Diese Richtlinien erklären, wie LastPass mit Anträgen auf Strafverfolgung und anderen rechtmäßigen Anfragen zu Informationen über unsere Benutzer und Kunden („Benutzerinformationen“) sowie mit Löschungsanträgen umgeht, die im Rahmen des Digital Millennium Copyright Act („DMCA“) gestellt wurden.
Diese Richtlinien gelten für alle LastPass-Services.
Informationen, die wir bereitstellen können
LastPass Passwort-Manager
Der LastPass-Passwort-Manager setzt ein „Zero Knowledge“-Sicherheitsmodell ein, das darauf ausgelegt ist, Kundendaten privat und geschützt aufzubewahren – der Zugriff ist weder für LastPass noch für andere möglich. Dieser LastPass-Service umfasst einen „Vault“, in dem sensible Kundendaten in verschlüsselter Form aufbewahrt werden. Eine Entschlüsselung dieser Daten ist nur auf Benutzer- und Geräteebene durch Eingabe des Master-Passworts des Benutzers möglich. LastPass nutzt integrierten Datenschutz und kennt das Master-Passwort des Kunden daher nicht, speichert es nicht und greift nicht darauf zu. Daher kann niemand bei LastPass die Vault-Daten auf den Servern von LastPass entschlüsseln und sie dementsprechend auch nicht als Antwort auf eine rechtliche Anforderung bereitstellen.
Wann immer möglich, sollten Antragsteller stets zuerst versuchen, Informationen direkt bei dem Benutzer oder Kunden einzuholen, der Gegenstand der Untersuchung ist, bevor sie diese Informationen von LastPass anfordern.
LastPass-VPN-Dienst
LastPass VPN nutzt zum Betrieb der VPN-Infrastruktur und zur Erbringung des VPN-Dienstes einen externen Anbieter. Wenn sich Benutzer über LastPass VPN verbinden, erscheint ihr Datenverkehr als von einer öffentlichen VPN-IP-Adresse kommend, die von unserem VPN-Dienstanbieter betrieben wird (nicht LastPass). Diese öffentliche IP-Adresse teilen sich gleichzeitig viele Benutzer. LastPass ist demzufolge außerstande, einen einzelnen Benutzer rein auf der Grundlage der öffentlichen VPN-IP-Adresse zu identifizieren.
Außerdem sieht eine stringente Richtlinie bei LastPass vor, dass VPN-Sitzungsaktivitäten nicht protokolliert werden. LastPass protokolliert nicht, welche Websites besucht wurden, auf welche ihrer Inhalte zugegriffen wurde und welche DNS-Abfragen oder sonstigen Aktivitäten über die VPN-Verbindung erfolgt sind, und kann solche Daten nicht bereitstellen.
Anfragen zu Informationen, in deren Besitz der VPN-Dienstanbieter im Zusammenhang mit LastPass VPN ist, sollten direkt an den VPN-Dienstanbieter gerichtet werden.
Informationen, die Antragsteller angeben müssen
Um sicherzugehen, dass Benutzerinformationsanfragen ihrem Umfang nach angemessen und so eng eingegrenzt sind, dass nur die für den Abschluss der Untersuchung benötigten Informationen angefordert werden, muss die Anfrage einen gültigen Haftbefehl, eine Vorladung, ein gleichwertiges rechtliches Verfahren oder eine Notfalllage enthalten, wobei diese Unterlagen in ihrer Originalform als eine von der zuständigen Behörde ausgestellte unbearbeitete PDF eingereicht werden.
Die Anfrage sollte möglichst viele Details enthalten, damit wir sie effektiv und zeitnah beantworten können. Bitte beachten Sie: Die meisten Benutzerinformationen und Kontodaten können nur durch die E-Mail-Adresse eines Benutzers ermittelt werden. Daher ist die mit dem Konto verknüpfte E-Mail-Adresse die identifizierende Information, die für uns am hilfreichsten ist.
Jede Anfrage muss auch Kontaktdaten für den befugten Antragsteller enthalten, einschließlich:
- Name
- Ausweis-/Identifikationsnummer (falls zutreffend)
- Vom Arbeitgeber ausgestellte E-Mail-Adresse
- Telefonnummer (einschließlich etwaiger Durchwahlen)
- Postanschrift
- Angefordertes Antwortdatum
Verarbeitungsanfragen
Wenn LastPass eine Benutzerinformationsanfrage erhält, führt LastPass die folgenden Schritte aus, bevor eine Antwort erfolgt:
Befugnis. LastPass prüft und verifiziert, ob der Antragsteller über ausreichende Befugnisse nach geltendem Recht verfügt, um die Benutzerinformationen anzufordern. LastPass stellt Antragstellern keine Benutzerinformationen nur dann zur Verfügung, wenn diese einen gültigen Haftbefehl, eine Vorladung, einen Gerichtsbeschluss, ein gleichwertiges rechtliches Verfahren oder eine Notfalllage vorweisen können.
Umfang. Wann immer möglich, bemüht sich LastPass darum sicherzustellen, dass Benutzerinformationsanfragen ihrem Umfang nach angemessen und auf ein bestimmtes Konto beschränkt sind. LastPass darf zusätzlichen Kontext anfordern, wenn die Art der Untersuchung unklar ist, und der Anfrage widersprechen, wenn dies angemessen ist. Wenn LastPass Benutzerinformationen zur Verfügung stellt, bemüht sich LastPass darum, nur das Mindestmaß an Informationen bereitzustellen, das zur Erfüllung der Anfrage erforderlich ist.
Benachrichtigungen. LastPass benachrichtigt den Kunden über eine Anfrage, bevor Benutzerinformationen offengelegt werden, damit sodass der Kunde ihm zur Verfügung stehende Rechtsmittel geltend machen kann. Eine Ausnahme von dieser Regelung gilt, wenn LastPass von entsprechenden Justizbehörden angewiesen wird, keine Benachrichtigung vorzunehmen, wenn LastPass einem Benachrichtigungsverbot unterliegt oder wenn klare Hinweise auf illegales oder schädliches Verhalten oder ein Schädigungsrisiko vorliegen.
Hinweise zum DMCA
LastPass nimmt urheberrechtlich motivierte Löschungsanträge entgegen, die als rechtmäßige DMCA-Anzeige eingereicht wurden, und prüft diese. DMCA-Anzeigen müssen beim von LastPass benannten DMCA-Beauftragten eingereicht werden wie in den Hinweisen zum DMCA beschrieben. Aufgrund der oben beschriebenen technischen Einschränkungen ist die Identifizierung eines einzelnen VPN-Benutzers nur auf Grundlage einer IP-Adresse generell nicht möglich.
Internationale Anfragen
Sämtliche Anfragen müssen gemäß geltendem Recht und durch offizielle Kanäle ausgestellt werden (z. B. ausgeführter Auftrag, offizielle E-Mail-Adresse usw.) Außerdem müssen alle Anfragen im Rahmen einer entsprechenden Rechtsgrundlage erfolgen. Zur Begründung der Rechtsgrundlage für eine internationale Anfrage kann eine Anfrage im Rahmen eines Rechtshilfeabkommens, eine Anfrage eines Landes, das die Verpflichtungen im Rahmen des US CLOUD Act erfüllt, ein Rechtshilfeersuchen oder eine andere Form der Domestikation erforderlich sein.
Wir werden alle internationalen Anfragen auf Länder- und Fallbasis überprüfen, um unsere rechtlichen Verpflichtungen vor Ort und unsere Verpflichtung zur Förderung der Sicherheit und des Schutzes der Daten unserer Benutzer zu berücksichtigen und abzuwägen. Wir können uns dazu entschließen, auf Anfragen aus verschiedenen Ländern abweichend zu antworten, wenn diese Verpflichtungen mit lokalem Recht in Konflikt stehen.
Einreichen einer Anfrage
LastPass nimmt Anfragen von Strafverfolgungsbehörden und Benutzerinformationsanforderungen per E-Mail an subpoenas@lastpass.com entgegen.
DMCA-Anzeigen zu Urheberrechtsverletzungen müssen an LastPass per E-Mail an dmca@lastpass.com oder postalisch an LastPass US LP unter dieser Adresse eingereicht werden. Weitere Informationen zur Einreichung von DMCA-Anzeigen finden Sie in den Hinweisen von LastPass zum DMCA unter www.lastpass.com/legal-center/dmca.
Obwohl wir uns damit einverstanden erklären, Anfragen auf diesem Weg entgegenzunehmen, verzichten weder LastPass noch unsere Kunden auf Rechte, die auf dieser Annehmlichkeit beruhen. Ferner müssen Anfragen per E-Mail von einer offiziellen E-Mail-Adresse einer Regierung gesendet werden, sofern zutreffend.
