Source: https://euwis.de/Home/Aktuelles
Timestamp: 2019-05-22 02:45:45+00:00

Document:
Liebe Kunden, liebe Freunde, liebe Team-Mitglieder,
in diesem Jahr ist viel passiert - Weihnachten ist eine gute Gelegenheit DANKE zusagen und inne zuhalten, neue Kraft für neue Taten zu tanken.
In diesem Sinne wünschen wir ein frohes Weihnachtsfest und schöne, erholsame Feiertage.
Für das neue Jahr wünschen wir Gesundheit und Viel Erfolg!
Ihre EUWIS GmbH
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (EUWIS) und des Lerhgangs zum Datenschutzkoordinator/in im September 2017
Vergangene Woche ging wieder ein Lehrgang zum/r externen Datenschutzbeauftragten sowie zum Datenschutzkoordinator/in erfolgreich zu Ende.
Wir wünschen allen Teilnehmer für die Zukunft alles Gute und viel Spaß im Datenschutzalltag.
wir wünschen Ihnen ein schönes Osterfest und erholsame Feiertage mit Ihren Familien.
Liebe Kunden, Liebe Datenschutzbeauftragte,
ab heute stehen Ihnen die neuen Seminartermine für 2017 zur Verfügung. Wir wünschen Ihnen viel Spaß beim Stöbern und eine schöne Vorweihnachtszeit.
Mit großen Schritten geht das Jahr zu Ende. Auch dieses Jahr haben wir für Sie wieder das „Datenschutz Update“- Seminar. Dieses Jahr mit folgenden spannenden Themen:
-	Datenschutz Europäische Datenschutzverordnung (DSGVO) – was ist jetzt schon zu tun
-	Wie kann die Dokumentation jetzt schon auf die Anforderungen der DSGVO angepasst werden – kurzer Workshop.
-	Upgrade Datenschutz und Praxisbeispiele
-	Privacy Shield und die Übermittlung an Drittstaaten
-	Neuigkeiten der Aufsichtsbehörden – was bedeutet das für die alltägliche Praxis
-	Wissenswertes aus der Datenschutzpraxis
Achtung: Es sind nur noch wenige Plätze frei.
Wir freuen uns darauf Sie am 30.11.2016 in Karlsruhe begrüßen zu dürfen.
Erfolgreicher Abschluss der Lehrgänge externer Datenschutzbeauftragter (EUWIS) und Datenschutzkoordinator
Letzte Woche gingen wieder zwei Lehrgänge erfolgreich zu Ende. Die Lehrgangstage vergingen wie immer wie im Flug, denn die Teilnehmer stellten sich hochmotiviert und gutgelaunt dem Thema Datenschutz.
Wir wünschen allen Teilnehmern für die Zukunft alles Gute und viel Spaß im Datenschutzalltag.
In vier Wochen ist es wieder soweit. Unsere Lehrgänge zum externen Datenschutzbeauftragten (EUWIS) und zum Datenschutzkoordinator finden in unseren neuen Schulungsräumen im Saarland statt. Erleben Sie äußerst informative und lehrreiche Tage mit jeder Menge Praxis-Tipps in angenehmer Atmosphäre. Sie lernen in kleinen Gruppen intensiv alle notwendigen Fertigkeiten, um den Datenschutz auch in Ihrem Unternehmen umsetzen und leben zu können! Profitieren Sie vom umfangreichen Wissen unseres Referenten aus der täglichen Datenschutz-Praxis.Noch sind Plätze frei !
nun geht wieder ein ereignisreiches Jahr zu Ende. Wir möchten uns an dieser Stelle für die gute Zusammenarbeit und das Vertrauen in uns bedanken und wünschen Ihnen und Ihren Familien ein schönes und erholsames Weihnachtsfest sowie einen guten Rutsch ins Jahr 2016.
Ihr Team-Datenschutz
PS: Für den Fall, dass Ihnen im Weihnachtsurlaub der Lesestoff ausgeht hat ihnen Herr Häcker eine kleine Datenschutz-Weihnachtsgeschichte geschrieben. Viel Spaß beim lesen: Weihnachtsgeschichte - der himmlische Datenschutzbeauftragte
Neue Seminartermine für 2015
Ab heute stehen Ihnen die neuen Tageseminartemrine für das Jahr 2015 zur Verfügung. Auch im kommenden Jahr haben wir wieder viele abwechslungreiche Themen für Sie.
Wir wünschen Ihnen viel Spaß beim stöbern und würden uns freuen Sie nächstes Jahr wieder bei uns begrüßen zu dürfen.
Erfolgreicher Abschluss der Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im September 2014
Am Freitag ging wieder ein Lehrgang zum externen Datenschutzbeauftragten erfolgreich zu Ende. Die Teilnehmer konnten nach fünf anstrengenden, aber lehrreichen Tagen die praxisbezogenen Projektarbeiten erfolgreich und überzeugend präsentieren. Alle durften zum Schluss das wohlverdiente IHK-Zertifikat entgegennehmen.
Wir wünschen allen Teilnehmern alles Gute und Erfolg im Datenschutzalltag.
Neuer Lehrgang zum externen Datenschutzbeauftragten (IHK) im September 2014
Sind Sie auf der Suche nach einem zweiten Standbei, einer neuen Herausforderung? Dann melden Sie sich jetzt noch an zu unserem Lehrgang externe/r Datenschutzbeauftragte/r (IHK) in Karlsruhe. Schon am 22. September beginnt wieder ein neuer Kurs, noch sind Plätze frei!
Erleben Sie fünf äußerst informative und lehrreiche Tage mit jeder Menge Praxis-Tipps in angenehmer Atmosphäre. Sie lernen in kleinen Gruppen intensiv alle notwendigen Fertigkeiten, um den Datenschutz auch in Ihrem Unternehmen umsetzen und leben zu können! Profitieren Sie vom umfangreichen Wissen unserer Referenten aus der täglichen Datenschutz-Praxis.
Sie als Teilnehmer sind unsere Gäste. Genießen Sie unsere tolle Rund-um-Verpflegung.
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im Mai 2014, neuer Lehrgang im Juli 2014
Am 09. Mai 2014 ging wieder ein Lehrgang zum externen Datenschutzbeauftragten (IHK) in Karlsruhe erfolgreich zu Ende. Doch schon am 07. Juli beginnt wieder ein neuer Kurs! Melden Sie sich jetzt an! Auch diesmal konnten wir unseren begeisterten Teilnehmer vermitteln, dass bei uns: "Datenschutz nicht nur gelebt sondern auch geliebt wird", wie uns wieder beim Erhalt der Zertifikate bestätigt wurde.
Wir wünschen allen Teilnehmern alles Gute und viel Erfolg im Datenschutzalltag.
Liebe Datenschutzbeauftragte und Datenschutzinteressierte,
bei der Suche kleiner Ostergeschenke können Sie sich viel Zeit lassen, Ihre Suche nach einem passenden Datenschutzseminar und einem kompetenten Schulungspartner hat nun ein Ende. Ob Auffrischungsseminare zu aktuellen Themen für bereits bestellte Datenschutzbeauftragte oder die Ausbildung zum externen Datenschutzbeauftragten (IHK) mit offiziellem Zertifikat, bei uns sind Sie genau richtig!
Wir wünschen Ihnen und Ihrer Familie frohe, erholsame und sonnige Feiertage und freuen uns auf Ihre Anmeldung!
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im März 2014, neuer Lehrgang im Mai 2014
Am 21. März 2014 ging wieder ein Lehrgang zum externen Datenschutzbeauftragten (IHK) in Karlsruhe erfolgreich zu Ende. Doch schon am 05. Mai beginnt wieder ein neuer Kurs! Melden Sie sich jetzt an! Unsere begeisterten Teilnehmer empfehlen uns jederzeit und immer wieder gerne weiter, wie Sie uns auch diesmal wieder beim Erhalt Ihrer Zertifikate bestätigten.
Schon bald, 17. März 2014, beginnt wieder ein neuer Lehrgang zum externen Datenschutzbeauftragten (IHK) in Karlsruhe. Noch sind Plätze frei. IT-Fachkräfte, die sich ein neues Beratungsumfeld als externer Datenschutzbeauftragter erschließen wollen sowie betriebliche Datenschutzbeauftragte sollten sich also schnell anmelden.
Auch nach dem Abschluss dieses Lehrgangs lassen wir unsere Teilnehmer nicht im Regen stehen. Wir bieten Ihnen regelmäßige Fortbildungen zu aktuellen Datenschutzthemen und den interesannten und informativen Austausch mit anderen Datenschutzbeauftragten in unseren Tagesseminaren an.
Für interne Datenschutzbeauftragte haben wir einen speziellen Arbeitskreis eingerichtet, der die Aufgaben der internen Datenschutzbeauftragten unterstützt.
Gerne informieren wir Sie auch hierzu.
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im Januar 2014
Das neue Jahr war noch keine vier Wochen jung und wieder wurde am 24.01.2014 ein Lehrgang zum externen Datenschutzbeauftragten (IHK) in Karlsruhe erfolgreich abgeschlossen. Fünf äußerst lehrreiche und informative Tage gingen für unsere begeisterten Teilnehmer bei der feierlichen Übergabe der Zertifikate zu Ende.
Termine für die Tagesseminare 2014
Ab heute stehen Ihnen die neuen Tagesseminartermine für das Jahr 2014 zur Verfügung. Auch im kommenden Jahr bieten wir Ihnen wieder abwechslungsreiche Themen an.
Wir wünschen Ihnen viel spaß beim durchsehen und würden uns freuen Sie nächstes Jahr wieder bei uns begrüßen zu dürfen.
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im Juni 2013
Am vergangenen Dienstag ist in Karlsruhe wieder ein Lehrgang zum externen Datenschutzbeauftragten (IHK) zu Ende gegangen. Hinter den Teilnehmern liegt ein langes aber sehr lehrreiches Wochenende. In ihren Abschlusspräsentationen bewiesen die Teilnehmer ihre erworbenes Fachwissen und erhielten das IHK-Zertifikat.
Erfolgreicher Abschluss des Seminars "Datensicherungs-, Archivierungs- und Löschkonzept"
Kaum hat der Mai begonnen geht es in den Schulungsrämen der EUWIS GmbH wieder rund. Am 07.05.2013 fand das Seminar zum "Datensicherungs-, Archivierungs- und Löschkonzept" statt. Die Teilnehmer erwartete ein Tag mit viel Informationen und komplexen Zusammenhängen, welche nicht immer auf den ersten Blick ersichtlich waren. Es wurden viele Fälle und Fragen aus der täglichen Praxis besprochen, sodass die Teilnehmer die einzelnen Themen auch leichter in ihren Unternehmen umsetzten können. Auch dieses Seminar wurde wieder von Herrn Eberhard Häcker geleitet, welcher wieder gezeigt hat das auch umfangreiche Themen nicht langweilig sein müssen.
Wir wünschen den Teilnehmern bei der Umsetzung im eigenen Unternehmen viel Erfolg.
Neues Seminar - Verfahrensbeschreibungen im Personalbereich i. V. mit dem Beschäftigtendatenschutz
Aufgrund hoher Nachfrage bieten wir Ihnen ab dem 10.07.2013 das Seminar "Verfahrensbeschreibungen im Personalbereich und der Beschäftigtendatenschutz" an. Herr Eberhard Häcker wird Ihnen wie gewohnt mit Witz und Charme dieses schwierige Thema näher bringen.
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im März 2013
Wir gratulieren allen Teilnehmern zur bestandenen Abschlusspräsentation und wünschen ihnen für die Zukunft viel Erfolg.
Im April ging wieder einmal der Zertifikatslehrgang zum externen Datenschutzbeauftragten erfolgreich zu Ende
Die fünf Lehrgangstage vergingen wie immer wie im Flug, denn die Teilnehmer stellten sich hochmotiviert und gutgelaunt dem Programm, das sie erwartete. Sie bekamen eine ausführliche und strukturierte Übersicht über das vielschichtige Aufgabenfeld eines Datenschutzbeauftragten und lernten nicht nur die Theorie kennen, sondern bekamen sehr umfangreiche Übungen zur Praxis dieser wichtigen Aufgabe.
Die Teilnehmer waren mit dem Lehrgang sehr zufrieden und gaben ihm eine Durchschnittsnote von 1,5.
Sie alle meisterten souverän die praxisbezogene Abschlusspräsentation und konnten voller Stolz die IHK-Zertifikate entgegennehmen.
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im März 2012
Am Dienstag ging wieder ein Lehrgang zum/r externen Datenschutzbeauftragten erfolgreich zu Ende. Die Teilnehmer konnten nach fünf anstrengenden, aber lehrreichen Tagen die praxisbezogenenen Projektarbeiten erfolgreich und überzeugend präsentieren. Alle durften zum Abschluss das wohlverdiente IHK-Zertifikat entgegennehmen.
Wieder zeigten sich die Teilnehmer sehr zufrieden mit dem Lehrgang und gaben ihm im Durchschnitt die Note 1,4. Wir freuen uns sehr über das positive Feedback und wünschen ihnen allen alles Gute und viel Erfolg im Datenschutzalltag!
Die neue Website von Team Datenschutz ist online!
Nun ist sie da, die neue Website von Team Datenschutz, und das Ergebnis kann sich sehen lassen. Der Onlineauftritt des Experten-Netzwerks bietet einige Neuerungen, die Ihnen bestimmt gefallen werden: Moderneres Design, ein neu eingerichteter Pressebereich und noch mehr Informationen für unsere Besucher – voller Stolz präsentieren wir Ihnen ab heute das neue team-datenschutz.de! Schauen Sie immer mal wieder vorbei, denn dort werden regelmäßig Neuigkeiten und Tipps rund ums Thema Datenschutz veröffentlicht. Viel Spaß beim Umschauen!
Erfolgreiche Veranstaltung zur Eröffnung in Hannover
Die Veranstaltung zur Eröffnung der neuen Geschäftsstelle von Team Datenschutz in Hannover war wie erwartet ein voller Erfolg: Zahlreiche Gäste kamen am vergangenen Freitag in die Räumlichkeiten im Camp Media und feierten mit uns die Eröffnung der bereits achten Niederlassung des Experten-Netzwerks deutschlandweit.
Nach der Begrüßung der Gäste durch Monika Ganter-Häcker und Paul Junkermann sprach Bernd Johannknecht, stellvertretender Geschäftsführer der IHK Hannover, ein Grußwort. Er drückte seine Freude darüber aus, dass mit der Eröffnung das Thema Datenschutz in Unternehmen in Hannover und Umgebung deutlich gestärkt werde, und wünschte der Niederlassung viel Erfolg für die kommenden Aufgaben.
Anschließend erhielten die Gäste von Paul Junkermann wertvolle Informationen zur Sicherung digitaler Unternehmenswerte, erfuhren von Julian Häcker, welche Fallstricke drohen, wenn ein Unternehmen Social Media einsetzt, und bekamen von Harry Hothan und Paul Junkermann anhand von Beispielen vorgestellt, wie Verschlüsselungsverfahren in der Praxis eingesetzt werden können.
Zwischen den Vorträgen und im Anschluss daran konnten sich Gäste und Referenten bei einem Büfett austauschen und führten bis zum frühen Abend angeregte Diskussionen über Datenschutz und Datensicherheit.
Die Gäste zeigten sich mehr als zufrieden mit der Veranstaltung. Dieser Auftakt lässt auf interessante Datenschutzprojekte für Hannover und ganz Niedersachsen hoffen.
Am 2. März eröffnet Team Datenschutz in Hannover seine achte Niederlassung
In wenigen Tagen ist es so weit: Team Datenschutz eröffnet eine weitere Niederlassung. Damit ist das Experten-Netzwerk bereits in acht deutschen Städten vertreten. Hannover als "IT-Hauptstadt" Deutschlands ist als neuer Standort geradezu prädestiniert – hier findet jährlich die Computermesse CeBIT statt, außerdem hat der Heise-Verlag hier seinen Sitz. Der Kooperationspartner vor Ort ist das Unternehmen Profilsicherheit, das sich auf Datenschutz und Datensicherheit für Privatpersonen und Kleinunternehmen spezialisiert hat.
Geschäftsführer Paul Junkermann erläutert: „Die Bedeutung von Online-Wirtschaftskriminalität und Vertrauensverlust nimmt zu. Datenunfälle und Datendiebstahl sind keine Naturkatastrophen, jeder kann vorbeugen. Wir motivieren Unternehmen und Menschen, präventiv zu handeln.“ Dass Datenschutz von Unternehmen nicht als lästige Pflicht, sondern als Chance begriffen werden sollte, betont Monika Ganter-Häcker, Geschäftsführerin der EUWIS: „Datenschutz lohnt sich für Unternehmen in vielerlei Hinsicht und bringt unzählige Vorteile mit sich: Kostenersparnis, Effizienz, Vertrauen. Von der richtigen Umsetzung des Datenschutzes profitiert ein Betrieb viel mehr, als viele glauben – weil einfach unheimlich viel Potenzial damit verbunden ist, das erst auf den zweiten Blick erkennbar ist.“
Zur offiziellen Eröffnung am Freitag, den 2. März um 14.00 Uhr im Camp Media, Expo Plaza 3, Konferenzraum 403/403a sind interessierte Partner, Kunden und Gäste herzlich willkommen. Grußworte sprechen Geschäftsführer und Inhaber von EUWIS und Profilsicherheit sowie Bernd Johannknecht, stellvertretender Geschäftsführer der IHK Hannover. Themen weiterer Vorträge sind die Sicherung von digitalen Unternehmenswerten, Fallstricke beim Einsatz von Social Media im Unternehmen sowie Verschlüsselungsverfahren in der Praxis.
Erfolgreicher Abschluss des Zertifikatslehrgangs zum externen Datenschutzbeauftragten (IHK) im Januar 2012
Am vergangenen Freitag ist in Karlsruhe wieder ein Lehrgang zum externen Datenschutzbeauftragten zu Ende gegangen. Hinter den Teilnehmern liegen fünf anstrengende, aber lehrreiche Tage, in denen sie sich die Methodik und das Handwerkszeug in Theorie und Praxis der Tätigkeit eines Datenschutzbeauftragten aneigneten. In ihren Abschlusspräsentationen analysierten sie praxisbezogen die datenschutztechnische Situation eines Unternehmens und stellten die notwendigen Maßnahmen vor, die sich daraus ergeben. Alle Teilnehmer haben den Kurs erfolgreich abgeschlossen und erwarben als Fachkundenachweis ihr IHK-Zertifikat.
Auch diesmal waren die Kursteilnehmer sehr zufrieden und gaben dem Lehrgang im Durchschnitt die Note 1,3. Nun sind sie bereit, sich den vielfältigen Aufgaben rund um den Datenschutz zu stellen. Wir gratulieren herzlich, bedanken uns für die gemeinsamen Tage und wünschen ihnen viel Erfolg bei ihrer neuen Tätigkeit.
Zahlreiche Gäste kommen zur Eröffnung der neuen EUWIS-Niederlassung in Geislingen
Die Feier zur Eröffnung der neuen Niederlassung der EUWIS war ein voller Erfolg: Interessierte aus ganz Baden-Württemberg kamen in die festlich dekorierten Räume in Geislingen, um bei der Eröffnung dabei zu sein. Im Vortragsraum waren fast alle Stühle besetzt, als Jürgen Mollenkopf, Geschäftsführer des Kooperationspartners mybe GmbH und Leiter der neuen Zweigstelle, die Gäste begrüßte. In seinem Vortrag stellte er die bisherige Entwicklung der mybe vor und sprach von der Bedeutung des Themas Datenschutz, bevor er das Wort an Holger Scheible, stellvertretender Oberbürgermeister der Stadt Geislingen, übergab.
Herr Scheible sprach seine Freude über Geislingen als Standort der neuen Niederlassung aus. Er betonte, wie wichtig es sei, dass die Unternehmen in und um Geislingen erfolgreich funktionieren, Arbeitsplätze geschaffen werden und – so witzelte er – die Kommune Gewerbesteuern einnimmt. Bei all diesem werde die EUWIS ihren Beitrag leisten, sagte Scheible, und wünschte dem Unternehmen Glück und Erfolg an seinem neuen Standort.
Er übergab das Wort an Gernot Imgart, stellvertretender Geschäftsführer der Industrie- und Handelskammer Göppingen, der zunächst auf Datenschutzskandale in der Vergangenheit verwies und dem Publikum anschließend vorstellte, wann ein Datenschutzbeauftragter in Unternehmen nötig ist und wer diese Aufgabe übernehmen kann. Er machte außerdem auf die Unterstützung der IHK bei diesem Thema aufmerksam und begrüßte das Angebot der EUWIS bei der Umsetzung des Datenschutzes. Abschließend stellte Eberhard Häcker, Geschäftsführer der TDSSG und Gründer von Team Datenschutz, die Geschichte der EUWIS dar und zeigte, wie gläsern der Mensch heutzutage ist – mit seinen Informationen über Facebook, Gesichtserkennung, Handyortung und Ähnliches machte er die Zuhörer nachdenklich und lieferte ihnen reichlich Gesprächsstoff. Nach den Grußworten klang die Feier bei Gesprächen und einem Büfett in gemütlicher Atmosphäre am frühen Abend aus.
Eröffnung der neuen Niederlassung in Geislingen am 21. Oktober
Demnächst sind unsere Datenschutzexperten auch in Geislingen dauerhaft vor Ort. Am 21. Oktober eröffnet die EUWIS GmbH eine neue Niederlassung in Kooperation mit der bereits in Geislingen ansässigen mybe GmbH, deren Geschäftsführer Jürgen Mollenkopf die neue Zweigstelle leiten wird. Die EUWIS GmbH ist stolz darauf, damit deutschlandweit bereits die siebte Niederlassung zu eröffnen.
Künftig werden die Experten der EUWIS GmbH auch den Unternehmen in Geislingen und Umgebung mit Rat und Tat zur Seite stehen und ihnen helfen, die gesetzlichen Vorgaben zum Datenschutz umzusetzen und den Erwartungen ihrer Kunden zu genügen. In den Räumen der neuen Niederlassung werden zudem Seminare und Workshops rund um die Themen Datenschutz und Unternehmensführung angeboten.
Jürgen Mollenkopf sieht einen großen Gewinn für Geislingen als Standort der EUWIS GmbH. Er formuliert als Ziel der neuen Zweigstelle: „Wir versuchen, das Thema Datenschutz bekannt zu machen und andere Unternehmen und Menschen zu sensibilisieren, ihren Beitrag zu leisten.” Für Monika Ganter-Häcker, Geschäftsführerin der EUWIS GmbH, ist mit der Eröffnung ein weiterer Schritt in Richtung flächendeckende Verbreitung getan: „Wir wollen für unsere Kunden passgenaue individuelle Lösungen in Sachen Datenschutz finden. Das geht am besten, wenn wir direkt vor Ort sind. Wir wollen da sein, wo die Kunden sind.“
Zur Eröffnungsfeier der neuen Niederlassung um 13.30 Uhr in der Karl-Benz-Straße 6 sind unsere Kunden und alle interessierten Gäste natürlich herzlich eingeladen. Wir freuen uns auf Sie!
Erfolgreicher Abschluss des Zertifikatslehrgang zum externen Datenschutzbeauftragten (IHK) im September 2011
Vergangene Woche ist wieder ein Lehrgang für externe Datenschutzbeauftragte zu Ende gegangen. Die Kursteilnehmer haben ein extrem straffes Programm hinter sich gebracht und konnten am Ende mit ihren Projektpräsentationen beweisen, dass sie die erforderliche Fachkunde erworben haben. Dies ist besonders hoch anzuerkennen, da die Vielfalt an Themen im Datenschutz stetig zunimmt, die Inhalte immer detaillierter werden und diese innerhalb einer Woche zu vermitteln sind. Aussagen der Teilnehmer, dass diese eine Woche Lehrgang härter war als viele Lehrgänge zuvor bzw. sogar Teile des Studiums, sprechen eine deutliche Sprache.
Als Referenten des Lehrgangs gratulieren wir allen Absolventen zu ihrem Erfolg und freuen uns auch über deren Feedback. Im Durchschnitt bewerteten die Teilnehmer den Lehrgang mit der Note 1,4. Hier sind einzelne Auszüge zu sehen:
"Strammes Programm, aber gut, teilweise sehr gut vorgetragen. Sehr aktuelle Themen wurden angesprochen. Viele Hilfestellungen wurden gegeben. Die Referenten waren methodisch und didaktisch gut."
"Ein sehr guter Lehrgang: vollständig, vertieft, übersichtlich, vielschichtig. Eine exzellente Basis für den Datenschutz."
"Alle Referenten waren sehr kompetent und konnten so gut wie alle Fragen beantworten. Es waren fast immer gute Beispiele aus der Praxis dabei. Somit waren die Themen immer gut verständlich. Es waren jedoch sehr viele Themen für eine Woche. Diesbezüglich wären insgesamt zwei Wochen für den Lehrgang besser."
Interview mit Eberhard Häcker im Personalmagazin 08/11: "Fantasiezertifikat nachprüfen"
In der aktuellen Ausgabe 08/11 des Personalmagazin ist Eberhard Häcker, Geschäftsführer der EUWIS GmbH und Auditor bei Datenschutzzertifizierungen, Interviewpartner des Personalmagazin. Er wurde inbesondere zu Risiken bei der Auftragsdatenverarbeitung von Personalarbeit in der Cloud befragt. Neben der Nennung der Hauptrisiken zeigt er Wege auf, wie Unternehmen diesen begegnen können:
Generell nur verschlüsselte Daten in die Cloud stellen
Das Partnerunternehmen sollte seinen Sitz und vor allem das entsprechende Rechenzentrum möglichst in der EU, besser in Deutschland haben.
Es sollte dem Unternehmen möglich sein, sich vor Ort selbst ein Bild zu machen. Dazu sollte ein sachverständiger Vertrauter jederzeit Zutritt zum Rechenzentrum erhalten.
Das komplette Interview sowie den Fachartikel "Personalarbeit in der Wolke" finden Sie hier zum Download.
Erfolgreicher Abschluss des Zertifikatslehrgang zum externen Datenschutzbeauftragten (IHK) im Juli 2011
Am 05. Juli fand ein weiterer Zertifikatslehrgang zum externen Datenschutzbeauftragten seinen Abschluss. Ein hochkarätiges Teilnehmerfeld mit überraschend vielen Teilnehmern aus dem Rhein-Main-Gebiet erarbeitete hervorragende Projektergebnisse. Wir bedanken uns bei den Teilnehmern für einen anspruchsvollen Wochenendlehrgang mit tollem Teamspirit und freuen uns besonders über das positive Feedback:
"Die Betreuung, das Umfeld und die Räumlichkeiten waren optimal. Jede Frage wurde aufgenommen, zu 100 Prozent verstanden und beantwortet. Danke."
"Vielen Dank für die Mühen und den Arbeitseinsatz. Der Return on Invest wird jetzt eingeholt."
"Der Lehrgang hat Unmengen an Spaß gemacht und ich habe viel gelernt. Ich habe noch nie eine Schulung besucht, bei der ich so viel Zeit investiert habe und es dennoch nicht bereut habe. Besonders gefallen hat mir, dass die Diskussionen sehr zielführend waren, auch bei hartnäckigem Nachfragen wurde weiter diskutiert und nicht abgebrochen. Die Organisation war perfekt."
"Großes Lob. Es hat Riesenspaß gemacht, das Thema gemeinsam durchzuarbeiten. Die Projektarbeit ist sehr gut zur Anwendung des Gelernten und die Referenten leben das Thema."
Wir gratulieren allen Teilnehmern und wünschen ihnen alles Gute und viel Erfolg in den kommenden Aufgaben.
Fachartikel von Eberhard Häcker im Personalmagazin 07/11: "Kontrollpflichten bleiben im Betrieb"
In der Ausgabe 07/11 des Personalmagazin erläutert Eberhard Häcker, Geschäftsführer der EUWIS GmbH und Auditor bei Datenschutzzertifizierungen, welche Kontrollpflichten bei der Übergabe von Personaldaten an Externe zur Weiterverarbeitung erforderlich sind. Neben den Pflichten und dem Prüfungsaufwand beschreibt er, wie eine rechtssichere Vorgehensweise in sechs konkreten Schritten aussehen kann:
Schritt eins: Die vom Auftragnehmer zu erfüllenden technischen und organisatorischen Maßnahmen definieren
Schritt zwei: Prüfkriterien erarbeiten
Schritt drei: Vertragstext für die gesetzlich geforderten Inhalte des Vertrags mit dem Auftragnehmer abfassen
Schritt vier: Vorabprüfung (schriftlich, persönlich vor Ort, Bestätigung einer neutralen Stelle, Vorlage einer Zertifizierung)
Schritt fünf: Dokumentation der Überprüfung
Schritt sechs: Weitere Regelüberprüfungen
Steffen Michel, Geschäftsführer der MHM Systemhaus GmbH, einem der ersten Unternehmen, das sich auf § 11 BDSG Auftragsdatenverarbeitung hat zertifizieren lassen, äußert sich im Interview in der gleichen Ausgabe zu den Vorteilen für Kunden und deren Reaktionen:
"Durch unsere Zertifizierung nach § 11 BDSG spart der Kunde bares Geld, da er die gesetzlich vorgeschriebenen Prüfungen nicht mehr selbst oder durch Dritte durchführen lassen muss. Ich fühle mich momentan eher noch in der Rolle als Exot, werde aber in den letzten Wochen immer öfter von Kunden oder befreundeten Unternehmen auf das Thema positiv angesprochen. In der jetzigen Gesetzeslage handele ich lieber ein wenig überkorrekt für unsere Kunden. So können alle Beteiligten gut schlafen."
Den kompletten Fachbeitrag und das Interview finden Sie hier zum Download.
Die EUWIS GmbH führt Datenschutzzertifizierung bei der MHM-Systemhaus GmbH durch
MHM wird jetzt alle Kunden über die bestandene Zertifizierung unterrichten. Steffen Michel meint hierzu: „Natürlich werden wir die Tatsache der erfolgreichen Zertifizierung im Marketing einsetzen. Wir betrachten das als einen Vorteil gegenüber den Mitbewerbern, spart der Auftraggeber sich doch die aufwendigen Überprüfungen und kann dennoch sicher sein, dass seine Daten bei uns sehr gut aufgehoben sind.“ Doch damit nicht genug. „Beim Datenschutz gibt es allein wegen der rasanten technischen und gesetzgeberischen Entwicklung keinen Stillstand“, so Eberhard Häcker. „Und genau deshalb werden wir am Ball bleiben und den jetzt gewonnenen Vorsprung halten“, ergänzt Michel.
Erfolgreicher Abschluss des Zertifikatslehrgang zum externen Datenschutzbeauftragten (IHK) im Mai 2011
Vergangene Woche konnten wir wieder einmal unseren Teilnehmern eines weiteren Lehrgangs zu externen Datenschutzbeauftragten (IHK) zu ihrer erfolgreichen Projektpräsentation gratulieren. Trotz kleinerer Gruppengrößen wurden mit unterschiedlichen Ansätzen die anspruchsvollen Projektaufgaben erfüllt.Wir bedanken uns bei den Teilnehmern für eine anspruchsvolle Woche. Hier noch ein paar Stimmen zur Veranstaltung:
"Ich habe viel gelernt, bin mir meiner Verantwortung bewusst geworden. Die Dozenten verfügen über eine hohe Fachkompetenz und machen das Seminar zu einer sehr angenehmen Veranstaltung."
"Mir hat das Seminar sehr gut gefallen. Der anfängliche Nebel des Datenschutzes hat sich gelegt und jetzt habe ich den Überblick bekommen, den ich haben wollte."
"Die Dozenten haben es sehr gut gemeistert, die trockene Materie anschaulich zu vermitteln."
Wir gratulieren den neuen externen Datenschutzbeauftragten (IHK)
Gestern ist der März-Zertifikatslehrgang für externe Datenschutzbeauftragte (IHK) zu Ende gegangen. Alle Teilnehmer konnten in den abschließenden Projektpräsentationen ihre Fachkunde überzeugend demonstrieren und den Lehrgang erfolgreich absolvieren. Bemerkenswert war das sehr hohe Niveau der Teilnehmer.
Wir bedanken uns bei den Teilnehmern für ihren hohen Arbeitseinsatz und freuen uns über ihr Feedback:
"Quadratisch. Praktisch. Sehr gut. Wirklich hervorragend."
"Der Lehrgang hat Spaß gemacht, es war nie langweilig. Wir Teilnehmer waren immer sehr stark beteiligt und einbezogen."
"Sehr gut. Super Atmosphäre. Tolle Verpflegung. Rundum gut."
"Verpflegung super. Sehr bequeme Stühle trotz langem Sitzen. Großes Kompliment an die Referenten. Hoch interessant und sehr viel Spaß gehabt."
Seminar "Erstellen von Verfahrensbeschreibungen und Verfahrensverzeichnis für Datenschutzbeauftragte" erfolgreich zu Ende gegangen
Heute hat das Seminar "Erstellen von Verfahrensbeschreibungen und Verfahrensverzeichnis für Datenschutzbeauftragte" zum ersten Mal stattgefunden. Schwerpunkte waren die Vermittlung der erforderlichen Inhalte von Verfahrensübersicht, öffentlichem -verzeichnis und -beschreibung. Datenschutzbeauftragte lernen die erforderliche Fachkkunde für diese zentralen Elemente der Datenschutzdokumentation. Highlight bei den Teilnehmern war der hohe Praxisbezug und die erarbeiteten Ergebnisse in Form von individualisierter Verfahrensübersicht, Verfahrensverzeichnis und Verfahrensbeschreibung. Die auf die Bedürfnisse der Teilnehmer angepassten Werkzeuge können ab sofort im täglichen Einsatz verwendet werden.
Mit der Verfahrensbeschreibung wurde die Aufnahme eines Verfahrens unter kundenähnlichen Bedingungen erprobt und weitere Tipps zur methodischen Vorgehensweise vermittelt.
Das Fazit einer Teilnehmerin: "Toll war die praktische Verfahrensaufnahme. Ich habe nun viel mehr Sicherheit für meine Vorgehensweise. Vielen Dank!"
"Wir haben die erforderliche Balance zwischen Praxisbedarf und theoretischem Wissen für eine erfolgreiche Tätigkeit als Datenschutzkoordinator"
Interview mit dem Referenten Thorsten Jordan, externer Datenschutzbeauftragter (IHK)
EUWIS: Hallo Herr Jordan, Sie sind einer der Referenten des neuen 3-tägigen Lehrgangs für Datenschutzkoordinatoren der EUWIS GmbH, der eben zu Ende gegangen ist. Wie fühlen Sie sich?
Thorsten Jordan: Ich fühle mich sehr gut, da ich davon überzeugt bin, dass wir mit den Lehrgangsinhalten genau das thematisiert haben, was später für die Teilnehmer die Tätigkeit als Datenschutzkoordinator ausmacht und ihnen die Arbeit erleichtern wird.
EUWIS: Das hört sich sehr gut an. Was ist aus Ihrer Sicht das Besondere des Lehrgangs und wofür benötigt man überhaupt Datenschutzkoordinatoren?
Thorsten Jordan: Das Besondere des Lehrgangs ist, dass er einen sehr hohen Praxisanteil hat, gespiegelt an den Anforderungen eines Datenschutzkoordinators. Datenschutzkoordinatoren übernehmen, wie der Name schon sagt, eine Koordinationsfunktion für den Datenschutz im Unternehmen und sind eine wichtige Schnittstelle zwischen Unternehmen und Datenschutzbeauftragtem, insbesondere bei externen Datenschutzbeauftragten.
EUWIS: Das klingt nach einer sehr anspruchsvollen Aufgabe, die da auf die frischgebackenen Datenschutzkoordinatoren zukommt. Wie bereiten Sie die Teilnehmer auf diese Herausforderung vor?
Thorsten Jordan: Unsere Datenschutzkoordinatoren sind nach dem Lehrgang in der Lage, Verfahrensbeschreibungen selbstständig aufzunehmen und eine erste Einschätzung bestehender Gefährdungspotentiale vorzunehmen. Außerdem befähigen wir sie, die Umsetzung der dokumentierten technischen und organisatorischen Maßnahmen zu initiieren und zu begleiten. Sie übernehmen damit quasi das Controlling der beschlossenen Datenschutzmaßnahmen.
Ein weiterer Praxisschwerpunkt stellt die Beurteilung des Ist-Zustands von Räumlichkeiten nach den Kriterien des Datenschutzes dar. Wir nennen das üblicherweise Ortsbegehung. Das Besondere für die Teilnehmer ist, dass wir diese „live“ in einem präparierten Raum durchführen und damit der Lerneffekt natürlich höher ist.
EUWIS: Ein neuer Lehrgang ist für Referenten und Teilnehmer immer eine besondere Situation. Wie haben Sie sich darauf vorbereitet und wie waren die Reaktionen der Teilnehmer?
Thorsten Jordan: Neben meiner Tätigkeit als Referent führe ich auch den Datenschutz bei zahlreichen Kunden in den Unternehmen durch und bin somit als externer Datenschutzbeauftragter vor Ort im Einsatz. Durch den direkten Kontakt zu den Mitarbeitern sowie sämtlichen Führungsebenen verstehe und kenne ich immer die aktuellen Schwierigkeiten und Nachfragen hinsichtlich des Themas Datenschutz. So sehe ich die Aspekte und Anforderungen an einen Datenschutzkoordinator und an einen externen Datenschutzbeauftragten aus verschiedenen Blickwinkeln. Daher kann ich beurteilen, mit welchen hilfreichen Werkzeugen der Datenschutzkoordinator seine Funktion am besten erfüllen kann. Genau das wollen wir vermitteln – und die durchweg positiven Reaktionen der Teilnehmer bestätigen das Konzept des Lehrgangs.
EUWIS: Das muss ein tolles Gefühl sein, so ein Feedback zu bekommen. Ihr abschließendes Fazit?
Thorsten Jordan: Ich bin überzeugt davon, dass wir genau die erforderliche Balance zwischen Praxisbedarf und theoretischem Wissen gefunden haben, die man für eine erfolgreiche Tätigkeit als Datenschutzkoordinator benötigt.
EUWIS: Herr Jordan, vielen Dank für das Gespräch.
Praxistipps zum Datenschutz – heute zum Datengeheimnis (Teil 1)
Teil 1: Worum es beim Datengeheimnis geht
Konkret: Datengeheimnis – mehr als „psst! Nicht weitersagen!“
Zusammenfassung: Wenn Beschäftigte neu eingestellt werden, sind sie gemäß § 5 BDSG auf das Datengeheimnis zu verpflichten. Zu verpflichten sind alle Beschäftigten, bei denen es nicht ausgeschlossen werden kann, dass sie im Laufe ihrer Tätigkeit personenbezogene Daten erheben, verarbeiten und nutzen. Somit sind mindestens alle Beschäftigten, die über einen Account verfügen, auf das Datengeheimnis zu verpflichten.
Situation: Wer schon einmal eine neue Stelle angetreten hat, weiß was da alles auf die Neulinge einströmt. Gefühlte hunderte von Pflichten und zu erfüllenden Vorgaben – von der Compliance bis zur Verpflichtung auf das Datengeheimnis. Bleibt die Frage, wer sich das alles merken kann. Dennoch – wer gegen die Verpflichtungen verstößt, muss mit den Folgen leben. Und die können im schlimmsten Fall neben dem Jobverlust auch noch eine Strafverfolgung bedeuten. Daher sollten Verpflichtungen sehr ernst genommen werden.
Rechtslage: Alle einschlägigen Datenschutzvorschriften, vom Bundesdatenschutzgesetz (für in nicht-öffentlichen Stellen Beschäftigte) über die Landesdatenschutzgesetze (für im öffentlichen Dienst des jeweiligen Landes Beschäftigte) bis hin zu den kirchlichen Datenschutzgesetzen (für die in kirchlichen Einrichtungen Beschäftigte) enthalten rechtliche Regelungen zum so genannten Datengeheimnis.
Hier soll beispielhaft § 5 BundesdatenschutzgesetzBDSG) erläutert werden, der für die große Mehrheit aller Arbeitnehmerinnen und Arbeitnehmer in Deutschland gilt. Hiervon betroffen sind alle Beschäftigte in so genannten nicht-öffentlichen Stellen, also privatrechtlich geführte Unternehmen.
Inhalt der Pflicht: Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort (§ 5 BDSG)
Mehr als ein Geheimnis wahren: Der Ausdruck Datengeheimnis ist dabei sicherlich etwas irreführend, geht es doch nicht nur darum, ein Geheimnis zu wahren, sondern – viel weiter gehend – wird jede unbefugte Datenerhebung, -verarbeitung und -nutzung untersagt. Dabei muss es teilweise erst gar nicht zu einer entsprechenden Kenntnisnahme personenbezogener Daten kommen. Gegen das Datengeheimnis können vielmehr auch Beschäftigte verstoßen, die die entsprechenden personenbezogenen Daten überhaupt nicht zur Kenntnis genommen haben.
Verpflichtung in allen Unternehmen: Für die Unternehmen, die ihre Beschäftigten auf das Datengeheimnis verpflichten müssen, gibt es keine Ausnahmen, beispielsweise weil ein Unternehmen zu klein wäre. Zwar gibt das Bundesdatenschutzgesetz erst Unternehmen ab zehn Beschäftigten, die regelmäßig in elektronischer Form mit personenbezogenen Daten zu tun haben, die besondere Pflicht auf, einen Datenschutzbeauftragten zu bestellen aber die Pflicht zur Verpflichtung auf das Datengeheimnis gilt jedoch für alle Unternehmen, unabhängig von der Größe und der Tatsache, ob ein Datenschutzbeauftragter vorhanden ist oder nicht.
Datengeheimnis gilt für alle personenbezogenen Daten: Für die Pflicht, personenbezogene Daten nicht unbefugt zu erheben, zu verarbeiten oder zu nutzen, spielt es zunächst keine Rolle, wie stark diese Daten schützenswert sind. Das Datengeheimnis gilt grundsätzlich für alle personenbezogenen Daten, also auch schon für Namen, Adressen und Telefonnummern, auch unabhängig davon, ob die Daten öffentlich gemacht wurden oder nicht. Wichtig ist nur, dass die Beschäftigten mit der Erhebung, Verarbeitung und Nutzung vom Arbeitgeber betraut wurden bzw. dass die Erhebung, Verarbeitung und Nutzung zur Erfüllung ihrer Aufgaben gehört. Nur Verpflichtete dürfen Daten erheben, verarbeiten und nutzen: wer nicht auf das Datengeheimnis verpflichtet wurde, darf auch im Rahmen seiner Tätigkeiten für das Unternehmen keine personenbezogenen Daten erheben, verarbeiten oder nutzen. Schon wer einen Account im Unternehmen hat, kommt gar nicht umhin, dies zu tun. Somit sind mindestens alle Beschäftigten mit einem Mailaccount auf das Datengeheimnis zu verpflichten. Alle, die nicht darauf verpflichtet sind, sind mit geeigneten Maßnahmen daran zu hindern personenbezogene Daten zu erhoben, verarbeiten und zu nutzen.
(ext. Datenschutzbeauftragter)
Praxistipps zum Datenschutz – heute zum Datenschutz bei Begrüßungsmails
Konkret: Datenschutz bei Begrüßungsmails für neue Kunden
Der Praxisfall: Ein Unternehmen betreibt einen Online-Shop. Dort können sich neue Kunden über eine per https geschützte Seite registrieren. Dabei geben sie Namen, Adresse, E-Mailadresse, Kundenkennwort und die Kontoverbindung oder eine Kreditkarte ein. Nach Abschluss des Bestellvorgangs erhält der neue Kunde eine Begrüßungsmail, in der die genannten Daten aufgeführt sind. Der neue Kunde hat so die Möglichkeit noch einmal zu überprüfen ob seine personenbezogenen Daten korrekt registriert wurden. Die Begrüßungsmail ist nicht verschlüsselt.
Berechtigtes Anliegen: Das Unternehmen hat ein berechtigtes betriebliches Interesse an korrekten Kundendaten, daher kann das Anliegen, die genannten Daten dem neuen Kunden zur Prüfung zuzusenden, als gerechtfertigtes betriebliches Interesse im Sinne des § 28 Abs. 1 BDSG angesehen werden.
Rechtslage: Bei der Übermittlung von personenbezogenen Daten in elektronischer Form sind die technischen und organisatorischen Maßnahmen aus der Anlage zu § 9 BDSG zu beachten. Hier gilt insbesondere die Weitergabekontrolle. Demzufolge hat die zuständige Stelle „zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können“.
Risiko: Da eine unverschlüsselte Mail diesen Anforderungen nicht entspricht, droht eine Intervention der zuständigen Aufsichtsbehörde, die in ein Ordnungswidrigkeitenverfahren einmünden und mit einem Bußgeldbescheid enden kann.
Bewertung: Die im vorliegenden Fall übermittelten Daten müssen gemäß dem Schutzstufenkonzept bewertet werden. Zumindest beim Kennwort und den Kontendaten handelt es sich um besonders schützenswerte personenbezogene Daten (Schutzstufe D), weil dem Betroffenen bei unrechtmäßiger Kenntnis durch unbefugte Dritte im Rahmen der automatisierten Verarbeitung (Übermittlung) besondere Risiken für seine Rechte und Freiheiten drohen.
Alternative: Es ist zu prüfen, ob eine Pseudonymisierung der personenbezogenen Daten diese erheblichen Risiken verringern kann. So könnte beispielsweise die Kontonummer teilweise unkenntlich gemacht werden. Soll jedoch die Kontonummer insgesamt vom Kunden überprüft werden, bleibt nur der Postversand oder die Verschlüsselung der entsprechenden Mail unter Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.
Aufgabe des Datenschutzbeauftragten: Datenschutzbeauftragte sollten prüfen, ob das geschilderte Verfahren in ihrem Unternehmen vorkommt. Ist das der Fall, so ist zu prüfen, ob das Verfahren in der Verfahrensübersicht, die ihm gemäß § 4g Abs. 2 zu übergeben ist, enthalten ist. Wenn nicht, ist die Verfahrensübersicht entsprechend zu ergänzen. Im Rahmen der Verfahrensbeschreibungen ist auch eine Verfahrensbeschreibung anzufertigen. Hier ist die Vertraulichkeit der Übermittlung als besondere Maßnahme mit aufzunehmen.
Hinweis im Bericht der BFDI: Auf diesen Sachverhalt hat im Übrigen die BFDI, Frau Andrea Voßhoff, im 25. Tätigkeitsbericht verwiesen (25. Tätigkeitsbericht BFDI vom 17. Juni 2015 S.157).
Praxistipps zum Datenschutz – heute zum Personalausweis
Konkret: Kopie oder Vorlage des Personalausweises bei Bezahlung mittels EC-Karte zur Identifikation
Zusammenfassung: Gegen den Willen bzw. ohne Einwilligung von deutschen EC-Karteninhabern darf keine Kopie des Personalausweises bei Bezahlung mit der EC-Karte verlangt werden. Die Risiken eines komplett kopierten Personalausweises sind vor allem durch die erleichterten Möglichkeiten zum Identitätsdiebstahl unkalkulierbar.
Situation: Im Alltag erlebt man es immer wieder, dass beim Bezahlen an der Kasse, vor allem bei größeren Beträgen, die Beschäftigten des Verkäufers eine Kopie des Personalausweises anfertigen wollen. Nicht selten berufen sie sich auf ihre entsprechende Verpflichtung aus dem Bankenrecht (unter anderem auf das Geldwäschegesetz). Hier stellt sich die Frage, ob dieses Verlangen rechtens ist.
Variante: Beschäftigte des Verkäufers möchten den Personalauseis einsehen und notieren sich bestimmte Daten aus dem Ausweis.
Rechtslage: Der Personalausweis enthält einige personenbezogene Daten, darunter auch sensible Daten wie die Augenfarbe oder die Körpergröße. Daher gilt hier zunächst das Bundesdatenschutzgesetz. Dieses erlaubt die Erhebung, Verarbeitung und Nutzung personenbezogener Daten, wenn es einen Ausnahmetatbestand vom grundsätzlichen Verbot der Verarbeitung personenbezogener Daten gibt. Dieser ist entweder im BDSG enthalten, in einem anderen Gesetz, das dann vorrangig vor dem BDSG gilt oder besteht in der Einwilligung des Betroffenen gemäß § 4a BDSG.
Personalausweisgesetz: Zum Personalausweis gibt es ein eigenes Personalausweisgesetz (PAuswG). Im Gesetz findet sich zwar kein ausdrückliches Verbot des Kopierens von Personalausweisen oder Reisepässen, wenn der Ausweisinhaber einwilligt (das Personalausweisgesetz hat nur einen Vorbehalt, wonach Kopien von Ausweisen nur von Behörden und in rechtlich geregelten Fällen durch Dritte vorgenommen werden dürfen - § 14 PAuswG). Nach Auffassung des Bundesministeriums des Innern (BMI) ist jedoch ein grundsätzliches Kopierverbot aus dem Eigentum des Bundes an (Pässen und) Personalausweisen, der Existenz einiger spezieller Erlaubnistatbestände (z. B. im Geldwäschegesetz) sowie indirekt aus § 14 PAuswG ableitbar.
Wem gehört der Personalausweis? Das Kopieren stellt eine Erhebung und Verarbeitung personenbezogener Daten gemäß § 3 Abs. 3 und Abs. 4 Nr. 1 BDSG dar. Diese sind gemäß § 4 Abs. 1 BDSG nur zulässig, wenn sie im Einzelfall auf eine Rechtsvorschrift oder auf eine Einwilligung des Betroffenen gestützt werden können. Da der Personalausweis nicht dem Ausweisinhaber sondern der Bundesrepublik Deutschland gehört, ist zumindest Zweifel angebracht, ob der Ausweisinhaber die Kopie des Personalausweises überhaupt erlauben darf oder ob dies nur dem Eigentümer (also der Bundesrepublik Deutschland) gestattet ist.
Berechtigte Interessen des Verkäufers: So sieht es beispielsweise der Landesbeauftragte für den Datenschutz und die Informationsfreiheit in Nordrhein-Westfalen „als gerechtfertigt an, dass ein Händler zur Verhinderung/Aufklärung von Kartenmissbrauch bzw. zur Vorsorge für Fälle von Rücklastschriften die hierfür erforderlichen personenbezogenen Daten des Kunden erhebt. Zwar würde es für die Feststellung der Identität des Käufers ausreichen, Einsicht in den Ausweis zu nehmen. Die Datenerhebung aus dem Ausweis ist jedoch zur Wahrung der Interessen des Händlers erforderlich. Einerseits wird die Hemmschwelle für einen Kartenmissbrauch angehoben, weil ein unrechtmäßiger Besitzer auf diese Weise von einer missbräuchlichen Verwendung der EC-Karte abgehalten werden kann. Andererseits wird auch das Kassenpersonal dazu verpflichtet, die Vorlage eines Ausweises zu verlangen und ihn genau zu prüfen. Die Erhebung der Ausweisdaten dient auch den Interessen der Allgemeinheit, missbräuchliche Verwendungen von EC-Karten zu verhindern. Auf Grund der Adressenerhebung kann das Unternehmen bei Nichteinlösung der Lastschrift ohne Bankrückfrage sofort die anderweitige Einziehung der offenen Forderung in die Wege leiten.“
Erfordernis: Allerdings dürfen schon alleine wegen der grundsätzlichen Anforderung an Datensparsamkeit und Datenvermeidung nur die Daten erhoben, verarbeitet und genutzt werden, die zur Erfüllung des berechtigten Zweckes erforderlich sind. Das sind bei einem Bezahlvorgang die folgenden Daten: Name, Vorname, Straße, PLZ, Wohnort und Geburtsdatum.
Sofortige Löschung bzw. Vernichtung der Daten: Unmittelbar nach Erreichen des Zweckes (beispielsweise nach erfolgter Identifikation des Bezahlenden) sind die Daten auch wieder zu löschen. Für eine Archivierung fehlt die entsprechende Rechtsgrundlage. Will der Händler dokumentieren, dass die Identifikation erfolgt ist, dann kann dies auch mittels einer Notiz in einem Formular oder einem Häkchen in einer Software vorgenommen werden.
Einwilligung: Erteilen Kunden ihre Einwilligung, eine Kopie des Ausweises anzufertigen, was sie sich aus verschiedenen Gründen gut überlegen sollten, dann kann die Kopie wohl trotz der Bedenken des BMI angefertigt werden. Achtung: mit einer Kopie des Personalausweises ist es um ein Vielfaches leichter, im Internet die Identität eines anderen anzunehmen – mit allen Folgen für den Inhaber oder die Inhaberin des Personalausweises!
Keine Kopie ohne Einwilligung: Wenn die Kunden jedoch nicht einwilligen, darf auch keine Kopie des Ausweises vorgenommen werden.
Kompromiss Einsicht und Bestätigung: Allerdings bietet sich ein Kompromiss an. Der Ausweisinhaber lässt den Verkäufer oder seine Vertreter den Ausweis einsehen und bestätigt damit die Angaben auf der EC-Karte. Seitens des Verkäufers wird ein Vermerk „Personalausweis wurde vorgelegt“ oder ähnlich vorgenommen. So ist die Identität geklärt, ohne dass der Ausweis kopiert werden muss.
Wenn schon Kopie dann nicht benötigte Daten einschwärzen: Wenn ein Kunde jedoch einwilligen sollte, seinen Personalausweis zu kopieren, dann sollten die Daten, die nicht benötigt werden, eingeschwärzt werden. Es ist nicht ersichtlich, warum bei einer Identifikation eines Inhabers einer EC-Karte Augenfarbe und Körpergröße gespeichert werden müssten. Wenn schon der Kunde nicht auf das Einschwärzen Wert legt, sollte es das prüfende Unternehmen tu, denn Daten, die nicht erhoben wurden, können auch dann in der Folge nicht unrechtmäßig von Dritten eingesehen werden. Daten, die nicht erhoben wurden, können nicht missbraucht werden.
Datensparsamkeit und Datenvermeidung: Sollte dennoch eine Kopie des Ausweises mit Einwilligung des Inhabers oder der Inhaberin vorgenommen werden, so wird dringend empfohlen, nur die Daten, die für den jeweiligen Zweck erforderlich sind, sichtbar auf der Kopie zu belassen und alle anderen Daten, insbesondere die Personalausweisnummer, unkenntlich zu machen, beispielsweise durch Schwärzen. Damit werden die Grundsätze der Datensparsamkeit und der Datenvermeidung nach § 3a BDSG gewahrt, die hier wieder anzuwenden sind, weil das Personalausweisgesetz, das hierzu keine Vorschriften enthält, in diesem Bereich dann nicht mehr vorrangig ist. Betroffene sollten im eigenen Interesse und um die Risiken des Datenmissbrauchs zu minimieren, hierauf achten und auf einem entsprechenden Vorgehen zu bestehen.
Anders bei ausländischen Karteninhabern: Hier sehen europäisches und deutsches Recht eine Pflicht zur Identifikation des Zahlenden wegen der Vermeidung von Geldwäsche ab einer bestimmten, von Land zu Land unterschiedlichen Betragshöhe vor. Wie diese eindeutig vorgenommen werden kann, ist im Normalfall nicht vorgeschrieben. Auch hierbei gelten die Grundsätze von Datensparsamkeit und Datenvermeidung.
Andere Dokumente zur Identifikation: Werden andere Dokumente zur Identifikation verwendet, beispielsweise der Führerschien, so gibt es hier kein entsprechendes Verbot. Dennoch sollten alle Betroffenen im eigenen Interesse darauf achten, dass nur die Daten übermittelt werden, die für den jeweiligen Zweck erforderlich sind. Die Grundsätze von Datensparsamkeit und Datenvermeidung gelten hier uneingeschränkt.
Fazit: Bei Bezahlvorgängen sind zur Identifikation keine Aufzeichnungen aus Personalausweisen erforderlich. Wenn sie dennoch vorgenommen werden, sind die Daten unmittelbar nach erfolgter Identifikation wieder zu löschen. Ansonsten liegt unerlaubte Datenverarbeitung vor, die rechtlich verfolgt werden kann.
Infos und Praxistipps zum Datenschutz - heute zur Weitergabekontrolle
Konkret: Übermitteln personenbezogener Daten - Datenübermittlung bei Übergabe einer Präsentation auf einem USB-Stick
Der Praxisfall: Ein potenzieller Kunde bietet die Möglichkeit der Präsentation unserer Leistung vor Ort. Der zuständige Vertriebsmitarbeiter übergibt den USB-Stick, auf dem sich die Präsentation befindet, einem IT-Mitarbeiter beim potenziellen Kunden, damit dieser die Präsentation auf den kundeneigenen Systemen vornehmen kann. Auf dem Stick befinden sich auch zahlreiche andere personenbezogene Daten aus dem Vertrieb, unter anderem Kontakte von Ansprechpartnern bei andern Kunden.
Die Gefahr: Alle auf dem USB-Stick befindlichen Daten werden mit dessen Weitergabe „übermittelt“ (Näheres hierzu unter „Rechtliches“). Alle Dateien auf dem Stick können in kürzester Zeit kopiert werden und sind damit in die Hände eines unbefugten Dritten gelangt.
Rechtliches: „Übermitteln (ist) das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener personenbezogener Daten an einen Dritten in der Weise, dass
Hier ist vor allem a) von Bedeutung, denn die Weitergabe von Daten an einen Dritten wird auch durch die Übergabe eines Datenträgers, auf dem sich die Daten ohne zusätzliche Sicherung befinden, vollzogen. Hierbei ist entscheidend, dass der Dritte die Möglichkeit hat, die Daten zur Kenntnis zu nehmen, nicht ob er das auch tatsächlich tut. Damit liegt auch ein Verstoß gegen die Weitergabekontrolle vor: Hier gilt es „zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können“. Wer unbefugt personenbezogene Daten weitergibt, begeht laut § 43 Abs. 2 Satz 1 Ziff. 1 eine Ordnungswidrigkeit, die mit Bußgeld bis 300.000 Euro geahndet werden kann.
Gefährdung bewusst machen: Alle Beschäftigten eines Unternehmens, die Daten auf einem Datenträger aus dem Unternehmen mitnehmen oder diese Datenträger im Unternehmen Dritten (Besuchern) zugänglich machen, müssen verlässlich darüber informiert sein, dass sie sich vor der Weitergabe des USB-Sticks noch einmal davon überzeugen müssen, dass außer den zur Übermittlung vorgesehenen Daten sich keine weiteren personenbezogene Daten auf dem Datenträger befinden dürfen. Der Übermittler trägt im Zweifelsfall die Verantwortung für die Handlungen, auch was das Bußgeld betrifft. Dies alles gilt auch für die Geschäftsleitung.
Technische Maßnahmen: Hier gibt es eigentlich nur eine einzige Möglichkeit. Diese besteht darin, dass für Zwecke der Präsentation eigene Sticks verwendet werden, auf denen keine weiteren Dateien gespeichert sind.
Unternehmenseigene Sticks bieten weitere Möglichkeiten: Hier können Anordnungen der Geschäftsleitung leichter umgesetzt werden, wenn Präsentationen nur auf unternehmenseigenen Sticks gespeichert werden. Geschieht dies noch durch die IT, kann durch geeignete technische Maßnahmen sichergestellt werden, dass keine weiteren Dateien mehr aufgespielt werden können.
VPN nutzen: Gerade für Präsentationen in unsicheren Drittländern (beispielsweise in Asien) kommt auch noch eine andere Möglichkeit in Betracht. Es gibt die Möglichkeit, über einen zweiteiligen USB-Stick einen VPN-Tunnel mit dem eigenen Rechner im Büro oder mit einem anderen System im Unternehmen aufzubauen. Dazu muss der eine Teil des Sticks im heimischen Büro verbleiben, der andere wird in den USB-Port des Präsentationsrechners gesteckt. Dann baut sich ein VPN-Tunnel auf, über den dann die Originalpräsentation vom heimischen Rechner aus vorgeführt werden kann. Achtung: das funktioniert nur, wenn die Kontrolle über den VPN-Stick vollständig beim Präsentierenden bleibt!
Verschlüsselte Verzeichnisse sind nicht immer sicher: Wenig zielführend ist es hingegen, wenn auf Sticks verschlüsselte Verzeichnisse eingerichtet werden, in denen die weiteren Dateien auf dem Stick untergebracht sind. Untauglich deshalb, weil diese Daten im geschilderten Fall einfach mitkopiert werden können. Dann hat der potenzielle Angreifer alle Zeit dieser Welt, die Verschlüsselung zu knacken.
Organisatorische Maßnahme kombiniert mit Verschlüsselung: eine andere taugliche Maßnahme ist es, bei der Vereinbarung des Termins schon die vorgesehene Präsentation zu übermitteln, diese kann mit einem Passwort verschlüsselt sein, wenn die Präsentierenden nicht möchten, dass sich die Zuhörer die Datei zuvor schon einverleiben können. PowerPoint verfügt ab der Version 2007 über eine hinreichend Sichere AES256-Verschlüsselung. Wird für das Passwort eine Länge von mindestens 16 Zeichen gewählt, das alle Zeichenmöglichkeiten ausschöpft (Groß-, Kleinbuchstaben, Zahlen, Sonderzeichen), sind die Möglichkeiten, die Datei zu knacken, stark eingeschränkt.
Maßnahme bekannt machen: Hat die Geschäftsleitung die Gefährdungen erkannt und entsprechend Maßnahmen beschlossen, müssen diese in geeigneter Weise bekannt gemacht werden. Das kann über eine Arbeitsanweisung geschehen, die beispielsweise in Form einer Rundmail an die Betroffenen versandt wird. Mit einer Lesebestätigung ist dann auch der Nachweis erbracht, dass die Anordnung zur Kenntnis genommen wurde. Dies kann aber auch im Rahmen der regelmäßigen Datenschutzunterweisungen erfolgen.
Regelmäßige Kontrollen: Regelmäßige angekündigte und nicht angekündigte Kontrollen sollen sicherstellen, dass vor allem organisatorische Maßnahmen auch eingehalten werden. Bei technischen Maßnahmen sollte kontrolliert werden, ob die Technik tatsächlich funktioniert. Kontrollen sind zu protokollieren. Aufgedeckte Mängel sollten zeitnah abgestellt werden.
Kategorie geöffnete Fenster
Konkret: Drucker auf der Fensterbank – vom Winde verwehte Ausdrucke
Der Praxisfall: Im Personalbüro in einem der oberen Stockwerke eines mehrgeschossigen Gebäudes war ein Drucker unmittelbar neben dem Fenster aufgestellt. Während die Gehaltslisten gedruckt wurden, war das Fenster zum Lüften geöffnet. Der Wind blies an diesem Tag kräftig. Es kam wie es kommen musste. Mehrere kräftige Windstöße folgten aufeinander. Die Lohnabrechnungen wurden ungewollt zur Luftpost. Die gesamte Personalabteilung schwärmte aus um die vertraulichen Unterlagen wieder einzusammeln.
Die Gefahr: Wenn Drucker neben geöffneten Fenstern platziert sind, kann es bei geöffnetem Fenster (auch wenn nur kurz gelüftet werden soll) passieren, dass im Drucker liegende Ausdrucke mit personenbezogenen Daten vom Wind mit fort genommen werden. Dadurch können personenbezogene oder sonstige vertrauliche Daten von unbefugten Dritten eingesehen werden.
Gefährdung bewusst machen: Wenn alle Beteiligten die Gefahren kennen, können geeignete Gegenmaßnahmen getroffen werden. Die Gefährdung kann am ehesten bei Ortsbegehungen erkannt werden. Wenn die Gefährdung mit den Beteiligten besprochen wird, ist darauf zu achten, dass verlässlich alle Beteiligten in die Gefährdungsunterweisung einbezogen wurden. Dies gilt auch für Abwesende, genauso wie für Beschäftigte, die nur vorübergehend im Bereich eingesetzt werden, wie Auszubildende, Praktikanten, Vertretungen.
Technische Maßnahmen: Es sollte geprüft werden, ob die Drucker an anderer Stelle aufgestellt werden können, wenn das Fenster geöffnet werden soll (beispielsweise für eine Stoßlüftung). Sollte das nicht möglich sein, beispielsweise weil die Anschlusskabel im Kabelkanal unter dem Fenster langlaufen, dann ist zu prüfen, ob es Schutzmaßnahmen wie Gitter oder ähnliches gibt, mit deren Hilfe die Windstöße ohne Folgen bleiben. Denkbar ist auch, für den Drucker eine Stromzufuhrtaste in Fensternähe anzubringen, die bei Öffnung des Fensters betätigt werden muss. So könnte sichergestellt werden, dass immer dann, wenn die betreffenden Fenster geöffnet sind, die Drucker nicht betätigt werden können. Gegebenenfalls haben auch die dort Arbeitenden eine Idee.
Bauliche Maßnahmen: Denkbar wäre auch eine bauliche Maßnahme, die eine Öffnung des Fensters künftig verhindert. Dies kann einfach durch Abschrauben des Fenstergriffes erfolgen. Oder das Anbringen einer Vorrichtung, dass die Fenster nur noch gekippt werden können. Alle genannten Möglichkeiten sollten bei einem Vororttermin zusammen mit den Verantwortlichen geprüft werden.
Organisatorische Maßnahmen: In Ergänzung oder als Alternative zu technischen Maßnahmen können auch organisatorische Maßnahmen erforderlich sein. So kann beispielsweise angeordnet werden, dass nur gedruckt werden darf, wenn die betreffenden Fenster geschlossen sind. Die hier vorgestellten Maßnahmen gehören in den Bereich der allgemeinen Organisationsverpflichtung, die in § 9 BDSG sowie in anderen datenschutzrechtlichen Vorschriften wie den Landesdatenschutzgesetzen verbindlich geregelt ist.
Maßnahmen bekannt machen: Ist die Entscheidung gefallen, welche Maßnahmen ergriffen werden sollen, dann sind diese Maßnahmen allen Beteiligten in geeigneter Weise bekannt zu machen. Das kann über eine Arbeitsanweisung geschehen, die beispielsweise in Form einer Rundmail an die Betroffenen versandt wird. Mit einer Lesebestätigung ist dann auch der Nachweis erbracht, dass die Anordnung zur Kenntnis genommen wurde. Die Maßnahmen sollten dann auch Bestandteil der regelmäßigen Schulungen zum Datenschutz oder der allgemeinen Gefährdungsunterweisungen sein.
Kategorie Persönlichkeitsrecht
Konkret: Fotos von Beschäftigten im Internet
Situation: Auf vielen Firmen-Homepages findet man Bilder von Beschäftigten. Außerdem finden sich in den so genannten sozialen Medien immer häufiger Bilder, die Beschäftigte von anderen Beschäftigen angefertigt haben, beispielsweise auf betrieblichen Veranstaltungen wie Betriebsausflügen oder Weihnachtsfeiern. Hierbei stellt sich die Frage, welche rechtlichen Aspekte dabei zu beachten sind.
Private Bilder: Viele Menschen gehen mit eigenen Bildern und leider auch mit Bildern von Dritten sehr sorglos um. Solange sich das auf den privaten Bereich beschränkt, haben Unternehmen kaum Einfluss auf die Art und Weise der Darstellung. Die Beschäftigten haben lediglich zu beachten, dass dadurch das Ansehen des Unternehmens nicht beeinträchtigt wird, beispielsweise indem die Bildunterschrift eines Partybildes auf das Unternehmen verweist und dadurch der Eindruck entstehen könnte, im Unternehmen wird häufiger hemmungslos gefeiert.
Homepage des Unternehmens: Allerdings fallen Bilder von Beschäftigten regelmäßig in den Verantwortungsbereich der Unternehmen. In manchen Fällen ist von jedem Beschäftigten ein Foto auf der Homepage eingestellt, in anderen nur von bestimmten Personen, beispielsweise von den Außendienstmitarbeitern.
Risiko: Fotos von Menschen können mit entsprechender Bilderkennungssoftware biometrisch analysiert werden (Gesichtserkennung). Dabei werden bestimmte Bildpunkte im Gesicht vermessen, so dass eine Wiedererkennung gewährleistet ist. Dem Vernehmen nach soll Facebook systematisch die größte Sammlung an personalisierten Bildern von Personen angelegt haben. Da sich die markanten Punkte im Gesicht nach der Pubertät bis ins hohe Alter nicht mehr ändern, kann eine Personifizierung einmal veröffentlichter Bilddaten ein Leben lang erfolgen. So können Bewegungsprofile von Personen angelegt werden, die sich im Bereich von optisch-elektronischer Überwachung befinden, ein Problem, dass durch immer häufiger werdende mobile Datenerfassung (Dashcams, Datenbrillen, Armbandcomputern usw.) noch massiv zunehmen wird.
Rechtliche Situation: Zu den vom Bundesverfassungsgericht definierten Persönlichkeitsrechten gehört das Recht am eigenen Bild. Das „Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie“ (KunstUrhG) regelt Näheres: „Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden.“ (§ 22 KunstUrhG) Hiervon gibt es vier im § 23 KunstUrhG genannte Ausnahmen, die jedoch auf Porträtfotos von Beschäftigten nicht zutreffen und auf die daher an anderer Stelle eingegangen werden soll.
Folgerung: Sollen Bilder von Beschäftigten auf der Homepage veröffentlicht werden, ist dafür die Einwilligung der Fotografierten vor der Veröffentlichung einzuholen. Hierzu sagt das Bundesdatenschutzgesetz folgendes: „Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben“ (§ 4a BDSG)
Ablauf: Zuerst sollte eine grundsätzliche Entscheidung darüber getroffen werden, ob Bilder von Beschäftigten im Internet veröffentlicht werden sollen. Sodann sollten von denjenigen Beschäftigten, auf die das zutrifft, eine entsprechende Einwilligung eingeholt werden. In diesem Zusammenhang sollte auch die die Risiken für das Persönlichkeitsrecht bei einer Veröffentlichung hingewiesen werden. In diesem Zusammenhang ist außerdem darauf hinzuweisen, dass die Einwilligung zu jeder Zeit für die Zukunft widerrufen werden kann. Die Einwilligung sollte so aufbewahrt werden, dass sie bei Bedarf (beispielsweise bei Überprüfungen durch die Aufsichtsbehörde) vorgelegt werden kann. Auch sollte in einer Arbeitsanweisung geregelt werden, unter welchen Umständen die Bilder zu entfernen sind (Versetzung auf andere Stelle, Kündigung) und wer dafür die Verantwortung trägt.
Überprüfungen: in regelmäßigen Abständen sollte geprüft werden, ob die Einwilligungen vollständig sind und ob für die im Internet dargestellten Personen alle Angaben auch den Tatsachen entsprechen.
Hinweis: In vielen Fällen ist die Zielgruppe derer, die die Fotos einsehen dürfen, begrenzt, beispielsweise die berechtigten in Partnerfirmen, die anhand der Fotos sich auf einen Besuch durch den Außendienst vorbereiten möchten. In diesem Fall ist zu prüfen, ob durch geeignete Maßnahmen der Grundsatz von Datensparsamkeit und Datenvermeidung gewahrt werden kann, indem diese Bilder auch nur den Berechtigten zur Einsicht bereit gestellt werden (Passwort).
Kategorie Fenster im Erdgeschoss
Konkret: Fenster im Erdgeschoss, die zum öffentlichen Raum führen
Aus Datenschutzsicht eine Herausforderung in mehrfacher Hinsicht sind Erdgeschoss-Fenster in Büros, die zur Straße oder sonst in den öffentlichen Raum führen. Eine Gefährdung kann hier sein, dass Bildschirminhalte eventuell von der Straße bzw. vom öffentlichen Raum aus einsehbar sein können, vor allem in der dunklen Jahreszeit.
Besonders kritisch kann dies sein, wenn an diesen Arbeitsplätzen besondere Arten von Daten nach § 3 Abs. 9 BDSG oder Daten, bei denen automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, verarbeitet werden. Letztere können beispielsweise Bank- und Kontendaten, Kreditkartendaten, Beurteilungsdaten usw. sein.
Beispiel: Ein Reisebüro verfügt über Büros, deren Fenster zum öffentlichen Raum hin zeigen. Einzelne Arbeitsplätze sind so angeordnet, dass die Beschäftigten schräg oder mit dem Rücken zum Fenster sitzen, so dass bei entsprechenden Lichtverhältnissen die Bildschirminhalte von der Straße aus eingesehen werden können. Werden an diesen Arbeitsplätzen Buchungen unter Anwendung von Kreditkartendaten vorgenommen, so ist diese Tatsache als besonders kritisch einzustufen. Hier müssen geeignete Maßnahmen zum Schutz dieser Daten vor unbefugter Einsichtnahme ergriffen werden.
Risiko: Daten, bei deren unbefugter Einsichtnahme besondere Risiken für die Freiheits- und Persönlichkeitsrechte der Betroffenen vorliegen, können von Unbefugten eingesehen oder mit optisch-elektronischen Maßnahmen unbefugt aufgezeichnet werden. Dies ist vor allem in der dunklen Jahreszeit als sehr kritisch anzusehen.
Umstellen der Arbeitsplätze: Wenn möglich, sollten die Arbeitsplätze so umgestellt werden, dass eine Einsichtnahme in die Bildschirminhalte ausgeschlossen werden kann. Dies ist auch aus Sicht des Arbeitsschutzes wünschenswert, denn Arbeitsplätze, bei denen von hinten ein starker Lichteinfall vorliegt, können durch Bildschirmreflexionen zu Unwohlsein oder Kopfschmerzen führen. Sind die Bildschirme schräg zum Fenster angeordnet, hilft unter Umständen schon eine Sichtschutzfolie, die dafür sorgt, dass die Daten nur noch ein einem bestimmten Betrachtungswinkel am Bildschirm beobachtet werden können.
Sichtschutzfolie: Können die Arbeitsplätze nicht anders angeordnet werden, ist für einen verlässlichen Sichtschutz zu sorgen. Eine Möglichkeit ist das Anbringen einer Sichtschutzfolie auf den Fenstern, so dass der Lichteinfall zwar getrübt wird, aber dennoch bei Tageslicht auf eine künstliche Beleuchtung verzichtet werden kann. Von außen können dann höchstens noch Schemen erkannt werden, Einzelheiten auf Bildschirmen jedoch in keinem Fall. Die Sichtschutzfolie kann unter Umständen auch so gestaltet werden, dass sie von innen weitgehen transparent, von außen jedoch als gestaltende Folie, beispielsweise mit werblichem Charakter, ausgeführt sein kann.
Jalousie: Wenn eine Folie aus welchen Gründen auch immer nicht aufgebracht werden kann, ist zu prüfen, ob eine Innenjalousie so angebracht werden kann, dass eine Einsichtnahme der Bildschirme von außen ausgeschlossen werden kann.
Sichtschutz durch Pflanzen, Paravents oder ähnliche Accessoires: Eine weitere Möglichkeit des Sichtschutzes können Pflanzen, Raumteiler wie Paravents oder ähnliche Einrichtungsgegenstände sein, die bei richtiger Anordnung ebenfalls den Sichtschutz gewährleisten können.
Regelmäßige Prüfungen vor Ort: Datenschutzbeauftragte sollten in den hier geschilderten Fällen bei der ersten Ortsbegehung ein Protokoll anfertigen, aus dem die Gefährdungen des Datenschutzes eindeutig hervorgehen. In der Folge sollte geklärt werden, wer die erforderlichen Gegenmaßnahmen ausarbeitet und umsetzt. Hier können Datenschutzbeauftragte gute Unterstützung leisten. Die Maßnahmen sollten vor der Umsetzung mit den Beschäftigten besprochen werden, das erhöht die Akzeptanz der jeweiligen Maßnahmen. In der Folge sollten Datenschutzbeauftragte regelmäßig und unregelmäßig erneute Prüfungen vornehmen, um sicherzustellen, dass die erforderlichen Maßnahmen so umgesetzt werden, dass die Gefährdungen des Datenschutzes nicht mehr bestehen.
Konkret: Einbruch durch geöffnete Fenster im Erdgeschoss
Der Praxisfall: In der warmen Jahreszeit stand das im Erdgeschoss zur Straße gelegene Fenster eines Büros mit mehreren Arbeitsplätzen auf. Obwohl normalerweise immer mindestens eine Person im Raum ist, nutzte ein Dieb die Gelegenheit, wo das offenbar einmal nicht der Fall war, stieg furch das Fenster ein und entwendete ein Notebook, zwei Smartphones und eine Handtasche mit Geldbeutel. Auf dem unverschlüsselten Notebook befanden sich etliche Kundendaten des Unternehmens.
Die Gefahr: Wenn Erdgeschossfenster in Büroräumen nicht geschlossen sind und sich dazu noch keine Beschäftigten im Raum befinden, ist die Gefahr nicht zu übersehen, dass sich Einbrecher in Sekundenschnelle Zutritt verschaffen. Dass es bei einer solchen Gelegenheit zum Diebstahl kommen und auch personenbezogene Daten betroffen sein können, ist wahrscheinlich oder zumindest nicht auszuschließen.
Gefährdung bewusst machen: Wenn die Beschäftigten Gefahren kennen und gegebenenfalls noch bei der Lösung eingebunden werden, ist die Chance zur Einbruchsprävention schon deutlich höher. Daher müssen diese Gefahren mit den Beschäftigten besprochen werden, beispielsweise anlässlich einer Ortsbegehung zum Datenschutz. Wichtig ist, dass alle Beteiligten eingebunden werden, auch Beschäftigte, die beispielsweise am Tag der Begehung nicht anwesend waren. Dringende Empfehlung: Die Sensibilisierung in geeigneter Weise dokumentieren.
Technische Maßnahmen müssen akzeptabel sein: Die scheinbar einfache Maßnahme, als Prävention nun einfach die Fensteröffnung komplett zu untersagen, kann funktionieren, jedoch besteht immer die Gefahr, das Beschäftigte gerade im Sommer oder auch im Winter zum Stoßlüften die Fenster dennoch öffnen. Besser ist es, Möglichkeiten zum Lüften einzurichten, diese aber technisch so abzusichern, dass ein unbefugtes Eindringen unmöglich ist. So gibt es beispielsweise spezielle Sicherungen, die ein Kippen von Fenstern zwar ermöglichen, aber ein weiteres Öffnen bis zu einem gewissen Grad an Gewalt verhindern. Je nach Anzahl der Fenster können einige davon mit einer solchen Sicherungseinrichtung versehen werden, andere sollten dann so gesichert werden, dass sie gar nicht mehr geöffnet werden können.
Organisatorische Maßnahmen: Wenn eine technische Sicherung der Fenster aus welchen Gründen auch immer nicht möglich ist, müssen in jedem Fall klare Regelungen im Umgang mit den Fenstern und deren Öffnung erfolgen. So muss sichergestellt werden, dass die Fenster mindestens dann geschlossen sind, wenn sich keine Beschäftigten im Raum befinden.
Regelmäßige Kontrollen: Damit dies nicht vergessen wird, muss kontrolliert werden, ob die Fenster nach Feierabend zuverlässig geschlossen sind. Wenn Reinigungskräfte nach Feierabend in die Büros kommen, können diese die Kontrolle übernehmen.
Gefahr in Schulungen ansprechen: Wird den Beschäftigten regelmäßig bewusst gemacht, welche Gefahren durch geöffnete Fenster im Erdgeschoss für das Unternehmen drohen, ist die Wahrscheinlichkeit größer, dass sie dazu beitragen, dass die Fenster regelmäßig geschlossen sind. Daher sollte der Datenschutzbeauftragte dies in Schulungen regelmäßig ansprechen.
Infos und Praxistipps zum Datenschutz - heute zu den Persönlichkeitsrechten
Situation: Auf vielen Firmen-Homepages findet man Bilder von Beschäftigten. Außerdem finden sich in den so genannten sozialen Medien immer häufiger Bilder, die Beschäftigte von anderen Beschäftigten angefertigt haben, beispielsweise auf betrieblichen Veranstaltungen wie Betriebsausflügen oder Weihnachtsfeiern. Hierbei stellt sich die Frage, welche rechtlichen Aspekte dabei zu beachten sind.
Risiko: Fotos von Menschen können mit entsprechender Bilderkennungssoftware biometrisch analysiert werden (Gesichtserkennung). Dabei werden bestimmte Bildpunkte im Gesicht vermessen, so dass eine Wiedererkennung gewährleistet ist. Dem Vernehmen nach soll Facebook systematisch die größte Sammlung an personalisierten Bildern von Personen angelegt haben. Da sich die markaten Punkte im Gesicht nach der Pubertät bis ins hohe Alter nicht mehr ändern, kann die Personifizierung einmal veröffentlichter Bilddaten ein Leben lang erfolgen. So können Bewegungsprofile von Personen angelegt werden, die sich im Bereich von optisch-elektronischer Überwachung befinden, ein Problem, dass durch immer häufiger werdende mobile Datenerfassung (Dashcams, Datenbrillen, Armbandcomputern usw.) noch massiv zunehmen wird.
Rechtliche Situation: Zu den vom Bundesverfassungsgericht definierten Persönlichkeitsrechten gehört das Recht am eigenen Bild. Das "Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie" (KunstUrhG) regelt Näheres: "Bildnisse dürfen nur mit Einwilligung des Abgebildeten verarbeitet oder öffentlich zur Schau gestellt werden." (§ 22 KunstUrhG). Hiervon gibt es vier im § 23 KunstUrhG genannte Ausnahmen, die jedoch auf Porträtfotos von Beschäftigten nicht zutreffen und auf die daher an anderer Stelle eingegangen werden soll.
Folgerung: Sollen Bilder von Beschäftigten auf der Homepage veröffentlicht werden, ist dafür die Einwilligung der Fotografierten vor der Veröffentlichung einzuholen. Hierzu sagt das Bundesdatenschutzgesetz folgendes: " Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweisung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben" (§ 4a BDSG).
Ablauf: Zuerst sollte eine grundsätzliche Entscheidung darüber getroffen werden, ob Bilder von Beschäftigten im Internet veröffentlicht werden sollen. Sodann sollten von denjenigen Beschäftigten, auf die das zutrifft, eine entsprechende Einwilligung eingeholt werden. In diesem Zusammenhang sollte auch die in Risiken für das Persönlichkeitsrecht bei einer Veröffentlichung hingewiesen werden. In diesem Zusammenhang ist außerdem darauf hinzuweisen, dass die Einwilligung zu jeder Zeit für die Zukunft wiederrufen werden kann. Die Einwilligung sollte so aufbewahrt werden, dass sie bei Bedarf (beispielsweise bei Überprüfungen durch die Aufsichtsbehörde9 vorgelegt werden kann. Auch sollte in einer Arbeitsanweisung geregelt werden, unter welchen Umständen die Bilder zu entfernen sind (Versetzung auf andere Stelle, Kündigung) und wer dafür die Verantwortung trägt.
Hinweis: In vielen Fällen ist die Zielgruppe derer, die die Fotos einsehen dürfen, begrenzt, beispielsweise die berechtigten in Partnerfirmen, die anhand der Fotos sich auf einen Besuch durch den Außendienst vorbereiten möchten. In diesem Fall ist zu prüfen, ob durch geeignete Maßnahmen der Grundsatz der Datensparsamkeit und Datenvermeidung gewahrt werden kann, indem diese Bilder auch nur den Berechtigten zur Einsicht bereit gestellt werden (Passwort).
Erfolgreiche Veranstaltung zur
Zahlreiche Gäste kommen zur Eröffnung der neuen EUWIS-Niederlassung

References: § 11
 § 11
 § 5
 § 5
 § 28
 § 9
 § 4
 § 4
 § 14
 § 14
 § 3
 § 4
 § 3
 § 43
 § 9
 § 23
 § 3
 § 23