Source: http://de.slideshare.net/berndfuhlert/bernd-fuhlert-vortrag-an-der-fom-hochschule
Timestamp: 2017-01-18 14:42:07
Document Index: 54377320

Matched Legal Cases: ['§ 9', '§ 11', '§ 9', 'Art. 2', '§ 28', '§ 4', '§ 28', '§ 3', '§ 2', '§ 75', '§ 43', '§ 91', '§ 280', '§ 254', '§ 97', '§ 100', '§ 117', '§ 43', '§ 206', '§ 303', '§ 7', '§ 280', '§ 117', '§ 43', '§ 9', 'Art. 10', '§ 242', '§ 44']

Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011
by maecke
Bernd Fuhlert: AMC Arbeitskreis - D...
Opt-In & konforme CRM-Systeme: Das ...
Bernd Fuhlert, Geschäftsführer
at @-yet GmbH
Datenschutz und IT-Sicherheit. Ansätze. Rechtsfragen. Verantwortlichkeiten.Zielgerichtete Compliance Maßnahmen gewährleisten jederzeit rechts-konformen und technisch funktionierenden Datenschutz und Datensicherheit.Eine der Schnittstellen zwischen Datenschutz und Datensicherheit bildet § 9 BDSG und die dazu gehörige Anlage (besser bekannt als TOMs).Dort werden losgelöst vom aktuellen technischen Standard Oberbegriffe definiert, die konkrete datenschutzrechtliche und datensicherheitstechnische Kontrollmaßnahmen erfordern.Dennoch kann Datensicherheit gegeben sein, obwohl gegen datenschutz-rechtliche Gesetze und Regelungen verstoßen wird.Zu beachten: Die Datenschutzaufsicht selbst muss vom „Kostengesetz“ ausgehen und kann für ihre Tätigkeit - ausgehend von der „Bedeutung“ der Angelegenheit - weitgehend frei kalkulieren.- -Bernd Fuhlert steht für Expertise in den Bereichen Datenschutz und Haftungsmanagement. Bernd Fuhlert ist als Marketingexperte mit profunden Kenntnissen der juristischen Landschaft stets auf dem neuesten Stand. Sein Ziel ist es, Risiken für seine Kunden zu minimieren und Kosten einzusparen.
Datenschutz und IT-SicherheitAnsätze. Rechtsfragen. Verantwortlichkeiten.DATATREE AGExkursion FOM DüsseldorfHeubesstraße 10, 40597 DüsseldorfFreitag, 09. Dezember 2011 © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 1 2.
InhaltLeistungsprofile DATATREE 3Vorbemerkungen 4Warum Datenschutz - Sinn und Zweck 8Besonderheit der IT-Administratoren 18Haftungsmatrix 21Was ist zu tun, wenn…? 25Andere Länder – andere Gesetze 26 © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 2 3.
Leistungsprofile der DATATREE Leistungsprofile - Unternehmensvisionen und -ziele definieren und festlegen - Strategien entwickeln und umsetzen Compliance Recht Compliance IT Stellung Weitere Services Datenschutzbeauftragte & Produkte Mitwirkung bei der Umsetzung  Stärken-Schwächen-Analyse  Erstellung gesetzlicher  Audits gemäß § 11 BDSG undbetrieblicher Regelungen zum (SWO) der Datensicherheit Verfahrensverzeichnisse Erstellung von Gutachten fürDatenschutz Auftragnehmer  Strategieentwicklung  Erstellung von Erstellung von rechtlichen (Inhouse, Outsourcing) Verarbeitungsverzeichnissen  KrisenmanagementGutachten zur Compliance  Zertifizierungen  Maßnahmenplanung bei  Beschreibung, Analyse des Bewertung und Optimierung Lücken im Datenschutz und bestehenden Datenschutzes  Marketingkonzepte zur daten-von Haftungsrisiken Datensicherheit (BSI,ITIL)  Erstschulungen für Mitarbeiter schutzkonformen Generierung Vertragsgestaltung zur ADV  Regelmäßige Prüfung zum von Daten  Aufbau von Datenschutz-und Funktionsübertragung Erhalt des Datenschutzniveaus  Escrow (THD-Bank für sensitive konzepten (Schutz vor (SW/HW) Daten) Wissentsransfer oder Diebstahl)  Ausbildung zu externen  Whistleblowingstelle Datenschutzbeauftragten Treuhand-Datenbank Google Ad-Words Datenbank © DATATREE 2011 l 07.11.2011 DATATREE AG | Seite 3 Datenschutz & Datensicherheit l 3 4.
VorbemerkungZielgerichtete Compliance Maßnahmen gewährleisten jederzeit rechts-konformen und technisch funktionierenden Datenschutz und Datensicherheit.Eine der Schnittstellen zwischen Datenschutz und Datensicherheit bildet § 9BDSG und die dazu gehörige Anlage (besser bekannt als TOMs).Dort werden losgelöst vom aktuellen technischen Standard Oberbegriffedefiniert, die konkrete datenschutzrechtliche und datensicherheitstechnischeKontrollmaßnahmen erfordern.Dennoch kann Datensicherheit gegeben sein, obwohl gegen datenschutz-rechtliche Gesetze und Regelungen verstoßen wird.Zu beachten: Die Datenschutzaufsicht selbst muss vom „Kostengesetz“ausgehen und kann für ihre Tätigkeit - ausgehend von der „Bedeutung“ derAngelegenheit - weitgehend frei kalkulieren. © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 4 5.
Warum Datenschutz - Steigerung der Datenmengen Social Media und andere neue Formen der Medien erreichen in immer kürzeren Intervallen mehr User und erhöhen somit die Datenmengen exponentiell: Radio 38 Jahre* TV 13 Jahre* Internet 4 Jahre* iPod 3 Jahre* iPod applications: 1 Milliarde Downloads Facebook: 100 Millionen User in in nur 9 Monaten* weniger als 9 Monaten** Anzahl Jahre um 50 Millionen User zu erreichen © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 5 6.
Warum Datenschutz - Sinn und Zweck des Gesetzes Der Umgang mit personenbezogenen Daten wird durch das Datenschutzrecht geregelt. Es kommt zur Anwendung, wenn Sie Daten bearbeiten, die einem Menschen zugeordnet werden können. Daten von juristischen Personen, Vereinen, Verbänden etc. sind durch das BDSG nicht geschützt. Datenschutz ist ein Grundrecht! Jeder Mensch soll grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen. (Art. 2 GG) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 6 7.
Warum Datenschutz - Sinn und Zweck des GesetzesDas BDSG verbietet grundsätzlich die Erhebung, Verarbeitung und Nutzung personen-bezogener Daten, erlaubt diese aber unter bestimmten Voraussetzungen(Verbot mit Erlaubnisvorbehalt). Datenerhebung ist somit zulässig, wenn sie ... durch das BDSG selbst ... Beispiel: öffentlich zugängliche Daten gesetzliche Grundlage oder durch eine andere Rechtsvorschrift ... Beispiel: Steuern, Abgaben oder durch die Einwilligung des Betroffenen ... Beispiel: Einverständniserklärung zur Datennutzung ... erlaubt wird. © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 7 8.
Warum Datenschutz - Sinn und Zweck des GesetzesPersonenbezogene Daten sind alle Angaben, die sich auf eine bestimmteoder aber auch bestimmbare Person beziehen.Beispiele: Name, Gehalt, Geburtsjahr, Kreditkartenummer, Telefonnummer IP-AdresseBestimmt ist eine Bestimmbar wird eine Person,Person, wenn sich ihre wenn ihre Identität durch dieIdentität direkt aus dem Kombination des Datums mit einerDatum selbst ergibt. anderen Information feststellbar Abgleich mit wird. Providerdaten © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 8 9.
Warum Datenschutz - Sinn und Zweck des Gesetzes © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 9 10.
Möglichkeiten der Datenerhebung im UnternehmenDatenschutzrechtliche Zulässigkeit von automatisiert verarbeiteten personen-bezogenen Daten von Mitarbeitern im Unternehmen: 1. Möglichkeit 2. Möglichkeit im Rahmen der 3. Möglichkeit Zweckbestimmung individuelle Einwilligung gemäß § 28 (1) BDSG gemäß § 4 a BDSG kollektivrechtliche (z. B. des Arbeitsverhältnisses) Einwilligung (Betriebsvereinbarung) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 10 11.
Möglichkeiten der Datenerhebung im Unternehmen 1. MöglichkeitIm Rahmen der Zweckbestimmungnach § 28 Abs. 1 Satz 1 Nr. 1 BDSGDirektionsrecht des Arbeitgebers Zu- und Abgangsdaten Private Nutzung von BetriebsmittelWenn Betriebsrat vorhanden: Betriebsvereinbarung erforderlich Beispiel: Zeiterfassung, PKW - Nutzung © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 11 12.
Möglichkeiten der Datenerhebung im Unternehmen 2. MöglichkeitIndividuelle EinwilligungEinwilligung (z. B. im Arbeitsvertrag) rechtfertigt jederzeit Eingriff in die PersönlichkeitsrechteSonderfall: E-Mail und InternetBeides sind Betriebsmittel zur Erbringung der ArbeitsleistungABER! mit Bereitstellung privater Nutzungsmöglichkeit wird AG zum geschäftsmäßigen TK-Anbieter (E-Mail - § 3 Nr. 10 TKG) zum Telemedienanbieter (Internet - § 2 Abs. 1 TMG)und damit infiziert das Fernmeldegeheimnis Mailpostfach und dieInternetlogfilesBeispiel: Aufzeichnung, Auswertung und Speicherung der E-Mails und Internetverbindungen © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 12 13.
Möglichkeiten der Datenerhebung im Unternehmen 3. MöglichkeitBetriebsvereinbarungMitbestimmung gemäß § 75 Abs. 2 BetrVG:Arbeitgeber und Betriebsrat haben die freie Entfaltung derPersönlichkeit der Beschäftigten zu schützen Betriebsvereinbarungen haben Vorrang vor dem BDSG(BAG Beschluss vom 27.5.1986) Betriebsvereinbarung ersetzt die individuelle Einwilligung Beispiel: Pausenzeiten, Nachbearbeitungszeiten im Service Center (technische Überwachung darf keinen permanenter Überwachungsdruck ausüben) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 13 14.
Problemfall: DATA MiningLösung: Anonymisierung und Pseudonymisierung © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 14 15.
Exkurs in die Welt der GerichteAuskunftsanspruch gegenüber einem TK-Unternehmen zurFeststellung der VaterschaftAus Spaß wurde ernst – d. h. konkret aus einem sexuellen Kontakt ein Kind.Die Mutter kannte aber nur Vornamen und Handy-Nummer des Vaters. Da sichdas Telekommunikationsunternehmern weigerte, die Daten desAnschlussinhabers preiszugeben, hatte das Landgericht Bonn in seinem Urteilvom 29.09.2010 über die geforderte Auskunft zur Feststellung der Vaterschaftzu entscheiden. Im Ergebnis verneinte das Landgericht Bonn einen Auskunftsanspruch der Mutter gegenüber dem Telekommunikationsunternehmen. Die Bonner Richter sahen keine eigene Anspruchsgrundlage für ein solches Auskunftsverlangen.Allerdings ließen sie gleichzeitig Raum für einen Auskunftsanspruch desKindes, über den aber nicht entschieden wurde.(LG Bonn Az.: 1 O 207/10) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 15 16.
Besonderheit der IT-Administration Die Aufgaben eines Systemadministrators sind vielfältig: Installation und Konfiguration von Planung und Überprüfung von Software, Systemen und Komponenten Sicherheitsmaßnahmen gegen Angriffe von außen und innen Analyse und Bewertung des Administration von Soft- und Hardwarebedarfs Servern und Anwendungen Benutzersupport Einrichtung und Verwaltung von Nutzerkonten, Zugriffsrechten, Verzeichnisdiensten Dabei genießt er weitgehende technische Möglichkeiten Was darf der Admin wissen? Was darf das Unternehmen(Behörde)? © DATATREE 2011 l 07.11.2011Einführung in den Datenschutz | Seite 16 Datenschutz & Datensicherheit l 16 17.
Besonderheit der IT-AdministrationKeine Immunität für AdministratorenAufgabe von Administratoren ist es zwar, Vertraulichkeit, Integrität undVerfügbarkeit von Informationen sicherzustellen. Allerdings zählt dazu nicht, dieverschiedenen Inhalte einzusehen oder gar auszuwerten.Beschäftigt ein Unternehmen mehr als einen Administrator, sollten die AdminRollen in unterschiedliche Bereiche aufgeteilt werden.Alle Rollen sollten aber im Notfall auf jeden Admin übertragbar sein.Administratoren sollten nur die Passwörter kennen, die sie für die ErfüllungIhrer routinemäßigen Aufgaben benötigen. Fazit: So viel Einsichtsrechte wie nötig, so wenig wie möglich! (Need to Know-Prinzip) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 17 18.
Besonderheit der IT-AdministrationKritische Tätigkeiten Remotezugriff auf einen PC, insbesondere Spiegelung einer Benutzersitzung ohne vorherige Information des Anwenders Einspielen, Kopieren, Einsehen oder Löschen von Daten mittels der Standard-Adminfreigaben des Betriebssystems oder anderer Funktionen ohne vorherige Information des Anwenders Zugriff oder Einrichtung von Zugriffsrechten auf das E-Mail-Postfach eines Anwenders Zugriff oder Einrichtung von Zugriffsrechten auf das Home- Verzeichnis eines Anwenders ohne vorherige Information des Anwenders Nutzung jeder Funktionalität gleich welcher Art, die einen unbemerkten Zugriff auf einen PC ermöglicht Auswertung von Logfiles und Protokollen © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 18 19.
Besonderheit der IT-Administration Mögliche Konsequenzen Ordnungsgeld / Strafrecht Für den Betrieb: Stillegung der EDV Erschwernisse durch Prüfungen / Presse im Tagesgeschäft Bußgeld von € 50.000 bis € 250.000 (auch mehr möglich) Freiheitsstrafe bis zu 2 Jahren oder Geldstrafe § 43 GmbHG; § 91 AKtienG (persönliche Haftung)…. das wird passieren …das könnte passieren © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 19 20.
Exkurs: Was kann ich mit Daten verdienen? © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 20 21.
Sanktionen: Haftungsmatrix Haftung Verantwortlichkeit gegenüber Auswahl an Themenbereichen Kontrollorgane Schäden Anspruch Mögliche GF / Vorstand Unternehmen die in der Regel durch die IT - Leiter durch Pflichtverletzung aus Pflichtverletzung Rechtliche Grundlage Dritten DSB IT mit abgebildet werden Datenverlust § 280 BGBDurchführung regelmäßiger Backups Produktionsausfall Schadenersatz § 254 BGB Imageverlust Unternehmensstillstand §§ 97 i. V. m. § 100 UrhG Sicherstellung der Verwendung Unterlassung Imageschaden § 117 AktG von lizensierter Software Schadenersatz Kosten Nachlizenzierung + Strafe § 43 GmbHG Verwendung von Virensoftware Schaden durch Vernichtung Unterlassung § 206 StGB Firewall, SPAM-Filter wichtiger Informationen Schadenersatz § 303 a StGB Zugang zu personenbezogenen Konzept für Zugang von externen Daten durch Unbefugte §§ 7 i.V.m. 9 BDSG Schadenersatz Dritten zu DV - Systemen Imageschaden § 280 BGB Datenverlust durch z. B. Viren Kontinuierliche Aktualisierung § 117 AktG Unternehmensstillstand des Datensicherheit- und Schadenersatz § 43 GmbHG Datenverlust Datenschutzkonzeptes § 9 BDSG Regelung für die private Verlust von Fachkräften Art. 10 GG Freiheitsstrafe Nutzung von Internet und Imageschade §§ 242 i.V.m. 611 BGB Schadenersatz E-Mail am Arbeitsplatz Kosten druch Nutzung der Dienste § 44 TKGQuelle: Haftungsmatrix der Bitkom (Auszug) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 21 22.
Exkurs in die Welt der GerichteSystemadministrator sichtete zur vorgeblichen BeweissicherungE-Mails eines GeschäftsführersDer Kläger des Verfahrens, ehedem als Systemadministrator beschäftigt, habeunter anderem Zugriff auf die E-Mails eines Geschäftsführers genommen.Diese habe er einem anderen Geschäftsführer vorgelegt, um damitnachzuweisen, dass der Empfänger der Nachrichten vertragswidrig gegenseine Dienstpflichten verstoße und damit das Unternehmen schädige; zudemsolle dieser unbefugt auf Daten aus dem Personalbereich zugegriffen haben.Daraufhin sei dem Systemadministrator fristlos gekündigt worden.Die unerlaubte Einsichtnahme in fremde E-Mails durch einenSystemadministrator stelle einen schwerwiegenden Pflichtverstoß dar undrechtfertige dessen fristlose Kündigung, so das Landesarbeitsgericht (LAG)München mit Urteil vom 8. Juli 2009. Die Richter bestätigten damit die vorinstanzliche Entscheidung des Arbeitsgerichts München.(LARG München Az.: 11 Sa 54/09) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 22 23.
Was ist zu tun, wenn… ? HandlungshilfenWas tun, wenn der Bauch sich meldet….Klären Sie folgende Fragen:  Grundsätzlich erste Frage: Auf welcher Grundlage?  Schriftliche Anweisung  Kfm. BestätigungsschreibenProtokollieren Sie den Vorgang!! 3 Dinge schaffen: Fakten, Fakten, Fakten! © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 23 24.
Was ist zu tun, wenn… ? HandlungshilfenAufsichtsbehörde will kontrollieren Mitarbeiter sollen sofort Ihren Vorgesetzten einschalten! Klären Sie, ob der Datenschutzbeauftragte Ihres Unternehmens informiert ist. Auf keinen Fall direkt alleine die Fragen beantworten!!!! © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 24 25.
Andere Länder – andere Gesetze Gesetz der russischen Föderationüber die Auslandsaufklärung Artikel 5 (Ziele der Spionage): „Förderung der wirtschaftlichen Entwicklung und des wissenschaftlich-technischen Fortschritts des Landes durch Beschaffung von wirtschaftlichen und wissenschaftlich-technischen Informationen durch die Organe der Auslandsaufklärung.“ © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 25 26.
Andere Länder – andere Gesetze Regulation of Investigatory Powers (RIP) Act 2000Der Regulation of Investigatory Powers Act 2000 (RIP, RIPA) ist ein Gesetz, das die Telekommunikationsüberwachung im United Kingdom regelt. RIPA ermächtigt die im Gesetz aufgelisteten staatlichen Stellen zu Überwachungsmaßnahmen im Dienste der Nationalen Sicherheit, zum Zweck der Verbrechensbekämpfung …..und zum Schutz der nationalen wirtschaftlichen Interessen des UK. Die Liste der ermächtigten staatlichen Stellen umfasst mittlerweile 792 Behörden, darunter Polizei-, Militär-, Zoll etc. © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 26 27.
Exkurs in die Welt der GerichteDatensicherung muss in bestimmten Intervallen erfolgenEine Reiseunternehmen hatte eine Fachfirma mit der Reparatur ihrerComputeranlage betraut. Hier kam es zu einem Komplettabsturz und einemunwiederbringlichen Datenverlust. Der Schaden betrug 14.000 Euro.Das Reiseunternehmen hat Schadenersatz geltend gemacht. Dies erklärten die Richter für nicht zulässig. Das Reiseunternehmen hat grob fahrlässig gehandelt und trägt die alleinige Verantwortung. Erfolgt in einem Unternehmen nicht täglich die Datensicherung und nicht mindestens einmal im Monat eine Komplettsicherung, so trifft das Unternehmen und die Unternehmensführung die alleinige Verantwortung! Damit trägt auch die IT entsprechende persönliche Verantwortung!(OLG Hamm Az.: 13 U 133/03) © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 27 28.
Offene Diskussion Offene Diskussion und Fragen © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 28 29.
Vielen Dank für Ihre Aufmerksamkeit! DATATREE AG Bernd Fuhlert Heubesstraße 10 40597 Düsseldorf +49 (0) 211 5989471 Tel. +49 (0) 176 62960098 Mobil +49 (0) 211 59894780 Fax Bernd.Fuhlert@datatree.eu www.datatree.eu © DATATREE 2011 l 07.11.2011 Datenschutz & Datensicherheit l 29 Empfohlen
Bernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz Recht
Opt-In & konforme CRM-Systeme: Das Ende der Kundendatenbanken
FOM: Mindmapping mit mindmeister einer wissenschaftlichen Arbeit bzw. Thesis
Prof. Dr. Stefan Strauss
Datenschutz 3.0 - ELSA Heidelberg, 22.4.2013
Hat Outbound eine Zukunft?
Callcenter Barcamp