Legal:Richtlinie zur Datensammlung

Das Recht auf Privatsphäre ist der Kern dessen, wie Gemeinschaften zu Wikimedia-Projekten beitragen — die Wahrung dieses Rechts ist ein zentraler Aspekt der Menschenrechtsverpflichtungen der WMF. Diese Richtlinien zur Datensammlung beschreiben die bewährten Vorgehensweisen der Wikimedia Foundation zum Umgang mit Datenschutzrisiken bei der Datensammlung. Sie ergänzen die Richtlinien zur Speicherung von Daten und Richtlinien zur Veröffentlichung von Daten der WMF und geben Hinweise zum Umgang mit potenziell sensiblen Daten während ihres gesamten Lebenszyklus bei der WMF. Zusammengenommen tragen diese Richtlinien zu unserer Verpflichtung bei, die Daten der Benutzer zu schützen, wie in unserer Datenschutzrichtlinie dargelegt.

Der Umfang dessen, was Datensammlung ausmacht, kann sehr unterschiedlich sein, da viele Teams der Foundation in irgendeiner Form Daten sammeln. Um eine Anleitung für die sinnvolle Bewertung einer potenziellen Aktivität zur Datensammlung zu geben, versuchen wir in erster Linie, Informationen zu verstehen, die sich auf fünf allgemeine Kategorien beziehen:

• Thema der Daten (z. B. Leser, Autoren, App-Nutzer, Spender)
• Sender der Daten (z. B. WMF-Werkzeuge wie ein Browser, eine App oder eine Erweiterung; oder Drittanbieter von Software)
• Empfänger der Daten (z. B. WMF, WME, Partner, Drittanbieter von Software, Öffentlichkeit)
• Art der Daten (z. B. Benutzerkontoinformationen, Seiteninformationen, Telemetriedaten, demografische Informationen, Einstellungs- oder Verhaltensinformationen, geografische Informationen, Ereignisinformationen)
• Datennutzung und Änderungen der Datennutzung (z. B. im Rohformat veröffentlicht, anonym veröffentlicht, nicht veröffentlicht; anonymisiert, aggregiert und dauerhaft gespeichert)

In der folgenden Risikoabstufungstabelle für die Datensammlung werden diese Kategorien als Kriterien dargestellt, um den Mitarbeitern die Beurteilung der Risikostufe ihrer Aktivitäten zur Datensammlung zu erleichtern.

Risikoabstufungstabelle für die Datensammlung

Kriterien für ein niedriges Risiko

Das Thema der Daten unterliegt der geltenden Datenschutzrichtlinie der WMF; Der Sender der Daten unterliegt der geltenden Datenschutzrichtlinie der WMF; Der Empfänger der Daten ist die WMF oder ein von der WMF autorisierter Drittanbieter von Software, der keine Cookies verwendet; Hinweis: Wenn der Drittanbieter von Software Cookies oder andere clientseitige Speicher verwendet, wird dies sofort zu einer Aktivität mit mittlerem oder hohem Risiko Die Daten werden für einen typischen Speicherzeitraum aufbewahrt und dann gelöscht, aggregiert oder anonymisiert und bereinigt; Die gesammelten Daten enthalten nicht: mehrere Elemente nicht gehashter persönlicher Informationen persönliche Daten + Benutzername/Benutzer-ID oder App-ID langfristige Daten zu Seitenaufrufen + eindeutige ID detaillierte geographische Daten + eindeutige ID sensible Daten

Risikostufe	Stufe 1: Hohes Risiko	Stufe 2: Mittleres Risiko	Stufe 3: Niedriges Risiko
	Daten, die die Themen oder Empfänger der Daten mit Sicherheit einem Schadensrisiko aussetzen könnten.	Daten, die die Themen oder Empfänger der Daten wahrscheinlich oder möglicherweise einem Schadensrisiko aussetzen könnten.	Daten, die die Themen oder Empfänger der Daten wahrscheinlich nicht einem Schadensrisiko aussetzen.
Kriterien	Die Datensammlung erfolgt fortlaufend und erfüllt ZWEI ODER MEHR der Kriterien für ein niedriges Risiko nicht. ODER Die Datensammlung erfolgt einmalig und erfüllt DREI ODER MEHR der Kriterien für ein niedriges Risiko nicht.	Die Datensammlung erfolgt fortlaufend und erfüllt EINES der Kriterien für ein niedriges Risiko nicht. ODER Die Datensammlung erfolgt einmalig und erfüllt ZWEI der Kriterien für ein niedriges Risiko nicht.	Die Datensammlung erfolgt fortlaufend und erfüllt KEINES der Kriterien für ein niedriges Risiko nicht. ODER Die Datensammlung erfolgt einmalig und erfüllt EINES ODER KEINES der Kriterien für ein niedriges Risiko nicht. Das einzige Kriterium, das nicht erfüllt wurde, kann nicht die Sammlung sensibler Daten sein.
Vorgesehene Antwortzeit	3 Arbeitswochen	5 Arbeitstage	N/A
Erwartete % der Anfragen (interne Statistik)	15%	35%	50%
Was sollten WMF-Teams als nächstes tun?
Zu erledigende Dinge für alle Risikoabstufungen	Nachdem du deine Risikoabstufung mithilfe dieser Abstufungstabelle ermittelt hast, protokolliere die Aktivität zur Datensammlung im Formular zum Protokollieren der Aktivität zur Datensammlung. Wenn du dich später dazu entschließt, die erhaltenen Daten für einen neuen Zweck zu verwenden, bewerte deine Risikoabstufung bitte erneut mithilfe der Abstufungstabelle und reiche ein neues Formular zum Protokollieren der Aktivität zur Datensammlung ein.
Abhängig von deiner Aktivität zur Datensammlung und Risikoabstufung sind zusätzlich folgende Dinge zu erledigen	Für Umfragen: Fülle die Datenschutz-Stellungnahme für Umfragen aus, um dein Formular zum Protokollieren der Aktivität zur Datensammlung zu ergänzen.
	Für alle anderen Aktivitäten zur Datensammlung: Sende Aktivitäten zur Datensammlung an das L3SC-Anfrageformular, um dein Formular zum Protokollieren der Aktivität zur Datensammlung zu ergänzen, damit es von Privacy Engineering und Privacy Legal (+ anderen Teams, falls erforderlich) geprüft werden kann. Die Prüfer werden Minderungsmaßnahmen vorschlagen, um das Risiko gering oder mittel zu halten. Während des L3SC-Prozesses fordern die Prüfer die Genehmigung der Aktivität zur Datensammlung von einem Leiter oder einer höherrangigen Person des Teams an, das für die Aktivität zur Datensammlung verantwortlich ist, um mit Aktivitäten zur Datensammlung mit hohem Risiko fortfahren zu können.	Für alle anderen Aktivitäten zur Datensammlung: Sende Aktivitäten zur Datensammlung an das L3SC-Anfrageformular, damit sie von Privacy Engineering und Privacy Legal (+ anderen Teams, falls erforderlich) geprüft werden können. Die Prüfer werden Minderungsmaßnahmen vorschlagen, um das Risiko gering zu halten. Während des L3SC-Prozesses fordern die Prüfer die Genehmigung der Aktivität zur Datensammlung vom technischen Leiter des Teams an, das für die Aktivität zur Datensammlung verantwortlich ist, um mit Aktivitäten zur Datensammlung mit mittlerem Risiko fortfahren zu können.	Für alle anderen Aktivitäten zur Datensammlung: Es ist keine zusätzliche Prüfung durch Privacy Engineering oder Privacy Legal erforderlich.

Wiederkehrende oder geänderte Aktivitäten zur Datensammlung

Wenn eine Aktivität zur Datensammlung wiederkehrend ist, wird bei nachfolgenden Prüfungen ein bekanntes Risiko bestehen und es werden weniger strenge Prüfungsstandards gelten. Zum Beispiel:

• Eine einmalige Umfrage mit hohem Risiko im ersten Quartal würde in späteren Quartalen als bekanntermaßen hochriskant eingestuft werden (schnellere Antwort- und Entscheidungsfrequenz), sofern die gesammelten Informationen dieselben sind.
• Eine fortlaufende Aktivität zur Datensammlung mit mittlerem Risiko unter iOS würde als bekanntermaßen mittelriskant eingestuft werden (und erfordert lediglich einen Eintrag im Protokollformular), wenn ein identisches Schema bereits für Android geprüft wurde.

Bei vorgeschlagenen Änderungen an bestehenden, laufenden Aktivitäten zur Datensammlung sollte davon ausgegangen werden, dass sie eine Änderung der Art der erfassten Daten mit sich bringen, und sie sollten als neuer Eintrag im Formular zur Aktivitätsprotokollierung für die Datensammlung / als neue zu prüfende Datensammlung betrachtet werden.

Minderungen

Hier ist eine Liste mit Beispielmaßnahmen zur Risikominderung, die du ergreifen kannst, um das Risiko deiner Aktivität zur Datensammlung zu senken:

• Da es für einen böswilligen Akteur trivial einfach ist, aus einer vollständigen IP-Adresse detaillierte geografische Daten abzuleiten, wird im Sinne dieser Richtlinien das Sammeln vollständiger Versionen von IP-Adressen sowohl als eindeutiger Identifikator betrachtet, als auch als Preisgabe detaillierter geographischer Daten — daher ist das Sammeln von IP-Adressen eine Aktivität zur Datensammlung mit mittlerem Risiko. Relevante Maßnahmen zur Minderung sind:
  • Weglassen der letzten beiden Oktette von IP-Adressen (z. B. 192.168.xxx.xxx)
  • Hashen von IP-Adresse + User-Agent (ähnlich der Akteursignatur)
• In Situationen, in denen detaillierte geographische Daten von entscheidender Bedeutung sind, kannst du die Erfassung subnationaler geographischer Daten und anschließend das Löschen aller eindeutigen IDs in Erwägung ziehen.
• Um riskantere eindeutige IDs (wie IP-Adressen) zu erfassen und einen Status mit niedrigem Risiko beizubehalten, kann es erforderlich sein, sie zu hashen.