Privater FTP-Server und DSGVO

[Tempo]

Ich bin kurz davor meinen FTP-Server online zu schalten. Was mich immer noch darin hindert, sind DSGVO Bedenken.
Kann ich in eine Abmahnfalle tappen, wenn ich einen privaten FTP-Server betreibe? Zugang soll per "anonymous" erfolgen.
Der Browser gibt ja automatisch seine E-Mail Adresse an den FTP-Server weiter. Bei Chrome: chrome@example.com. Muss ich mir diesbezüglich Sorgen machen bzw. wie sieht die Rechtslage aus?

 

[mambokurt]

https://dsgvo-gesetz.de/art-2-dsgvo/

Du bist doch sicherlich eine natürliche Person und handelst privat?

 

[Maike23]

Es ist nicht entscheidend wie du zu den Daten kommst sondern nur ob sie automatisiert erfasst werden ( extremst grob formuliert ).
Schon die dynamisch zugewiesene IP Adresse wird mehrheitlich als Private Daten angesehen, weil rein theoretisch in Kombination mit den Daten eines Internet-Providers Rückschlüsse auf den Benutzer möglich sind.

Das Problematische am FTP:
Man kann auch ohne Browser zugreifen ...mit einem klassischen FTP Client oder auch direkt von der Konsole.
Und dann kann man nichts interaktives hin zaubern wo ein Benutzer der Speicherung zustimmt ( in etwa wie bei den Cookie-Hinweisen )

Damit ist anonymes FTP in der EU faktisch tot ... just my 2 cents. ( insbesondere unverschlüsseltes FTP )
Eigentlich kann man das nur noch mit registrierten Nutzern und Einwilligung zu Speicherung machen ..wenn überhaupt .. denn auch man müsste man ggfls revisionssicher dokumentieren.

Ergänzung (18. September 2018)

Du bist doch sicherlich eine natürliche Person und handelst privat?

Genau - ein anonymous FTP auf den nur die Familie und sehr nahe Bekannte zugreifen

Genau genommen kannst du rechtliche Meinungen auch beim Bäcker abholen
- das ist genauso wertvoll, wie es hier zu tun
( Das schließt meinen Dünnsch*ss selbstredend ein ! )

 

[Bagbag]

und wenn du einfach ein user + passwort mit in die url packst? sftp://user:pass@server.tld

 

[Masamune2]

Was hat der FTP mit der DSGVO zu tun? Verarbeitest du damit in irgend einer Form personenbezogene Daten?
Was soll darauf denn abgelegt werden wenn er für jeden offen ist?

 

[Musicon]

hmm keine ahnungg von "DSVGO" aber hauptsache mal in den raum werfen, statt sich schlau zu lesen...

zwecks faulheit -> ausprobieren und lehrgeld zahlen, falls informieren zu schwer ist...

 

[JP-M]

Wenn sich wirklich jemand daran stört und dich wirklich nicht mag, reicht es schon wenn beim Zugriff auf den Server Logdateien mit IP-Adressen erzeugt werden und du nicht darauf hingewiesen hast, sollte jemand "ausversehen" auf dem Server landen.

Der Artikel 2 ist viel zu schwammig und unkonkret formuliert, als dass man diesen bedenkenlos anwenden könnte. Das Betreiben eines öffentlich verfügbaren / erreichbaren Servers fällt nicht unbedingt in den persönlichen und familiären Bereich.

 

[kachiri]

Was hat der FTP mit der DSGVO zu tun? Verarbeitest du damit in irgend einer Form personenbezogene Daten?
Was soll darauf denn abgelegt werden wenn er für jeden offen ist?

Logdateien... Theoretisch muss der FTP-Server nicht einmal "offen" sein, weil ja auch ein unerwünschter Zugriff immer vom Server auch geloggt wird

 

[Tempo]

Der FTP-Server dient zum reinen privaten Zweck. Auf ihm werden sich gepackte, verschlüsselte Dateien befinden von Urlaubsbildern. Nur Freunde mit dem richtigen Passwort können die Bilder dann ansehen. So der Plan. Wollte erst NextCloud installieren und das ganze per https hosten. Aber wegen der DSGVO machte ich mir halt sorgen und bin auf das ältere FTP-Protokoll umgestiegen.
Die einzigen Spuren die Besucher hinterlassen sind dann im FTP-Server Log. Sonst wird aber nix verarbeitet im Gegensatz zu einer NextCloud Lösung.

 

[M-X]

Nur Freunde...

Wenns eh nur Freunde sind kann es dir doch volkommen egal sein, diese werden der verarbeitung ja zustimmen.

 

[testuser32123]

Wenn sich das Angebot "ausschließlich" an Freunde und Familie richtet, ist tatsächlich der Anwendungsbereich der DSGVO nicht eröffnet, Art. 2 Abs. 2 lit. c DSGVO.
Wichtig ist lediglich, dass (1) nur Freunde und Familie und kein unbestimmter Personenkreis angesprochen werden und dass (2) keine wirtschaftlichen Interessen verfolgt werden.

Mit anderen Worten: Es ist ok und datenschutz-rechtlich unbedenklich.

 

[Ebrithil]

Wenn sich das Angebot "ausschließlich" an Freunde und Familie richtet, ist tatsächlich der Anwendungsbereich der DSGVO nicht eröffnet, Art. 2 Abs. 2 lit. c DSGVO.
Wichtig ist lediglich, dass (1) nur Freunde und Familie und kein unbestimmter Personenkreis angesprochen werden und dass (2) keine wirtschaftlichen Interessen verfolgt werden.

Mit anderen Worten: Es ist ok und datenschutz-rechtlich unbedenklich.

Korrekt. Username + Passwort würd ich trotzdem machen.

 

[Raijin]

Wegen Datenschutzbedenken statt einer Cloud lieber einen FTP einrichten? Das ist ja mal ne interessante Idee....

Ich hoffe mal du redest nicht von nacktem FTP, wenn du schon von "altem Protokoll" sprichst. FTPS oder SFTP muss es dann schon sein. Wobei ich das generell nicht mit FTP machen würde wo es doch einfachere Lösungen gibt - wie zB eine private Cloud..

 

[mambokurt]

Genau - ein anonymous FTP auf den nur die Familie und sehr nahe Bekannte zugreifen

Genau genommen kannst du rechtliche Meinungen auch beim Bäcker abholen
- das ist genauso wertvoll, wie es hier zu tun
( Das schließt meinen Dünnsch*ss selbstredend ein ! )

Na wenn er da wirklich nur mit Bekannten Dateien teilt ist er raus. Ich persönlich hab damals zur Geburt meines Kindes son Server über http gemacht und da halt httpauth davorgehangen und bei den Betroffenen verteilt, ist später ein Verteiler für Fotos von Familienfeiern geworden. Wenn du ohne Auth nichtmal auf ne Landingpage kommst bist du raus aus dem ganzen Gedönnes, dann brauchts nichtmal ein Impressum.
Das mit dem anonymen Ftp find ich von der technischen Seite aber dämlich, einfach User/Pass davorhängen und verteilen, meist hat man ja bestimmte Kreise die bestimmtes sehn sollen und dann regelt man das über Usergruppen oder User auf dem Ftp.

Was logs angeht: wenn dir wer auf der Straße seine Penislänge entgegenbrüllt kannste auch nichts machen. Um dich erfolgreich abmahnen zu können müsste erstmal jemand beweisen _dass_ du da mitloggst. Viel Erfolg dabei.

 

[Tempo]

Ich habe jetzt nochmals Eure ganzen Tipps mir durch den Kopf gehen lassen und ausprobiert. Die NextCloud Lösung ist mir auf Dauer zu umfangreich bzw. zu viel zu administrieren, warten und zu pflegen. Habe jetzt MamboKurts Lösung genommen. Habe einen WebServer (https) laufen mit voriger Anmelde-Page. Denke das ich so sicher bin. Brauche ich dann wirklich kein Impressum oder ähnliches?

 

[Bagbag]

Nein.

 

[Matusalem]

By the way: Nextcloud ist im Prinzip ein Webserver (https) mit vorheriger Anmelde-Page.

Dazu noch eine Menge nützlicher Apps und Funktionen. Es gibt fertige Images, mit denen die Administration und Wartung auf ein absolutes Minimum reduziert wird, weitestgehend sicher sind und selbst ich klarkomme.