Frage an GS: EU-U.S. Data Privacy Framework, Trump, Graphisoft und unsere Daten

[torben_wadlinger]

Nachdem DOGE (Department Of Goverment Eradication) die Mitglieder der Demokraten aus dem Privacy Oversight Board gefeuert und Trump eine EO bzgl. der "Überprüfung" des EU-U.S. Data Privacy Framework angeordnet hat, stellt sich mir die Frage:

1.) Wie geht Graphisoft mit unseren Daten um, die bei Microsoft und Amazon AWS gespeichert sind. Und ich will jetzt nicht hören, dass die Daten auf europäischen Servern liegen, denn das tun sie nicht (ich hab den Verkehr auf meinem Rechner mitgeschnitten und die Anmeldedaten auch von dieser Seite landen in Seattle).

2.) Auch wenn die Daten auf europäischen Server liegen, hat die US-Regierung dennoch Zugriff auf die Daten. Wie garantiert GS, dass die Daten z.B. in der BIMCloud SaaS nicht durch Dritte unbefugt eingesehen werden können?

https://ioplus.nl/en/posts/trump-has-free-rein-over-dutch-government-data

3.) Welche Strategie und welchen Zeitrahmen gibt es seitens GS/NEM, unsere Daten vor fremden/US Zugriff zu schützen, bzw. die IT-Infrastruktur nach Europa und aus dem nicht-EU-Zugriff zurückzumigrieren?

Bisher war ich zähneknirschend damit einverstanden, dass GS mit meinen SSV-Gebühren auch Microsoft, Amazon und Google unterstützt. GS zwingt mich aber, auch ohne Einsatz einer SaaS-Cloud, diese Dienste zu nutzen, z.B. durch die regelmäßige Anmeldung in Archicad damit ich Zugriff auf meine Lizenz bekomme oder hier posten kann. Dadurch unterstütze ich gezwungener Maßen die faschistische Bromance zwischen Trump und der Tech-Oligarchie. Und bevor es hier Vorwürfe gibt: ja, ich nutze ein iPhone (11), in meinem Büro sind Windows-Rechner und Macs im Einsatz und wir haben Teams für Videokonferenzen (weil einfacher als jede andere Lösung) und MS-Office (lokal, keine Cloud). Wir nutzen aber auch Linux als Server wo es geht (LDAP/AD, Mail, Kalender), Nextcloud statt Sharepoint. Und seit Jahren trommle ich für die BIMCloud für Linux (was nicht so schwer sein kann, wenn es auch auf macOS läuft).

Ich bitte diesen Beitrag nicht als Rant zu verstehen, auch wenn er erst mal so 'rüber kommt. Datensicherheit war sehr lange kein echtes Thema bei GS. Trumps "America First" wird auch Autodesk einen starken Aufschwung beschehren und ich glaube nicht, dass NEM/GS ohne den Ring zu küssen in den USA groß voran kommen wird.

Weitere Quellen:

https://news.bloomberglaw.com/privacy-and-data-security/trump-terminates-trio-of-democrats-from-priv...

und

https://www.heise.de/news/DSA-und-Co-US-Praesident-laesst-Digitalgesetze-im-Ausland-pruefen-10292156...

[torben_wadlinger]

Da ich die EULA auch lese, hier der Passus zur Datenverarbeitung ausserhalb der EU/des EWR dem wir alle mit der Nutzung von AC zugestimmt haben:

[...]

3.1.10.2. Um eine effektive Software-Legalisierung zu gewährleisten, übergibt Graphisoft die erforderlichen Daten an seine Vertragspartner zur weiteren Verarbeitung (falls erforderlich). Während der Verarbeitung können die Daten auch außerhalb der EU und der EWR-Länder verarbeitet werden.

[...]

In der EULA steht auch, welche Daten übermittelt werden: persönliche Daten, Daten über den Computer, die Software, die z.B. zum Zeitpunkt eines Absrurzes eingesetzt wurde.

Das ist ganz schön viel dafür, dass man einfach nur eine Planungssoftware benutzen möchte.

[archig]

eine Suche nach den Grundsätzen der DSGVO liefert:

---

Die wesentlichen Grundsätze der DSGVO (Datenschutz-Grundverordnung) sind:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Datenverarbeitung muss auf rechtlicher Grundlage erfolgen, fair und nachvollziehbar sein

2. Zweckbindung: Daten dürfen nur für festgelegte, legitime Zwecke verwendet werden

3. Datenminimierung: Unternehmen sollen nur notwendige Daten erheben

4. Richtigkeit: Daten müssen sachlich richtig und aktuell sein

5. Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie für den Zweck notwendig

6. Integrität und Vertraulichkeit: Sicherstellung des Datenschutzes durch angemessene Sicherheitsmaßnahmen

7. Rechenschaftspflicht: Verantwortliche müssen die Einhaltung dieser Prinzipien nachweisen können

Diese Grundsätze bilden das Fundament für den Umgang mit personenbezogenen Daten in der EU und sollen die Rechte und die Privatsphäre der Betroffenen schützen

---

Also zumindest 3. und 6. sehe ich da als nicht wirklich eingehalten. 

Und ob 1. durch irgendeinen Passus in einem EULA wirklich erfüllt ist, ist doch eher mit einem dicken ? zu beantworten. 

[torben_wadlinger]

Punkt 5 ist interessant.

Unter "3.1.2. Kundenzufriedenheits-Verbesserungsprogramm ("CEIP")" steht unter

[...]

3.1.2.1. Die Software sammelt Daten über den Zeitpunkt, die Häufigkeit der Nutzung der einzelnen Archicad Softwarefunktionen, Hardware-, Software- und Produktinformationen sowie einige personenbezogene Identifizierungsdaten (z. B. Graphisoft ID, Hardware ID, Benutzer ID und Projekt ID) und sendet sie an Graphisoft.

3.1.2.2. Der Report ist pseudonymisiert; Graphisoft hat kein Interesse daran zu erfahren, wer genau die Daten zur Verfügung gestellt hat, sondern nur daran, die von demselben Nutzer stammenden Daten miteinander zu verknüpfen, um statistisch korrekte Rückschlüsse auf die Softwarenutzung zu ziehen. Um das Vorliegen einer Marketing-Einwilligung zu überprüfen, kann die Graphisoft ID des Nutzers jedoch für einen kurzen Zeitraum zurückverfolgt werden, wenn ein spezifischer Marketing-Grund vorliegt (z. B. um die Nutzer zu identifizieren und zu befragen, die bestimmte Funktionen von Archicad verwenden).

[...]

Was gilt denn  jetzt? Sind meine zwangsweise erhobenen Daten jetzt anonym oder nicht?

[...]

3.1.2.5. CEIP läuft automatisch im Hintergrund. Sie können der Datenverarbeitung widersprechen, indem Sie eine E-Mail an privacy@graphisoft.com schicken. Da die erfassten Daten jedoch pseudonymisiert sind, müssen Sie Graphisoft Ihre Identifizierung bereitstellen, damit Ihre Anfrage bearbeitet werden kann. Rechtsgrundlage der Datenverarbeitung: das berechtigte Interesse von Graphisoft gemäß Artikel 6(1) f. DSGVO, das darin besteht, die Software entsprechend den Anforderungen der Nutzer zu verbessern, um die Nutzerzufriedenheit und damit die Anzahl der Nutzer zu erhöhen. Dauer der Datenverarbeitung: Solange Graphisoft technische Unterstützung für die jeweilige Version von Archicad leistet, jedoch maximal für einen Zeitraum von fünf (5) Jahren ab dem Datum der Datenerfassung.

[...]

GS speichert und verarbeitet unsere im Hintergrund erfassten Daten über die Nutzung von Archicad für fünf Jahre?