>

Datenschutz auf eintracht.de? [Stellungnahme in #66]

#
mickmuck schrieb:
SGE-URNA schrieb:
cyberboy schrieb:
Liebes Eintracht-Team,

nachdem das Geheimnis um den "Löschteufel" ja nun glücklicherweise gelüftet ist, stellt sich  mir eine weitere Frage:

Wenn es einem Mitarbeiter des Dienstleistungsanbieters scheinbar so leicht möglich ist direkten Eingriff in das Forengeschehen zu nehmen, interessiert mich ernsthaft, inwieweit es für diesen (oder auch jeden weiteren beliebigen externen Mitarbeiter) möglich ist, Einsicht in Benutzerdaten aller Forennutzer und darüber hinaus in Kundendaten aller registrierten Kunden des Onlineshops, bzw. des Ticketings oder auch von Eintracht TV erlangen? Und diese ggf. für sonstige Zwecke zu missbrauchen?



Ich kann dir das lediglich aus meiner Perspektive beantworten. Der Zugriff auf das Forenredaktionssystem, welches auch die Löschung von Beiträgen ermöglicht, hat überhaupt nichts mit dem Zugang zu sensitiven Informationen wie Adressen, Zahlung etc. zu tun. Von daher ist auch dieser Brückenschlag zwischen dem (in diesem Fall) unauthorisierten Löschen von Beiträgen und einem potentiellen Missbrauch von Kundendaten mMn unzulässig.

Die Frage nach der generellen Sicherheit von Daten ist natürlich immer berechtigt. Diese gilt aber immer und überall, wo du online Daten hinterlegst, ganz unabhängig von den hier passierten Löschvorgängen durch Dritte.


das sagst du jetzt so einfach. und dann verkaufst du, in der schweiz, cds mit unseren daten.  


Wenn die Schweizer deine Daten kriegen, treten die nie der EU bei...
#
EF-Online-Team-BB schrieb:
Das ist ein wichtiges Thema das auch eine ausführliche Antwort verdient. Da hier aber, bis zum externen Datenschutzbeauftragten, viele Abteilungen gefragt sind bitte ich um etwas Geduld.  


Danke. Das ist gute Kommunikation. Jetzt weiß jeder, dass ihr an dem Thema dran seid. Dass das natürlich nicht in zwei Stunden oder Tagen geklärt sein kann, versteht sich von selbst.
Aber gut zu wissen, dass ihr euch kümmert.
#
Basaltkopp schrieb:
EF-Online-Team-BB schrieb:
Das ist ein wichtiges Thema das auch eine ausführliche Antwort verdient. Da hier aber, bis zum externen Datenschutzbeauftragten, viele Abteilungen gefragt sind bitte ich um etwas Geduld.  


Danke. Das ist gute Kommunikation. Jetzt weiß jeder, dass ihr an dem Thema dran seid. Dass das natürlich nicht in zwei Stunden oder Tagen geklärt sein kann, versteht sich von selbst.
Aber gut zu wissen, dass ihr euch kümmert.  


so eine frühe Info? Mir scheint, da hat einer dem bernie seinen Account gehackt.  
#
EF-Online-Team-BB schrieb:
Das ist ein wichtiges Thema das auch eine ausführliche Antwort verdient. Da hier aber, bis zum externen Datenschutzbeauftragten, viele Abteilungen gefragt sind bitte ich um etwas Geduld.  


danke für die info
#
EF-Online-Team-BB schrieb:
Das ist ein wichtiges Thema das auch eine ausführliche Antwort verdient. Da hier aber, bis zum externen Datenschutzbeauftragten, viele Abteilungen gefragt sind bitte ich um etwas Geduld.  


Dank für die Info, bernie.
Ich hoffe nur das jetzt niemand erwartet, dass diese Erklärung binnen wochenfrist veröffentlicht wird. Das brauch gut und gerne einen Monat oder mehr, bis die Nutzung durch den Datenschutzbeauftragten bis ins Detail erfasst, anschließend analysiert, gegegengeprüft, durch die Rechtsabteilung, mit Nachbesserungsvorschlägen zurück an die IT, dann wieder zum Datenschutzbeauftragten, geändert und in Wiedervorlage an die Rechtsabteilung, abgesegnet durch EF hier veröffentlicht werden kann.

Also lasst denen Luft zum atmen und beginnt mit der Nachhakerei frühestens im Dezember
#
mickmuck schrieb:
EF-Online-Team-BB schrieb:
Das ist ein wichtiges Thema das auch eine ausführliche Antwort verdient. Da hier aber, bis zum externen Datenschutzbeauftragten, viele Abteilungen gefragt sind bitte ich um etwas Geduld.  


danke für die info

Geht doch
#
Sind mir Ergänzungen zu dem Fragenkatalog gestattet, oder werden mir dann wieder Maßnahmen angedroht?

Eigentlich wurde das Thema  hier schon mal angerissen, aber da sich für die - im Wortsinne - fragwürdigen Antworten niemand weiter interessierte, wollte auch ich die allgemeine Belästigung ausnahmsweise gering halten.

Ach egal, ich mach einfach mal, und jeder kann für sich entscheiden, ob er dem nachgeht:

[ulist]
  • Was bedeutet eigentlich die mehrfach zitierte "strikte" Einhaltung des Bundesdatenschutzgesetzes
  • (BDSG) - eigentlich doch eine Selbstverständlichkeit, oder? Ist "strikt" hier im Sinne von eng oder weit gebraucht, nutzt man den Spielraum des Gesetzes voll aus oder tut man in Sachen Datenschutz eigentlich mehr als durch das Gesetz vorgegeben?
    [/ulist]
    [ulist]
  • Wenn ich es richtig verstanden haben, werden die IP-Daten der User unbefristet gespeichert, angeblich aus Haftungsgründen. Die Provider allerdings speichern die Daten nur sehr kurzfristig - strikt
  • (!) nach BDSG - da im Zeitalter von Flatrates die Verbindungsdaten für die Abrechnung keine Relevanz besitzen (und sich die USA mit ihrer Forderung nach einer Massendaten-Vorratshaltung bisher nicht bis nach Deutschland durchsetzen konnten). Wozu speichert also Eintracht.de diese Daten?
    [/ulist]
    [ulist]
  • Habe ich es richtig verstanden, dass die Bitte einer Accountlöschung keine Löschung von Account-Daten nach sich zieht, sondern dass eine physische Löschung von Account-Daten schriftlich beantragt werden muss?
  • [/ulist]
    [ulist]
  • Gibt es
  • (mittlerweile) eine dienstliche Anweisung bzw. eine Anweisung an Handlungsgehilfen, dass anonyme Userdaten nicht über Massendatenabgleich personalisiert werden dürfen? Wie wird das Verbot von Zweitnicks kontrolliert und umgesetzt? Welche Wertigkeit hat das Verbot von Zweitnicks gegenüber der Einhaltung des Datenschutzes?
    [/ulist]
    [ulist]
  • Wurden oder werden Userdaten bzgl. ihres Zahlungsverhaltens weitergegeben
  • (z.B. Schufa o.ä.)?
    [/ulist]
    [ulist]
  • Ich erinnere mich in der Vergangenheit an Fälle einer gehackten Site, bei der einmal Schadsoftware plaziert wurde, ein anderes Mal unverschlüsselt gespeicherte Passwörter entwendet wurden. Wie viele Vorfälle gab es eigentlich in den letzten Jahren, bei denen Userdaten betroffen waren?
  • [/ulist]
    #
    Basaltkopp schrieb:
    Tackleberry schrieb:
    Basaltkopp schrieb:
    Die Frage ist relativ sinnfrei. Erstens hacken sich Kriminell, z.B. NSA nahezu überall rein und somit ist ein Datenklau von eintracht.de natürlich auch möglich.
    Zweitens, und darauf zielte die Frage eigentlich ab, kann natürlich der Dienstleister, dem ein umfassender Zugriff auf das System erteilt wird, seine Berechtigungen auch für kriminelle Zwecke nutzen. Das ist aber nicht zu verhindern, selbst wenn der Dienstleister seine Mitarbeiter vorher von Geheimdiensten überprüfen lassen würde.


    Es gibt Qualitätssiegel, mit denen sich ein Dienstleister oder Onlineshop zertifizieren lassen kann. TÜV, Dekra, Schufa etc. bieten so etwas an. Das Siegel trägt das Unternehmen dann in der Regel im Briefpapier, auf der Homepage etc.

    Ob der Dienstleister über eine entsprechende Zertifizierung verfügt kann unsereins leider nicht nachprüfen, denn er hat ja keine eigene Website    


    Das Siegel hat doch keinerlei Aussagekraft darüber, ob Du nicht einen Deppen in Deinem Laden hast, der Mist baut.


    Normalerweise gibt es Datenschutzerklärungen die jeder Mitarbeiter eines Softwarehauses unterschreiben muss, da steht dann drinnen das er mit Kundendaten sorgsam umzugehen hat, er darf sie nicht weiter geben und auch nicht verändern. Diese Erklärungen gibt es innerhalb eines Softwarehauses, aber auch Kunden können das von den beteiligten Leuten eines Softwarehauses unterschreiben lassen. Wird dagegen verstoßen hat das Softwarehaus ein Problem und erst Recht der Mitarbeiter ein grosses Problem (das ist übrigens ein Grund für eine fristlose Kündigung wenn er mit Kundendaten Schindluder treibt).
    #
    propain schrieb:
    Basaltkopp schrieb:
    Tackleberry schrieb:
    Basaltkopp schrieb:
    Die Frage ist relativ sinnfrei. Erstens hacken sich Kriminell, z.B. NSA nahezu überall rein und somit ist ein Datenklau von eintracht.de natürlich auch möglich.
    Zweitens, und darauf zielte die Frage eigentlich ab, kann natürlich der Dienstleister, dem ein umfassender Zugriff auf das System erteilt wird, seine Berechtigungen auch für kriminelle Zwecke nutzen. Das ist aber nicht zu verhindern, selbst wenn der Dienstleister seine Mitarbeiter vorher von Geheimdiensten überprüfen lassen würde.


    Es gibt Qualitätssiegel, mit denen sich ein Dienstleister oder Onlineshop zertifizieren lassen kann. TÜV, Dekra, Schufa etc. bieten so etwas an. Das Siegel trägt das Unternehmen dann in der Regel im Briefpapier, auf der Homepage etc.

    Ob der Dienstleister über eine entsprechende Zertifizierung verfügt kann unsereins leider nicht nachprüfen, denn er hat ja keine eigene Website    


    Das Siegel hat doch keinerlei Aussagekraft darüber, ob Du nicht einen Deppen in Deinem Laden hast, der Mist baut.


    Normalerweise gibt es Datenschutzerklärungen die jeder Mitarbeiter eines Softwarehauses unterschreiben muss, da steht dann drinnen das er mit Kundendaten sorgsam umzugehen hat, er darf sie nicht weiter geben und auch nicht verändern. Diese Erklärungen gibt es innerhalb eines Softwarehauses, aber auch Kunden können das von den beteiligten Leuten eines Softwarehauses unterschreiben lassen. Wird dagegen verstoßen hat das Softwarehaus ein Problem und erst Recht der Mitarbeiter ein grosses Problem (das ist übrigens ein Grund für eine fristlose Kündigung wenn er mit Kundendaten Schindluder treibt).


    Genau das wollte ich auch schreiben als ich den ersten Beitrag gelesen habe.
    Es gibt sogenannte Auftragsdatenverarbeitungsverträge in denen zwischen 2 "Parteien" genau geregelt wird wie mit Kundendaten umgegangen wird.

    http://dejure.org/gesetze/BDSG/11.html
    #
    1K13 schrieb:
    YUM hat ja hier nicht nur am Forum gebastelt und hat(te) somit selbstverständlich Zugriff auf die Server und - wenn nicht direkt zumindest indirekten - Zugang zu den Datenbänken. Es liegt also nahe, dass ein IT-Dienstleister nicht nur Zugang zu den physischen Dateien, sondern auch Root - und SSH-Zugang (was beides sozusagen den Generalschlüssel darstellt) hat.


    Ich weiß ja nicht aus welcher Computer-Bild du dir dein Wissen zusammensuchst, aber ein SSH-Zugang alleine macht niemand automatisch zu root und ist deswegen auch kein "Generalschlüssel".
    #
    EF-Online-Team-BB schrieb:
    Das ist ein wichtiges Thema das auch eine ausführliche Antwort verdient. Da hier aber, bis zum externen Datenschutzbeauftragten, viele Abteilungen gefragt sind bitte ich um etwas Geduld.  


    Danke für die Rückmeldung, Bernie.  Wie geschrieben, lasst euch Zeit bei der Betrachtung!

    Auch danke an SGE-URNA für deine erste Einschätzung.

    Generell nochmal der Hinweis, dass mir durchaus bewusst ist, dass Daten im Internet niemals sich sind. Dennoch sollte es im Interesse eines jeden sein, dass dort, wo persönliche Daten hinterlegt sind, sorgsam mit diesen umgegangen wird.

    Ich bin weit davon entfernt zu sagen, dass die Löschaktion einen großen Datenschutz-Skandal nach sich zieht. Dennoch ist dies ein durchaus angemessenes Ereignis, die Frage nach dem Datenschutz zu stellen. Und auch eine Möglichkeit für die Eintracht klar Stellung zu beziehen und somit scheinbar vorhandene Unsicherheiten auf Nutzerseite auszuräumen.
    #
    giordani schrieb:
    1K13 schrieb:
    YUM hat ja hier nicht nur am Forum gebastelt und hat(te) somit selbstverständlich Zugriff auf die Server und - wenn nicht direkt zumindest indirekten - Zugang zu den Datenbänken. Es liegt also nahe, dass ein IT-Dienstleister nicht nur Zugang zu den physischen Dateien, sondern auch Root - und SSH-Zugang (was beides sozusagen den Generalschlüssel darstellt) hat.


    Ich weiß ja nicht aus welcher Computer-Bild du dir dein Wissen zusammensuchst, aber ein SSH-Zugang alleine macht niemand automatisch zu root und ist deswegen auch kein "Generalschlüssel".


    ..und dann kriecht hinter irgendeinem Ofen jemand hervor und schreit Jehova. Szenenapplaus, Abgang  

    Wenn Du Dich halbwegs mit der Materie auskennst, dann weißt Du so gut wie ich, wie einfach es ist über einen SSH Zugang zu tunneln, Ports weiterzuleiten oder sich einen SSH Zugang mit Systemrechten einzurichten. Das ist inzwischen so oft dokumentiert, dass das an Dir Spezialist sicher nicht vorbeigegangen ist. Recht hast Du dennoch, denn per se ist ein SSH tatsächlich nicht ohne weiteres als "Generalschlüssel" zu verwenden. Anleitungen für das "weitere" finden sich dann jedoch auf entsprechenden Websites und Forun zu hauf.

    Wir können das gerne per PN weiterführen - auch wenn ich auf so nen besserwisserischen Bullshit wirklich dankend verzichten kann - wenn Dir dabei einer abgeht. Aber in diesem Fred hier haben vermeintliche Schwanzvergleiche nicht nur thematisch nix verloren.
    #
    Basaltkopp schrieb:
    (...) kann natürlich der Dienstleister, dem ein umfassender Zugriff auf das System erteilt wird, seine Berechtigungen auch für kriminelle Zwecke nutzen (...)


    Und deswegen erteilt man sowas auch nicht. Das widerspricht allen Regeln der Kunst (ISO 27000 ff, BSI Grundschutz, CoBIT).

    DA
    #
    Liebe User,
    kurze Info. Es hat heute ein erstes Gespräch mit dem Datenschutzbeauftragten stattgefunden. Die Zeitschiene von einem Monat dürfte einzuhalten sein.

    Gruß
    Bernie
    #
    EF-Online-Team-BB schrieb:
    Liebe User,
    kurze Info. Es hat heute ein erstes Gespräch mit dem Datenschutzbeauftragten stattgefunden. Die Zeitschiene von einem Monat dürfte einzuhalten sein.

    Gruß
    Bernie


    Läuft ja jetzt richtig gut mit den Zwischeninfos!
    DaZke.  
    #
    Tackleberry schrieb:
    EF-Online-Team-BB schrieb:
    Liebe User,
    kurze Info. Es hat heute ein erstes Gespräch mit dem Datenschutzbeauftragten stattgefunden. Die Zeitschiene von einem Monat dürfte einzuhalten sein.

    Gruß
    Bernie


    Läuft ja jetzt richtig gut mit den Zwischeninfos!
    DaZke.    


    War wohl dann doch ein Satz mit X. Und eine proaktive Info a la "sorry, verzögert sich doch noch ein wenig, aber das Thema ist weiter in Klärung" ist einfach nicht eure Sache, oder?
    #
    Tackleberry schrieb:
    Tackleberry schrieb:
    EF-Online-Team-BB schrieb:
    Liebe User,
    kurze Info. Es hat heute ein erstes Gespräch mit dem Datenschutzbeauftragten stattgefunden. Die Zeitschiene von einem Monat dürfte einzuhalten sein.

    Gruß
    Bernie


    Läuft ja jetzt richtig gut mit den Zwischeninfos!
    DaZke.    


    War wohl dann doch ein Satz mit X. Und eine proaktive Info a la "sorry, verzögert sich doch noch ein wenig, aber das Thema ist weiter in Klärung" ist einfach nicht eure Sache, oder?  


    Die angepeilte Monatsfrist ist jetzt gerade 3 Tage überschritten... wir sollten dahingehend nicht so kleinlich sein. Ich bin nach wie vor zuversichtlich zeitnah eine entsprechende Rückmeldung zu erhalten.
    Und wenn sich diese um ein paar Tage verzögert, ich aber weiß, dass sich mit dem Thema intensiv beschäftigt wurde, kann ich persönlich damit auch sehr gut leben.
    #
    Tackleberry schrieb:
    Läuft ja jetzt richtig gut mit den Zwischeninfos!

    Und eine proaktive Info a la "sorry, verzögert sich doch noch ein wenig, aber das Thema ist weiter in Klärung" ist einfach nicht eure Sache, oder?  

    Mir schien schon Dein Lob etwas übertrieben, Deine Kritik jetzt zumindest leicht verfrüht.

    Falls da dieses Jahr noch mehr als ein Vertröster kommen sollte, wäre ich auch leicht überrrascht. Vielleicht soll ja auch das eine oder andere vorher noch entsprechend angepasst werden, bevor man dann darüber berichtet - die NSA hat ja hoffentlich alle etwas sensibilisiert  
    #
    cyberboy schrieb:
    Tackleberry schrieb:
    Tackleberry schrieb:
    EF-Online-Team-BB schrieb:
    Liebe User,
    kurze Info. Es hat heute ein erstes Gespräch mit dem Datenschutzbeauftragten stattgefunden. Die Zeitschiene von einem Monat dürfte einzuhalten sein.

    Gruß
    Bernie


    Läuft ja jetzt richtig gut mit den Zwischeninfos!
    DaZke.    


    War wohl dann doch ein Satz mit X. Und eine proaktive Info a la "sorry, verzögert sich doch noch ein wenig, aber das Thema ist weiter in Klärung" ist einfach nicht eure Sache, oder?  


    Die angepeilte Monatsfrist ist jetzt gerade 3 Tage überschritten... wir sollten dahingehend nicht so kleinlich sein. Ich bin nach wie vor zuversichtlich zeitnah eine entsprechende Rückmeldung zu erhalten.
    Und wenn sich diese um ein paar Tage verzögert, ich aber weiß, dass sich mit dem Thema intensiv beschäftigt wurde, kann ich persönlich damit auch sehr gut leben.


    Es geht mir nicht darum, dass die "Monatsfrist" ein paar Tage überschritten ist. Ich finde es einfach unverständlich, dass hier mal wieder nicht proaktiv eine Zwischenmeldung abgegeben wird, wenn eben die genannte Zeitspanne nicht eingehalten werden kann. Was ist so schwer daran und verursacht so viel Aufwand, eine kurze Wasserstandsmeldung abzugeben "Sind weiter dran, verzögert sich leider nich ein wenig"? Und das Ganze proaktiv, und nicht erst dann wenn User wieder und wieder nachfragen wie es ja in anderen Threads der Fall ist. Ich verstehe das nicht, habe hier offenbar ein anderes Verständnis von "Service" und "Kommunikation".
    #
    Vor nicht allzu langer Zeit war das hier noch das Forum von Fans für Fans.
    Es ging um die Eintracht, Inhalte, Austausch, Bahnhofstüren.

    Heute: Userwiedervorlagen wegen Kommunikationsdeadlines und Forderung nach proaktivem Betreiberservice.

    Nur falls es nachher keiner gewesen sein will.


    Teilen