patienten —, ist grundsätzlich der Kunde für diese Verarbeitung verantwortlich und May·Secret kann beim Hosting als Auftragsverarbeiter tätig werden. Die genauen Rollen müssen für jeden Verarbeitungsvorgang geprüft und durch die nach Artikel 28 erforderlichen vertraglichen Regelungen festgelegt werden.
Dass der Anbieter die Inhalte nicht lesen kann, ist eine wichtige Sicherheitsgarantie. Dieser Umstand allein reicht jedoch weder aus, um eine bestimmte Rolle zu begründen, noch um sie auszuschließen.
Wie können Sie Ihre Rechte gegenüber May·Secret ausüben?
Sie können die in Ihrem Konto verfügbaren Funktionen nutzen oder eine E-Mail an privacy@may-secret.fr senden. Eine Antwort muss unverzüglich und grundsätzlich innerhalb eines Monats erfolgen. Diese Frist kann bei hoher Komplexität oder einer großen Zahl von Anträgen um zwei Monate verlängert werden; die betroffene Person muss dann innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden.
Zum Schutz der Daten darf May·Secret bei begründeten Zweifeln die Informationen anfordern, die zur Überprüfung der Identität des Antragstellers unbedingt erforderlich sind.
Falls Sie mit der Antwort nicht zufrieden sind, können Sie bei der zuständigen Datenschutzaufsichtsbehörde Beschwerde einlegen.
Datenschutz und Betroffenenrechte ergänzen sich
Die DSGVO schreibt keine bestimmte Technologie vor. Sie verlangt technische und organisatorische Maßnahmen, die den jeweiligen Risiken angemessen sind, und nennt in Artikel 32 die Verschlüsselung als eine mögliche Maßnahme.
Eine gut konzipierte Zero-Knowledge-Cloud kann zwei Ziele miteinander vereinbaren: Sie verhindert den Zugriff des Anbieters auf die Dateiinhalte und gibt den Nutzern zugleich konkrete Möglichkeiten, auf ihre Daten zuzugreifen, sie zu berichtigen, zu exportieren oder zu löschen. Dieser Schutz beruht ebenso auf der kryptografischen Architektur wie auf verständlichen Verfahren, Verträgen und Aufbewahrungsfristen.
Weitere Informationen finden Sie auf unseren Seiten Vertrauen, Sicherheit und Datenschutzerklärung.
Quellen
Verantwortlichen und Auftragsverarbeiter richtig bestimmen (CNIL)
Sicherheit: Verschlüsselung, Hashing und digitale Signaturen (CNIL)
Dieser Artikel enthält allgemeine Informationen und stellt keine Rechtsberatung für einen konkreten Einzelfall dar.
Bereit, Ihre Dateien absolut vertraulich zu speichern?
Der Blog-Letter
Erhalten Sie unsere nächsten Artikel per E-Mail, sobald sie veröffentlicht werden.