Gratis
31. August 2015 - Datenschutz-Begriffe und Bewertung von Technologien

Datenschutz-Maßnahmen bei RFID- oder NFC-Chips

RFID (Radio Frequency Identification Technology, Funkfrequenzidentifizierung) ist eine Technologie, mit welcher sich Daten berührungslos und ohne Sichtkontakt lesen und speichern lassen. Nahfeldkommunikation (Near Field Communications, NFC) basiert auf den RFID-Standards.

RFID- oder NFC-Chips Die datenschutzkonforme Verwendung von RFID und NFC erfordert einige Maßnahmen(Bild: LDProd / iStock / Thinkstock)

Die Technik hinter RFID und NFC

Der RFID-Chip (auch Transponder oder Tag) ist eine Sende-/Empfangseinheit, die von außen drahtlos induktiv oder per Funksignal angesprochen wird. Sie gibt bestimmte Daten des Chips beispielsweise an Kassen- und Warenwirtschafts-Systeme preis. Das Auslesen erfolgt im Nahbereich (an der Kasse) induktiv, im Fernbereich bis zu 30 Metern über Funk.

Die passiven Chips benötigen keine eigene Stromversorgung, da die Stromversorgung über elektromagnetische Felder erfolgt. Basierend auf den RFID-Standards wurden die NFC-Chips (Near Field Communications) entwickelt, die in Kreditkarten und in Smartphones zum Einsatz kommen.

Datenschutzrecht

Durch die Regelungen der Datenschutz-Grundverordnung (DSGVO) ergeben sich für RFID- oder NFC-Chips besondere Anforderungen: Der Chip ist in der Lage, Daten preiszugeben, ohne dass der oder die Betroffene dies weiß oder aktiv initiiert.

Forderungen für den Einsatz von RFID

Bereits zur 72. Konferenz der Datenschutzbeauftragten des Bundes und der Länder (am 26./27. Oktober 2006) wurde die Entschließung „Verbindliche Regelungen für den Einsatz von RFID-Technologien“ veröffentlicht. Für den Schutz der Persönlichkeitsrechte Betroffener sind folgende Forderungen zu berücksichtigen:

  • Transparenz:
    Alle Betroffenen sind umfassend über den Einsatz, Verwendungszweck und Inhalt von RFID-Tags zu informieren.
  • Kennzeichnungspflicht:
    Nicht nur die eingesetzten RFID-Tags selbst, sondern auch die Kommunikationsvorgänge, die die Chips auslösen, müssen für die Betroffenen leicht zu erkennen sein. Eine heimliche Anwendung ist unzulässig.
  • Keine heimliche Profilbildung:
    Daten von RFID-Tags aus verschiedenen Produkten dürfen nur so verarbeitet werden, dass personenbezogene Verhaltens-, Nutzungs- und Bewegungsprofile ausschließlich mit Wissen und Zustimmung der Betroffenen erstellt werden können. Soweit eine eindeutige Identifizierung einzelner Gegenstände für einen bestimmten Anwendungszweck nicht erforderlich ist, gilt es, auf eine Speicherung eindeutig identifizierender Merkmale auf den RFID-Tags zu verzichten.
  • Vermeidung der unbefugten Kenntnisnahme:
    Das unbefugte Auslesen der gespeicherten Daten ist beispielsweise durch Verschlüsselung bei ihrer Speicherung und Übertragung zu unterbinden.
  • Deaktivierung:
    Vor allem im Handels- und Dienstleistungssektor muss die Möglichkeit bestehen, RFID-Tags dauerhaft zu deaktivieren, oder die darauf enthaltenen Daten zu löschen. Insbesondere, wenn Daten für die Zwecke nicht mehr erforderlich sind, für die sie auf dem RFID-Tag gespeichert wurden.

Forderungen für den Einsatz von NFC

Für die datenschutzgerechten Verwendung von NFC haben die Aufsichtsbehörden im März 2018 einen Beschluss der DSK (Datenschutzkonferenz) zum Kontaktlosen Bezahlen veröffentlicht:

Demnach bestehen die Datenschützer auf

  • die Möglichkeit, bestimmte NFC-Dienste anonym zu nutzen (anonyme E-Tickets),
  • Transparenz über die jeweils per NFC übertragenen Daten und deren Absicherung,
  • Datensparsamkeit bei der Speicherung auf den NFC-Chips
  • sowie die Unterweisung der Nutzer, die NFC-Schnittstelle nur bei tatsächlichem Bedarf zu aktivieren.

Weitere Hinweise der Aufsichtsbehörden sind:

  • Die Karten ausgebenden Institute sind verpflichtet, umfassende und verständliche Informationen für Nutzerinnen und Nutzer über Datenhaltung und -verarbeitung bereitzustellen. Bei Bezahlverfahren, die ein Smartphone voraussetzen, ist weiterhin über die damit einhergehenden besonderen Risiken zu informieren. Zudem sind Hinweise zur Risikominimierung zu geben.
  • Die Kundinnen und Kunden sind darüber zu unterrichten, dass eine kostenlose Schutzhülle in der Standardversion zur Verfügung steht.
  • Durch Voreinstellung muss sichergestellt sein, dass die NFC-Funktion zunächst deaktiviert ist. Den Kundinnen und Kunden ist zu ermöglichen, die NFC-Funktion jederzeit abzuschalten. Alternativ besteht die Möglichkeit, Karten ohne NFC-Funktion anzubieten, ohne dass für Kundinnen und Kunden Mehrkosten entstehen.
  • Um das unberechtigte Auslesen etwaiger personenbeziehbarer Daten zu verhindern, ist die drahtlose Kommunikation zwischen (virtueller) Karte und Terminal zu verschlüsseln. Auch bleiben weitere Maßnahmen zur technisch-organisatorischen Absicherung von NFC-basierten Konzepten – wie etwa die Randomisierung der Kartennummer – fortgesetzt aktuell.
  • Die Möglichkeit des kontaktlosen Auslesens einer wiederkehrenden Kennziffer (zum Beispiel die Kartennummer), die sich unter Umständen zu Zwecken der Profilbildung heranziehen lässt, ist grundsätzlich nicht erwünscht.
  • Bei Bezahlverfahren, die ein Smartphone voraussetzen, ist die Bezahl-App von den ausgebenden Kreditinstituten aktuell zu halten. Die Kundinnen und Kunden sind anzuhalten, nur die aktuellen Software- und Betriebssystem-Versionen einzusetzen. Bei nicht aktualisierten Software- und Betriebssystem-Versionen ist mindestens kontinuierlich und unübersehbar darauf hinzuweisen, wenn die Anwendungen zu Sicherheitsrisiken führen.

An Datenschutzfolgenabschätzung denken

Gemäß Art. 35 Abs. 4 DSGVO haben die Aufsichtsbehörden Listen mit Verarbeitungstätigkeiten veröffentlicht, bei denen verpflichtend eine Datenschutzfolgenabschätzung (DSFA) durchzuführen ist.

In der Muss-Liste der deutschen Aufsichtsbehörden finden sich diese Fälle als Beispiele, bei denen RFID oder NFC zum Einsatz kommt und eine DSFA vorzusehen ist:

  • Ein Unternehmen lässt Bewegungsprofile von Beschäftigen erstellen (per RFID, Handy-Ortung oder GPS), zur Sicherung des Personals (Wachpersonal, Feuerwehrleute), zum Schutz von wertvollem Eigentum des Arbeitgebers oder eines Dritten (LKW mit Ladung, Geldtransport) oder zur Koordination von Arbeitseinsätzen im Außendienst.
  • Einsatz von RFID/NFC durch Apps oder Karten: Eine Bank setzt die NFC-Technologie bei Geldkarten ein, um den Zahlungsverkehr zu erleichtern.

Oliver Schonschek
Oliver Schonschek ist Diplom-Physiker, Analyst und IT-Fachjournalist im Bereich IT-Sicherheit und Datenschutz.