Source: https://www.hsp-steuerberater-moenchengladbach.de/2012/04/16/datenschutz-fur-unternehmer-quo-vadis-entwurf-autor-fehlt-noch/
Timestamp: 2020-02-27 05:43:10
Document Index: 251105190

Matched Legal Cases: ['§ 11', '§ 34', '§ 42', '§ 9', '§ 9', '§ 5', '§ 88', '§ 17', '§ 4', '§ 4', '§ 11', '§ 42']

HSP STEUER Mönchengladbach › Datenschutz für Unternehmer – quo vadis? › Steuerberater aus Mönchengladbach
Unter anderem wird die Nutzung von Face­book vom „Düs­sel­dor­fer Kreis“, der informellen Vere­ini­gung der ober­sten Auf­sichts­be­hör­den, als daten­schutzrechtlich prob­lema­tisch ange­se­hen. So soll z. B. die Nutzung von Face­book-Fan­pages gegen das Bun­des­daten­schutzge­setz ver­stoßen und auch der Ein­satz von Social-Net­work-Plu­g­ins „gefällt mir“ wird als nicht daten­schutzkon­form ange­se­hen. Grund­sät­zlich muss jedes Unternehmen über­legen, wie zukün­ftig mit dem The­ma „Social Media“ umge­gan­gen wer­den soll.
Ein sor­glos­er Umgang bringt zum Teil unkalkulier­bare Risiken und erle­ichtert z. B. Daten­raubzüge der Indus­tries­pi­one und den unberechtigten Zugang zu Dat­en durch Datendiebe.
Schlag­wörter wie „Bring your own device“ begleit­en uns in der aktuellen Diskus­sion zur Nutzung von pri­vat­en Sys­te­men bei der Erfül­lung betrieblich­er Auf­gaben. „Bring your own device“ bedeutet, dass Mitar­beit­er ihre pri­vat­en IT-Sys­teme zur Abar­beitung von dien­stlichen Auf­gaben nutzen und in das Unternehmen­snet­zw­erk ein­binden. Hier ist sorgsam zu prüfen, wie dieser Trend in Ein­klang mit Daten­schutz und IT-Sicher­heit gebracht wer­den kann.
Das Jahr 2012 wird weit­ere grundle­gende Entschei­dun­gen für den Daten­schutz brin­gen. Die zur Ver­ab­schiedung anste­hende EU-Daten­schutzverord­nung wird zum Teil nationale Daten­schutzge­set­ze ablösen bzw. ergänzen. Die EU-Daten­schutzverord­nung wird bei Umset­zung gravierende ver­schär­fende Auswirkun­gen auf das The­ma Daten­schutz in Deutsch­land haben. So ist zum Beispiel eine Benachrich­ti­gungspflicht des Unternehmens im Fall eines ver­muteten unberechtigten Zugriffs auf Dat­en bin­nen 24 Stun­den an die zuständi­ge Daten­schutza­uf­sichts­be­hörde geplant. Die Bußgelder sollen drastisch erhöht wer­den. Im Entwurf wer­den Zahlen zwis­chen 100.000 und 1.000.000 Euro oder bis zu 2 Prozent des Jahre­sum­satzes ein­er Fir­ma genan­nt. Es ist davon auszuge­hen, dass die EU-Daten­schutzverord­nung sehr reale Auswirkun­gen auf die Geschäft­sprozesse der Unternehmen haben wird.
Seit Län­gerem liegt in Deutsch­land ein Entwurf für ein Beschäftig­ten­daten­schutzge­setz vor. Am 10. Feb­ru­ar 2012 wurde über www.zeitonline.de fol­gende Nachricht kom­mu­niziert: „Die Regierungskoali­tion hat sich auf ein neues Gesetz geeinigt, das Arbeit­nehmer bess­er vor heim­lich­er Beobach­tung durch den Arbeit­ge­ber schützen soll. Die FDP-Innen­ex­per­tin Gisela Piltz bestätigte einen entsprechen­den Bericht der Finan­cial Times Deutsch­land. Danach soll eine ver­steck­te Videoüberwachung grund­sät­zlich ver­boten sein. Auf Druck der Wirtschaft kön­nen jedoch Rechte von Mitar­beit­ern eingeschränkt wer­den, wenn es entsprechende Betrieb­svere­in­barun­gen oder per­sön­liche Ein­willi­gun­gen der Arbeit­nehmer gibt. Über die Ini­tia­tive war zuvor monate­lang debat­tiert wor­den.“
Dat­en- und IT-Sicher­heit 2012/2013. Für die Zukun­ft prog­nos­tizieren Experten weit­ere Bedro­hun­gen der IT-Sicher­heit von Regierun­gen und Unternehmen. So wird nicht nur die Anzahl der geziel­ten Angriffe auf staatliche Insti­tu­tio­nen und Unternehmen weit­er steigen, es ist auch damit zu rech­nen, dass die Band­bre­ite der Opfer merk­lich aus­geweit­et wird. Die Sicher­heit­sex­perten von Kasper­sky Lab gehen davon aus, dass vor allem Unternehmen aus der Rohstof­fgewin­nung, Energie‑, Verkehrs‑, Lebens­mit­tel- und Phar­main­dus­trie sowie Inter­net-Ser­vices und IT-Unternehmen die Angriff­sziele der Zukun­ft sein wer­den.
Die Weit­er­en­twick­lun­gen inner­halb der IT-Sicher­heits­branche zur Abwehr geziel­ter Angriffe sowie das gewach­sene Bewusst­sein der Öffentlichkeit zwingt Cyberkrim­inelle, neue Instru­mente zu entwick­eln. Die herkömm­liche Meth­ode der Angriffe via E‑Mail wird zunehmend weniger effek­tiv wer­den. Attack­en beim Ein­satz von Browsern wer­den hinge­gen an Pop­u­lar­ität gewin­nen.
Der Siegeszug der Tablet Com­put­er wird sich fort­set­zen. Die Anzahl der Bedro­hun­gen für mobile Endgeräte wird weit­er­hin steigen, wobei Google Android das primäre Angriff­sziel bleiben wird. Das bedeutet, dass auch bei mobilen Geräten im Hin­blick auf Daten­schutz und IT-Sicher­heit hohe Sicher­heit­san­forderun­gen notwendig sind.
Smart­phone-Anbi­eter müssen auf einem umkämpften Markt beste­hen, der per­ma­nen­ten Änderun­gen unter­wor­fen ist. Auf der Sicher­heit der Smart­phones oder der App­lika­tio­nen liegt daher nicht immer die höch­ste Pri­or­ität. Auf der anderen Seite ermöglichen die ständig wach­senden Funk­tion­al­itäten der Smart­phones den Benutzern, per­ma­nent über­all erre­ich­bar zu sein und dabei nicht nur große Daten­men­gen ver­ar­beit­en zu kön­nen, son­dern auch mobil auf Unternehmens- oder Behör­den­net­ze zugreifen zu kön­nen. Smart­phones sind daher höchst attrak­tive Angriff­sziele. Es gibt eine stetig zunehmende Anzahl von Schad­soft­ware, die auf Smart­phones spezial­isiert ist. Häu­fig ste­hen dahin­ter ähn­liche Ziele wie bei Schad­soft­ware für den PC. Diese Gefahren sind bei den Über­legun­gen zum Daten­schutz und zur IT-Sicher­heit unbe­d­ingt zu berück­sichti­gen.
Ein weit­er­er Trend ist Cloud Com­put­ing. Beim Cloud Com­put­ing erfol­gt die Nutzung von IT-Leis­tun­gen in Echtzeit über Daten­net­ze (in der „Wolke“) statt auf lokalen Sys­te­men. Cloud Com­put­ing hat sich inner­halb weniger Jahre zu einem Mil­liar­den-Markt entwick­elt. Vor dem Ein­satz von Cloud Com­put­ing gilt es jedoch, wichtige Sicher­heits- und Daten­schutzfra­gen zu klären. Durch Diskus­sio­nen in der jüng­sten Ver­gan­gen­heit waren EU-Par­la­men­tari­er sehr beun­ruhigt über Äußerun­gen eines Microsoft-Man­agers, demzu­folge US-Sicher­heits­be­hör­den unge­hin­dert auf Dat­en von EU-Bürg­ern und Unternehmen zugreifen kön­nen, wenn diese Dat­en in der Cloud gespe­ichert wer­den. Die Grund­lage dafür soll der amerikanis­che Patri­ot Act liefern.
Auf­grund der geführten Diskus­sio­nen wird z. B. Microsoft beim Daten­schutz in der Cloud Maßstäbe set­zen und die Ver­trags­bes­tim­mungen für seinen Cloud-Dienst Office 365 in Anlehnung an die Vorstel­lun­gen deutsch­er Daten­schützer ändern. Die neuen Regeln sollen zudem die von der EU ent­wor­fe­nen Stan­dard­klauseln zur Über­mit­tlung per­so­n­en­be­zo­gen­er Dat­en enthal­ten.
Ungesicherte USB-Anschlüsse entwick­eln sich für Unternehmen zu einem immer größeren Sicher­heit­srisiko. Unter­suchun­gen haben ergeben, dass bei fast der Hälfte der Fälle die Rech­n­er durch die Benutzer selb­st infiziert wer­den, indem diese – in der Regel unab­sichtlich – die Schad­soft­ware selb­st starten. Beson­ders heikel ist, dass durch diese Art der Infizierung kein­er­lei Fire­walls über­wun­den wer­den müssen. So wer­den USB-Ports zum per­fek­ten Ein­fall­tor für Würmer und Tro­jan­er, um an sen­si­ble Dat­en zu gelan­gen und diese auszule­sen bzw. zu verän­dern oder zu löschen. Das zeigt, dass durch USB-Spe­icher­me­di­en eine große Gefahr für den Daten­schutz und die IT-Sicher­heit im Unternehmen aus­ge­ht.
Daten­schutz in der Prax­is.
Bei allen Über­legun­gen und Ver­bre­itung von Äng­sten im Zusam­men­hang mit der Ver­schär­fung des Daten­schutzes muss jed­er Unternehmer prüfen, wie er die geset­zlichen Min­destanforderun­gen unter Berück­sich­ti­gung der Ver­hält­nis­mäßigkeit prax­isori­en­tiert umset­zen kann.
Hierzu sind 10 wichtige Punk­te im Rah­men der eige­nen Daten­schut­zor­gan­i­sa­tion zu beacht­en:
1. Geset­ze und Verord­nun­gen
Es ist darauf zu acht­en, die in 2009/2010 ver­schärften Daten­schutzbes­tim­mungen einzuhal­ten. Hier­bei sind ins­beson­dere The­men wie „Neuregelung Auf­trags­daten­ver­ar­beitung (§ 11 BDSG)“, „Ver­schär­fung Auskun­ft­srecht (§ 34 BDSG)“, „Infor­ma­tion­spflicht bei unrecht­mäßiger Ken­nt­niser­lan­gung von Dat­en (§ 42a BDSG)“, neue Regelun­gen für die Ver­wen­dung von Dat­en für Wer­bezwecke und die Ver­schär­fung „Tech­nis­che und organ­isatorische Maß­nah­men“ (§ 9 BDSG) zu berück­sichti­gen und notwendi­ge Maß­nah­men zu etablieren.
2. Tech­nis­che und organ­isatorische Maß­nah­men (TOM)
Die For­mulierung im BDSG (§ 9) ist auf jeden Fall zu beacht­en: „Erforder­lich sind Maß­nah­men nur, wenn ihr Aufwand in einem angemesse­nen Ver­hält­nis zu dem angestrebten Schutzz­weck ste­ht.“ Das bedeutet, dass die im Gesetz vorgeschriebe­nen Maß­nah­men unter Berück­sich­ti­gung der Angemessen­heit umge­set­zt wer­den müssen. Hier sind die Regelun­gen mit Dien­stleis­tern und die Ver­schlüs­selung ein Bestandteil der Ver­schär­fun­gen aus 2009.
Neben der Verpflich­tung der Mitar­beit­er auf das Datenge­heim­nis (§ 5 BDSG) ist zu prüfen, ob weit­ere Verpflich­tun­gen wie z. B. auf das Fer­n­meldege­heim­nis (§ 88 TKG) oder auf die Geheimhal­tung (§ 17 UWG Ver­rat von Geschäfts- und Betrieb­s­ge­heimnis­sen) erforder­lich sind. Im Daten­schutzge­setz wird ver­langt, dass Mitar­beit­er durch geeignete Maß­nah­men über die beson­deren Anforderun­gen des Daten­schutzes zu unter­richt­en sind. Hier kön­nen neben Präsen­zschu­lun­gen auch die Schu­lung bzw. Infor­ma­tion mit Merk­blät­tern oder web­basieren­den Schu­lungstools erfol­gen. Testen Sie kosten­frei das Tool von s‑con Daten­schutz & ITK unter http://www.s‑con. de/wbt/?code=123xcv (Benutzer­name: name/ Ken­nwort: pass­wort)
4. Der/Die Daten­schutzbeauf­tragte
Die bestellt Per­son muss die zur Erfül­lung der Auf­gaben erforder­liche Fachkunde und Zuver­läs­sigkeit besitzen. Auch eine externe Per­son kann die Auf­gaben der Datenschutzbeauftragten/ des Daten­schutzbeauf­tragten übernehmen (extern­er Daten­schutzbeauf­tragter). Bei inter­nen Daten­schutzbeauf­tragten gilt: beson­der­er Kündi­gungss­chutz (§ 4f Abs. 3 Satz 4 BDSG) für Arbeitsverhältnisse/ Fort- und Weit­er­bil­dungsanspruch (§ 4f Abs. 3 Satz 6 BDSG).
5. Dien­stleis­ter
Prüfen Sie die Zuver­läs­sigkeit Ihrer Dien­stleis­ter, die z. B. in Ihrem Auf­trag per­so­n­en­be­zo­gene Dat­en Ihres Unternehmens bzw. Ihrer Kun­den ver­ar­beit­en. Dieses ist im BDSG § 11 klar geregelt.
6. Doku­men­ta­tion
Wirken Sie darauf hin, dass die/der Daten­schutzbeauf­tragte die Daten­schut­zor­gan­i­sa­tion nachvol­lziehbar doku­men­tiert. Fordern Sie einen jährlichen Daten­schutzbericht des Daten­schutzbeauf­tragten.
7. Regelun­gen für Sys­teme, Anwen­dun­gen und Dien­ste
Regeln Sie den Umgang mit den IT-Sys­te­men und Dien­sten wie z. B. die Nutzung von E‑Mail und Inter­net. Eine Dul­dung ist nicht rat­sam. Ide­al­er­weise ver­bi­eten Sie die pri­vate Nutzung der Unternehmens-IT. Hier ist abzuwä­gen, wie ein Ver­bot in die Unternehmen­skul­tur passt.
Soziale Net­zw­erke (Social Media) wer­den die Kom­mu­nika­tion­ssys­teme der Zukun­ft. Dien­ste wie z. B. E‑Mail wer­den voraus­sichtlich in naher Zukun­ft abgelöst durch Social Media: Regeln Sie den Umgang Ihren Mitar­beit­er( innen) mit Social Media in Ihrem Unternehmen. Etablieren Sie eine Social-Media- Guide­line.
9. Daten­schutz­pan­nen
Seit 2009 gibt es zum The­ma „Daten­schutz­pan­nen“ eine Ver­schär­fung. § 42a BDSG for­muliert die Voraus­set­zung für den Ein­tritt ein­er Daten­schutz­panne. Über­legen Sie im Vor­feld die erforder­lichen Maß­nah­men bei Ein­tritt ein­er Daten­schutz­panne.
10. Ver­ant­wor­tung und Faust­formel
Leg­en Sie klare Ver­ant­wortlichkeit­en für die The­men Daten­schutz und IT-Sicher­heit fest. Entwick­eln Sie eine Faust­formel für Ihre Mitar­beit­er( innen) zum sicheren Umgang mit Dat­en.
Faz­it. Prüfen Sie Ihre aktuelle Daten­schutzsi­t­u­a­tion. Informieren Sie bei Bedarf Ihre Mitarbeiter(innen) über die neuen Anforderun­gen. Set­zen Sie die Min­destanforderun­gen um. Eine zu 80 % umge­set­zte Daten­schut­zor­gan­i­sa­tion ist bess­er als eine per­fekt geplante und nicht real­isierte Daten­schut­zor­gan­i­sa­tion. An dem The­ma „Daten­schutz“ ist kon­tinuier­lich weit­erzuar­beit­en, um u. a. die möglichen zukün­fti­gen ver­schärften Anforderun­gen der EU-Daten­schutzverord­nung zu erfüllen.
Gehaltsextras im Un­ter­neh­men rich­tig einsetzen
Feel the spirit: Eine Rückschau auf den HSP KONGRESS 2019
Wichtiges zur Ein­kom­men­steuer für Selb­ststän­di­ge und Freiberufler
DER MONAT 02.2020 ist online
Die HSP STEUER Rickenbach & Partner mbB Steuerberatungsgesellschaft ist ein eigenständiges, also rechtlich selbstständiges, Mitglied im Kooperationsverbund HSP GRUPPE. Die HSP GRUPPE ist eine Kooperation aus Steuerkanzleien, Rechtsanwaltskanzleien und Wirtschaftsprüfungskanzleien. Mandatsverhältnisse werden mit der jeweiligen Kanzlei und nicht mit dem Kooperationsverbund geschlossen. Die Mitgliedskanzleien der HSP GRUPPE kooperieren u. a. in den Bereichen IT, Datenschutz und Datensicherheit, Personalmanagement, Marketing, fachlicher Austausch und gemeinsame Fachveranstaltungen, Qualitätssicherung sowie wechselseitiger fachlicher Unterstützung bei Bedarf und vorheriger Zustimmung des Rat suchenden Mandanten. Zur Wahrung der Verschwiegenheitspflicht ist eine wechselseitige Einsichtnahme in Daten ohne Einwilligung des Mandanten technisch ausgeschlossen. Unsere Mandanten profitieren jedoch von der breiten Wissensbasis in den vorgenannten Bereichen.