IP-Adressen und das Händling damit..

[RSKBerlin]

Heißt das, dass in den Audit-Logs auch IP-Adressen stehen?

Keine Ahnung, ich hab keine PMO gelistet.

Es geht aber auch ganz ohne Audit-Log - man kann ja schliesslich externe Ressourcen in Listings einbinden, und bei jeder einzelnen wird technisch bedingt die IP-Adresse uebertragen.

Interessant. Wann genau und bei welchem Cache hast Du gesehen, dass ein Reviewer eine sog. externe Ressource eingebunden hat?

 

[machmalhalblang]

Man müsste also einen PM-only Cache mit externen Resourcen haben, um eine IP-Adresse einem GC-Profil zuordnen zu können (zumindest für den Zeitraum, in dem eine IP-Adresse vermutlich unverändert bleibt). Wenn einem dann ein Reviewer eine IP-Adresse von einer bösen Sockenpuppe mitteilt, die für den entsprechenden Zeitraum von Belang war, dann wäre eine Zuordnung möglich.

Allerdings war im Ursprungsposting von einer Firmen-IP die Rede, was natürlich Fragen nach der Firmengröße aufwirft (oder war es am Ende die Telekom :-D).

Es bleibt also die Frage übrig, ob ein Reviewer die IP-Adresse sehen kann.

 

[RSKBerlin]

Man müsste also einen PM-only Cache mit externen Resourcen haben, um eine IP-Adresse einem GC-Profil zuordnen zu können (zumindest für den Zeitraum, in dem eine IP-Adresse vermutlich unverändert bleibt).

Sehr gut. Und inwieweit ergibt das objektiv personenbeziehbare Daten?

Wenn einem dann ein Reviewer eine IP-Adresse von einer bösen Sockenpuppe mitteilt, die für den entsprechenden Zeitraum von Belang war, dann wäre eine Zuordnung möglich.

Und inwieweit ergibt das objektiv personenbeziehbare Daten?

Es tut mir leid, aber mir wird immer etwas leer zwischen den Ohren, wenn sich Menschen über BDSG-relevante Straftatbestände aufregen, die nicht wissen, was Daten einer natürlichen Person sind. Und weil der Gerichtsstand Seattle, US-WA wäre, dürften sich vermutlich alle hier noch einmal mit der dortigen Rechtsprechung in Hinblick auf PII vertraut machen. Oder ist ein Experte anwesend?

 

[cmowse]

Hier sind doch ausschließlich Experten unterwegs...


Gesendet von meinem iPhone mit Tapatalk

 

[machmalhalblang]

Ich weiß gar nicht, was du mit 'objektiv personenbezogenen Daten' meinst, bzw. generell gemeint ist. Aber darum ging es dem Fragesteller auch gar nicht.

Viel weniger weiß ich, was PII sein soll (will ich auch gar nicht wissen). Aber darum ging es dem Fragesteller auch gar nicht.

Über irgendwelche Straftatbestände habe ich mich doch gar nicht ausgelassen, weshalb ich nicht verstehe, warum dieser Kommentar mit meinen Zitaten in Verbindung gebracht wird. Ich habe lediglich erläutert, wie man eine Sockenpuppe einem 'normalen' Account mit Hilfe der IP-Adresse zuordnen kann.

Abgesehen davon dachte ich immer, dass man sich an deutsches Recht halten muss, wenn man in Deutschland einen Dienst anbietet. Aber da kann ich mich natürlich auch irren (ich gehe bei sowas immer vom gesunden Menschenverstand aus). Zumindest ein Reviewer, der in Deutschland tätig ist, muss sich vermutlich daran halten. Wenn das bedingungslose Weitergeben von IP-Adressen aber erlaubt ist, dann habe ich wieder etwas gelernt, und bedanke mich dafür.

 

[RSKBerlin]

Ich weiß gar nicht, was du mit 'objektiv personenbezogenen Daten' meinst, bzw. generell gemeint ist.

In Deutschland wäre das hier relevant.

Viel weniger weiß ich, was PII sein soll (will ich auch gar nicht wissen). Aber darum ging es dem Fragesteller auch gar nicht.

Personally Identifiable Information - und die ist für die Frage des OP relevant, weil Groundspeak in den USA sitzt.

Über irgendwelche Straftatbestände habe ich mich doch gar nicht ausgelassen, weshalb ich nicht verstehe, warum dieser Kommentar mit meinen Zitaten in Verbindung gebracht wird. Ich habe lediglich erläutert, wie man eine Sockenpuppe einem 'normalen' Account mit Hilfe der IP-Adresse zuordnen kann.

Unter bestimmten Umständen eventuell zuordnen könnte. Eine Firmen-Firewall - wie hier anzunehmen - erlaubt das zum Beispiel nicht.

Abgesehen davon dachte ich immer, dass man sich an deutsches Recht halten muss, wenn man in Deutschland einen Dienst anbietet.

Groundspeak bietet seinen Dienst aber nicht in Deutschland an sondern in den USA. Da Groundspeak über kein deutsches Tochterunternehmen mit eigenständiger Rechtspersönlichkeit verfügt, das personenbezogene Daten erhebt, verarbeitet oder nutzt, greift das BDSG nicht.

Wenn das bedingungslose Weitergeben von IP-Adressen aber erlaubt ist, dann habe ich wieder etwas gelernt, und bedanke mich dafür.

Ist es üblicherweise nicht (säße Groundspeak in Nordkorea, sähe das vermutlich anders aus). Allerdings stellt sich immer noch die Frage, wie Du aus einer IP-Adresse, die einer Firma zugeordnet ist, objektiv personenbezogene Daten ableiten willst. Hierzu müsste a) Groundspeak die fehlenden Daten mitliefern (Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person) und b) sich diese IP-Adresse überhaupt dieser natürlichen Person zuordnen lassen.

 

[ch3ka]

Statische IP-Adressen sind sehr wohl konkret personenbezogen.
Eine einfache whois-Abfrage auf eine IP in einer meiner Netze liefert meine vollstaendige Anschrift incl. Telefonnummer.

Da man es einer IP von aussen nicht ansehen kann, ob sie statisch oder dynamisch ist, sind alle IP-Adressen als konkret personenbezogen anzusehen - so zumindest eine vorherrschende Meinung unter Juristen, auch wenn es da noch wenig Praezedenzfaelle gibt.

Der EuGH klaert diese Frage gerade, bis dahin spricht doch einiges fuer oben erlaeuterte Ansicht. In jedem Falle ist eine fuer einen gewissen Zeitraum eindeutige Zuordnung zum Anschlussinhaber gegeben.

Wuerdest du eine Telefonnummer ebenso als nicht personenbezogen kategorisieren?
Da kann man sich auch jeden Tag eine neue holen, wenn einem danach ist...

 

[machmalhalblang]

Ich weiß gar nicht, was du mit 'objektiv personenbezogenen Daten' meinst, bzw. generell gemeint ist.

In Deutschland wäre das hier relevant.

Interessant. Dort steht unter 'objektiver Personenbeziehbarkeit' , dass die theoretische Möglichkeit gegeben sein muss, einen Personenbezug herzustellen, was hier der Fall wäre (u.U. unter Zuhilfenamer Dritter, was sogar Firmen-IPs einschließen würde).

Viel weniger weiß ich, was PII sein soll (will ich auch gar nicht wissen). Aber darum ging es dem Fragesteller auch gar nicht.

Personally Identifiable Information - und die ist für die Frage des OP relevant, weil Groundspeak in den USA sitzt.

Leider kann ich kein Englisch. Aber ich würde mich schon sehr wundern, wenn dort stünde, dass eine IP-Adresse KEINE PII darstellen würde (unabhängig davon, ob sie als solche dazu geeignet ist, einen Personenbezug herzustellen). Und dass eine PII ohne Zustimmung der betroffenen Person weiter gegeben werden darf, käme mir auch komisch vor.

Über irgendwelche Straftatbestände habe ich mich doch gar nicht ausgelassen, weshalb ich nicht verstehe, warum dieser Kommentar mit meinen Zitaten in Verbindung gebracht wird. Ich habe lediglich erläutert, wie man eine Sockenpuppe einem 'normalen' Account mit Hilfe der IP-Adresse zuordnen kann.

Unter bestimmten Umständen eventuell zuordnen könnte. Eine Firmen-Firewall - wie hier anzunehmen - erlaubt das zum Beispiel nicht.

Na da sind wir uns ja mal einig (würdest du nicht zwanghaft versuchen, mich misszuverstehen, käme das viel öfter vor). Deshalb schrieb ich ja auch:

Allerdings war im Ursprungsposting von einer Firmen-IP die Rede, was natürlich Fragen nach der Firmengröße aufwirft (oder war es am Ende die Telekom :-D).

Nachdem ich aber den oben verlinkten Artikel des Datenschutzbeauftragten gelesen habe, fallen selbst solche IP-Adressen unter den 'objektiven Personenbezug', weil man mit Hilfe der Firma den Bösewicht ausfindig machen kann.

Abgesehen davon dachte ich immer, dass man sich an deutsches Recht halten muss, wenn man in Deutschland einen Dienst anbietet.

Groundspeak bietet seinen Dienst aber nicht in Deutschland an sondern in den USA. Da Groundspeak über kein deutsches Tochterunternehmen mit eigenständiger Rechtspersönlichkeit verfügt, das personenbezogene Daten erhebt, verarbeitet oder nutzt, greift das BDSG nicht.

DAS klingt so, als ob ich es ungeprüft glauben könnte.

Wenn das bedingungslose Weitergeben von IP-Adressen aber erlaubt ist, dann habe ich wieder etwas gelernt, und bedanke mich dafür.

Ist es üblicherweise nicht (säße Groundspeak in Nordkorea, sähe das vermutlich anders aus). Allerdings stellt sich immer noch die Frage, wie Du aus einer IP-Adresse, die einer Firma zugeordnet ist, objektiv personenbezogene Daten ableiten willst. Hierzu müsste a) Groundspeak die fehlenden Daten mitliefern (Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person) und b) sich diese IP-Adresse überhaupt dieser natürlichen Person zuordnen lassen.

Na ja, wie oben schon erläutert. Es muss ja nicht Groundspeak sein, die die Zusatzinformationen liefern. Außerdem reicht in vielen Fällen schon der Nickname, da die Personen dahinter ja bekannt sind (bitte jetzt NICHT wieder auf der Firmen-IP herumreiten).

Da die richtige Zitiererei hier ziemlich umständlich ist, möchte ich vorschlagen, dass wir uns darauf einigen, dass wir im Prinzip mindestens darin übereinstimmen, dass es nicht in Ordnung ist, wenn ein Reviewer IP-Adressen zu sehen bekommt, weil es davon (von den Reviewern) einfach zu viele gibt, und eine missbräuchliche Weitergabe nicht auszuschließen (ich würde sogar sagen: wahrscheinlich) ist. DAS ist nämlich der einzige Punkt, um den es mir geht (dass einzelne Reviewer solche Informationen unter Umständen Weitergeben, steht für mich außer Frage).

 

[rolf1327]

Es spielt doch überhaupt keine Rolle, ob ein US-Unternehmen in Deutschland nicht belangt werden kann, ob der CEO aufgrund der Strafverfolgung nie wieder in Deutschland Urlaub machen darf, oder ob ein Deutscher Reviewer gleich morgen vor Gericht steht.

Weder GS noch ein Reviewer wird das Risiko einer Rufschädigung oder sogar Strafverfolgung eingehen weil jemand eine "nicht gebührliche Note" geschrieben hat. Für so einen Kinderkram wird keiner den Stress riskieren, egal ab er dafür belangt werden kann oder nicht.

Kurz, ich vermute mal dass da nicht GS oder ein Reviewer (die ja sonst für alles Böse in der Welt verantwortlich sind) geplaudert hat, sondern die Information auf anderem Wege die Runde gemacht haben.

 

[machmalhalblang]

...
Kurz, ich vermute mal dass da nicht GS oder ein Reviewer (die ja sonst für alles Böse in der Welt verantwortlich sind) geplaudert hat, sondern die Information auf anderem Wege die Runde gemacht haben.

Die Rechtschreibung und Grammatik des Treadstarters legt die Vermutung nahe, dass hier jugendliches Imponiergehabe die Tatsachenlage ein wenig "zurechtgerückt" hat. Die Frage, ob einfache Reviewer IP-Adressen zu sehen bekommen, ist aber trotzdem interessant.

 

[radioscout]

Welche Firmennetze lassen denn Zugriffe auf Websites der Kategorie Spiele oder Hobby zu?
Bei uns stehen die in der nach Aussage der EDV-Leute unverändert übernommenen und vom Hersteller gepflegten Sperrliste der Firewall.

Und selbst wenn es keine Sperre gibt: wie kann man sich denn von einem Firmeninternetanschluss irgendwo privat einloggen? Man weiß doch, daß alles protokolliert wird. Und wie kann man dann auch noch etwas schreiben, was zu Kritik führt? Es ist doch peinlich, wenn man dem Chef erklären muß, was man mit dem Internetanschluss der Firma während der Arbeitszeit macht.

 

[Harald Halm]

Wir, das gifmik-team wurden informiert, das wir an einigen Cache nicht gebührliche Notes geschrieben haben sollen.
Der Verdacht begründet sich darauf, dass der oder die entsprechende anklagende Cacher IP's von einer "befreundeten Reviewerin" bekommen haben und diese auf die Firmanadresse zurückverfolgen konnten.

Gibt es zu dieser Aussage auch irgendwelche Beweise? Wenn zb ein Bild in einem Listing auf einem externen Server liegt, so kann alleine damit der Aufruf aus dem Firmennetz protokolliert werden.
Weitere Frage:
Habt ihr entsprechende Notes überhaupt geschrieben oder entbehrt das ganze schon hier jeglicher glaubhafter Grundlage?
Das ganze klingt ein wenig nach Kaffeesatz lesen.

Grüße
Harald

 

[machmalhalblang]

Haha, das ist ja mal ein interessanter Beitrag (der von radioscout). Willkommen in der Realität, jenseits von 'Neuland'. IT-affine Arbeitgeber kommen gar nicht umhin, ihren Arbeitnehmern uneingeschränkten Internetzugang zu gewähren. Es gibt sogar entsprechende Betriebsvereinbarungen, die den Mitarbeitern die private Nutzung des Internets explizit zugestehen. Dass sowas im Behördenumfeld (speziell bei den unkündbar Beamten) nicht umsetzbar ist, steht sicherlich außer Frage. Sonst würde unsere Steuererklärung niemals bearbeitet.

@radioscout: wenn solche Seiten bei euch gesperrt sind, dann hat das sicherlich seinen Grund.

Es gibt aber auch Betriebe, die wirtschaftlich erfolgreich sind, ihre Mitarbeiter nicht ausnutzen, und trotzdem private Aktivitäten nicht einschränken. Irgendwie klingen solche Verhältnisse für mich erstrebenswert. Das klappt natürlich nur dort, wo die Arbeitnehmer nicht (wie es nach einem Empfinden meist üblich ist) die Arbeitgeber ausnutzen.

 

[radioscout]

Ich bin weder Beamter noch bei einer Behörde beschäftigt. Aber unsere Chefin kann, sicherlich auch aufgrund ihres hohen Alters, mit diesem "Neuland-Zeuchs" nichts anfangen und hat angeordnet, daß es auf das Unvermeidliche begrenzt wird. Nicht jeder kommt in den Genuß der Sperrliste. An den meisten Arbeitsplätzen gibt es eine Whitelist. Wer so einen hat, kann nur auf wenige ausgewählte Seiten zugreifen.
Das ganze führt dazu, daß die Mitarbeiter ihre Händis benutzen, was viel mehr Zeit beansprucht. Interessanterweise gibt es auf den firmeneigenen Händis keine Sperren, zumindest auf meinem ist mir keine aufgefallen.

 

[Smoerf]

Welche Firmennetze lassen denn Zugriffe auf Websites der Kategorie Spiele oder Hobby zu?
Bei uns stehen die in der nach Aussage der EDV-Leute unverändert übernommenen und vom Hersteller gepflegten Sperrliste der Firewall..

Bei meinem Arbeitgeber ist der Zugriff teilweise möglich, je nachdem wie die Seite durch den Anbieter der Sperrliste eingestuft ist. GC.com kann ich zum Beispiel aufrufen, während ich andere, wirklich rein private Internetseiten nicht aufrufen kann. Das System dahinter hab ich bislang nicht durchschaut, aber unterm Strich ist das auch relativ egal. Solange eine Seite funktioniert ist es in Ordnung und wenn sie mit dem nächsten Update der Sperrliste dann nicht mehr funktioniert, kann ich damit auch ganz gut leben. Zumal durch das Update der Sperrliste plötzlich Seiten aufrufbar sind, die vorher gesperrt waren.

Dazu gibt es bei uns im Betrieb bereits seit einigen Jahren eine Dienstvereinbarung, die die private Nutzung der Telekommunikationsmedien in gewissem Rahmen erlaubt, so dass ich während meiner Pause durchaus ruhigen Gewissens schon die ein oder andere Cache-Tour vorbereitet habe.
Selbstverständlich ist im Rahmen der zulässigen Nutzung nicht vorgesehen, dass jemand illegale Geschäfte tätigt oder Downloads durchführt, aber solange man sich an die Regeln hält, sehe ich auch keinerlei Probleme!

Gruß
smoerf

 

[Inder]

Wieso schreibt Ihr hier immer von Groundspeak und Seattle. Steht im Topic irgendwo, dass GS etwas weitergegeben hat? Hier sind drei Beteiligte: der Threadstarter, der Owner und ein ominöser Reviewer. Drei natürliche Personen in Deutschland. Da gilt ganz klar deutsches Recht. Und die Anzeige geht natürlich gegen Unbekannt. Dann muss der Owner als Zeuge aussagen.

 

[RSKBerlin]

Wieso schreibt Ihr hier immer von Groundspeak und Seattle.

Ich nehme an, das soll eine Frage sein? Falls ja, beschreibe doch bitte einemal detailliert, wie der von Dir - möglicherweise unbeabsichtigt - in ehrabschneiderischer Weise "ominös" genannte Reviewer an die hier zu Debatte stehenden, personenbezogenen Daten gelangt sein soll.

 

[JackSkysegel]

Wieso ist "ominös" jetzt "ehrabschneidend"?

 

[RSKBerlin]

Hint: Duden. Aufgrund des üblicherweise bildungssprachlichen Gebrauchs könnte es sich allerdings auch um einen missglückten Versuch von Ironie gehandelt haben. Man kann sich dessen hier nie gänzlich sicher sein.

 

[Inder]

Hä? Hast Du in Deinem eigenen Dudenzitat mal die Wortbedeutungen gelesen? Wessen Ehre wird angegriffen, wenn ich in Frage stelle, ob es diesen Reviewer überhaupt gibt (ominös=zweifelhaft)?