GDPR und WiFi: Ein Compliance-Leitfaden für Unternehmen

GDPR AND WIFI: EIN COMPLIANCE-LEITFADEN FÜR UNTERNEHMEN Ein Purple Intelligence Briefing — ca. 10 Minuten [EINFÜHRUNG & KONTEXT — 1 Minute] Willkommen zum Purple Intelligence Briefing. Ich bin Ihr Moderator, und heute kommen wir direkt auf den Punkt bei einer der am meisten missverstandenen Compliance-Herausforderungen, vor der Betreiber von Veranstaltungsorten und IT-Teams derzeit stehen: GDPR und WiFi. Wenn Sie ein Gäste-WiFi in einer Hotelanlage, einer Einzelhandelskette, einem Stadion oder einem Gebäude des öffentlichen Sektors betreiben, erfassen Sie personenbezogene Daten. Punkt. Und ob Sie es nun merken oder nicht, diese Erfassung unterliegt der Datenschutz-Grundverordnung (GDPR). Die Aufsichtsbehörden sind in diesem Bereich zunehmend aktiv, und die Folgen von Fehlern reichen von Abmahnungen bis hin zu Geldbußen von bis zu vier Prozent des weltweiten Jahresumsatzes. Aber die Sache ist die: Die GDPR-Compliance für WiFi ist nicht so kompliziert, wie die Rechtsabteilungen es manchmal darstellen. Es läuft auf vier Kernfragen hinaus: Welche Daten erfassen Sie? Auf welcher Rechtsgrundlage? Wie lange bewahren Sie diese auf? Und wer ist dafür verantwortlich? Wenn Sie diese vier Fragen richtig beantworten, haben Sie den größten Teil des Weges bereits geschafft. Lassen Sie uns einsteigen. [TECHNISCHER DEEP-DIVE — 5 Minuten] Beginnen wir also mit der Frage, welche Daten eine typische Gäste-WiFi-Bereitstellung tatsächlich erfasst. Wenn sich ein Gast über ein Captive Portal mit Ihrem Netzwerk verbindet – das ist die Begrüßungsseite, die er sieht, bevor er Internetzugang erhält –, erfassen Sie potenziell eine MAC-Adresse, eine IP-Adresse, einen Verbindungszeitstempel, die Sitzungsdauer und, falls Sie einen Registrierungsprozess eingerichtet haben, eine E-Mail-Adresse, einen Namen und Marketingpräferenzen. Nun werden MAC-Adressen und IP-Adressen unter der GDPR als personenbezogene Daten eingestuft, da sie zur Identifizierung einer Person verwendet werden können. Das überrascht viele Netzwerkarchitekten. Sie betrachten diese als technische Identifikatoren, nicht als personenbezogene Daten. Aber die Verordnung ist eindeutig: Wenn sie direkt oder indirekt zur Identifizierung einer natürlichen Person verwendet werden können, handelt es sich um personenbezogene Daten. Ihre Netzwerkprotokolle fallen also ab dem Moment, in dem sich ein Gerät verbindet, in den Anwendungsbereich. Die nächste Frage betrifft die Rechtsgrundlage. Gemäß Artikel 6 der GDPR benötigen Sie eine von sechs Rechtsgrundlagen, um personenbezogene Daten zu verarbeiten. Für Gäste-WiFi sind die beiden wichtigsten die Einwilligung und berechtigte Interessen. Die Einwilligung ist die sauberere Option, wenn Sie E-Mail-Adressen für Marketingzwecke erfassen. Unter der GDPR muss die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden. Das bedeutet: keine bereits angekreuzten Kästchen. Keine Verknüpfung der Marketing-Einwilligung mit den Allgemeinen Geschäftsbedingungen. Der Gast muss sich aktiv anmelden (Opt-in), und Sie müssen nachweisen können, dass er dies getan hat – mit einem Zeitstempel und einem Nachweis darüber, worauf sich die Einwilligung zu diesem Zeitpunkt bezog. Berechtigte Interessen sind die Grundlage, die die meisten Betreiber für die zugrunde liegenden Netzwerkverbindungsdaten verwenden – also für Dinge wie MAC-Adressen und Sitzungsprotokolle. Das Argument ist, dass der Betrieb eines sicheren, funktionsfähigen Netzwerks ein berechtigtes Interesse des Unternehmens darstellt und dieses Interesse nicht durch die Datenschutzrechte des Einzelnen außer Kraft gesetzt wird. Aber – und das ist wichtig – Sie müssen dennoch eine Bewertung der berechtigten Interessen (Legitimate Interests Assessment, LIA) durchführen und dokumentieren. Sie können nicht einfach berechtigte Interessen geltend machen und zur Tagesordnung übergehen. Die Aufsichtsbehörde erwartet eine dreiteilige Prüfung: Zweck, Erforderlichkeit und Abwägung. Kommen wir nun zur Gestaltung der Splash Page, denn hier stolpern die meisten Organisationen. Die Splash Page ist Ihre primäre Schnittstelle für die Einwilligung und muss mehrere Dinge gleichzeitig leisten. Sie muss angeben, wer die Daten erhebt – das ist der Name Ihres Unternehmens. Sie muss erklären, welche Daten zu welchem Zweck erhoben werden. Sie muss jede Marketing-Einwilligung als separates, nicht angekreuztes Kontrollkästchen darstellen. Und sie muss auf eine vollständige Datenschutzerklärung verlinken, die die Rechte der betroffenen Personen abdeckt. Was sie auf keinen Fall tun darf, ist, den Netzwerkzugang von einer Marketing-Einwilligung abhängig zu machen. Wenn Sie das WiFi hinter einer E-Mail-Registrierung sperren, bei der die einzige Verbindungsmöglichkeit darin besteht, dem Erhalt von Marketing-E-Mails zuzustimmen, ist diese Einwilligung gemäß GDPR nicht freiwillig erteilt. Die Aufsichtsbehörden haben sich hierzu eindeutig geäußert. Sie können einen Anreiz für die Angabe einer E-Mail-Adresse bieten – einen Treuepunkt, einen Rabattgutschein –, aber der grundlegende Netzwerkzugang muss in jedem Fall verfügbar sein. Weiter geht es mit der Datenspeicherung. Artikel 5 Absatz 1 Buchstabe e der GDPR legt den Grundsatz der Speicherbegrenzung fest: Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als es für die Zwecke, für die sie erhoben wurden, erforderlich ist. Für Gäste-WiFi bedeutet dies, dass Sie einen dokumentierten Aufbewahrungsplan benötigen. Netzwerksicherheitsprotokolle – wie MAC-Adressen und Sitzungszeitstempel – werden in der Regel 90 Tage lang für Sicherheits- und Betrugsuntersuchungen aufbewahrt. Das ist eine vertretbare Position. Für Marketingzwecke erhobene E-Mail-Adressen können länger aufbewahrt werden, aber Sie müssen diesen Zeitraum definieren, in Ihrer Datenschutzerklärung kommunizieren und ihn technisch durchsetzen – nicht nur als Richtlinie auf dem Papier. Hier kommt es auf den Technologie-Stack an. Eine Plattform wie die Gäste-WiFi-Lösung von Purple automatisiert die Durchsetzung der Aufbewahrungsfristen. Sie konfigurieren ein Aufbewahrungsfenster, und das System löscht die Datensätze automatisch. Das ist der Unterschied zwischen einer Compliance-Richtlinie und einem Compliance-Programm. Die Richtlinie besagt, was Sie tun werden. Das Programm beweist, dass Sie es getan haben. Lassen Sie uns über Auftragsverarbeitungsverträge (Data Protection Agreements, kurz DPAs) sprechen. Wenn Sie eine Drittanbieter-Plattform zur Verwaltung Ihres Gäste-WiFi nutzen – was auf die meisten Organisationen zutrifft –, fungiert diese Plattform in Ihrem Auftrag als Auftragsverarbeiter. Gemäß Artikel 28 der GDPR müssen Sie mit diesem Verarbeiter einen schriftlichen Auftragsverarbeitungsvertrag abgeschlossen haben. Der DPA muss genau festlegen, welche Daten zu welchem Zweck und unter welchen Anweisungen verarbeitet werden und welche Sicherheitsmaßnahmen der Verarbeiter getroffen hat. Wenn Sie eine cloudbasierte WiFi-Analyseplattform nutzen und keinen unterzeichneten DPA vorweisen können, sind Sie nicht compliant. So einfach ist das. Für Organisationen, die in mehreren EU-Mitgliedstaaten tätig sind oder nach dem Brexit EU-Bürger von einem Standort im Vereinigten Königreich aus bedienen, müssen Sie auch die UK GDPR berücksichtigen – die im Wesentlichen der in das britische Recht übernommenen EU GDPR entspricht – und prüfen, ob internationale Datenübermittlungen stattfinden. Wenn Ihre WiFi-Plattform Daten auf Servern außerhalb des Vereinigten Königreichs oder des EWR speichert, benötigen Sie einen geeigneten Übermittlungsmechanismus: entweder einen Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules). [IMPLEMENTIERUNGSEMPFEHLUNGEN UND STOLPERSTEINE — 2 Minuten] Gut, werden wir praktisch. Hier sind die vier Implementierungsschritte, die ich jedem IT-Team oder Standortbetreiber empfehlen würde, der diesen Prozess startet. Erstens: Führen Sie eine Datenkartierung (Data Mapping) durch. Bevor Sie Ihre Splash Page oder Ihre Datenschutzerklärung anfassen, erfassen Sie jeden einzelnen Datenpunkt, den Ihre WiFi-Bereitstellung sammelt, wohin er fließt, wer Zugriff darauf hat und wie lange er aufbewahrt wird. Dies ist Ihr Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 und bildet das Fundament für alles Weitere. Zweitens: Überprüfen Sie Ihre Splash Page im Hinblick auf die Einwilligungsanforderungen. Achten Sie auf bereits angekreuzte Kontrollkästchen. Stellen Sie sicher, dass die Einwilligung zum Marketing von der Zustimmung zu den Nutzungsbedingungen getrennt ist. Prüfen Sie, ob der Link zu Ihrer Datenschutzerklärung sichtbar und funktionsfähig ist. Wenn Sie eine Plattform wie Purple nutzen, sind die Tools zur Einwilligungsverwaltung bereits integriert – aber Sie müssen sie dennoch korrekt konfigurieren und die Texte überprüfen. Drittens: Schließen Sie Ihre DPAs ab. Kontaktieren Sie jeden Drittanbieter, der mit Ihren WiFi-Daten in Berührung kommt – Ihren Plattformanbieter, Ihr Analysetool, Ihr CRM – und stellen Sie sicher, dass ein unterzeichneter DPA vorliegt. Wenn dies nicht der Fall ist, holen Sie dies nach, bevor Sie fortfahren. Viertens: Implementieren Sie technische Kontrollen zur Datenaufbewahrung. Verlassen Sie sich bei der Löschung alter Daten nicht auf manuelle Prozesse. Konfigurieren Sie die automatisierte Bereinigung in Ihrer Plattform und dokumentieren Sie diese Konfiguration als Nachweis der Compliance. Der häufigste Stolperstein, den ich beobachte, ist, dass Organisationen die GDPR als einmaliges Projekt und nicht als fortlaufendes Programm betrachten. Man führt das Audit durch, aktualisiert die Splash Page, legt den DPA ab – und zwei Jahre später wurde die Plattform aktualisiert, der Text der Splash Page vom Marketing-Team geändert und niemand hat die Aufbewahrungseinstellungen überprüft. Die Einhaltung der GDPR erfordert einen regelmäßigen Überprüfungszyklus – mindestens einmal jährlich sowie bei jeder wesentlichen Änderung Ihrer Datenverarbeitungstätigkeiten. [SCHNELLE FRAGERUNDE — 1 Minute] Einige Fragen, die mir regelmäßig gestellt werden. „Benötigen wir einen DPO?“ — Wenn Sie eine Behörde sind oder Ihre Kernaktivitäten eine groß angelegte, systematische Überwachung von Personen beinhalten — wozu eine große Bereitstellung von Gäste-WiFi gehören könnte —, dann ja, Sie benötigen einen benannten Datenschutzbeauftragten (Data Protection Officer). Bei kleineren Bereitstellungen ist dies Best Practice, auch wenn es nicht zwingend erforderlich ist. „Können wir MAC-Adressen für die Besucherstrom-Analyse verwenden?“ — Ja, aber nur, wenn Sie anonymisierte oder aggregierte Daten verwenden. Wenn Sie einzelne MAC-Adressen über Sitzungen hinweg verfolgen, um Bewegungsprofile zu erstellen, handelt es sich um die Verarbeitung personenbezogener Daten, und Sie benötigen eine Rechtsgrundlage sowie einen Hinweis in der Datenschutzerklärung. „Was ist mit Kindern?“ — Wenn Ihr Standort wahrscheinlich von Kindern unter 13 Jahren besucht wird, müssen Sie den Children's Code des ICO berücksichtigen. Das bedeutet: kein Verhaltensprofiling von Kindern und altersgerechte Datenschutzhinweise. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — 1 Minute] Zusammenfassend lässt sich sagen: Die Einhaltung der GDPR bei WiFi ist absolut machbar. Die Verordnung soll Sie nicht daran hindern, einen Gäste-WiFi-Dienst zu betreiben oder Daten zur Verbesserung Ihrer Abläufe zu sammeln. Sie soll sicherstellen, dass Sie Daten transparent, auf einer gültigen Rechtsgrundlage, mit angemessener Sicherheit und unter Wahrung der Rechte des Einzelnen erfassen. Die vier wichtigsten Erkenntnisse aus diesem Briefing: Legen Sie Ihre Rechtsgrundlage fest und dokumentieren Sie diese; gestalten Sie Ihre Splash-Page für eine echte Einwilligung; lassen Sie Ihre DPAs unterzeichnen; und setzen Sie die Datenaufbewahrung technisch durch, nicht nur auf dem Papier. Wenn Sie tiefer in einen dieser Bereiche einsteigen möchten, bietet Purple eine Reihe von Implementierungsleitfäden für die Erfassung von First-Party-Daten über WiFi, und die Plattform selbst ist so konzipiert, dass sie GDPR-konforme Bereitstellungen direkt out of the box unterstützt. Vielen Dank fürs Zuhören. Bis zum nächsten Mal.