Source: http://de.slideshare.net/RA_Stephan_Schmidt/141112-it-complianceihkhanau
Timestamp: 2016-10-22 16:34:45
Document Index: 87887820

Matched Legal Cases: ['§ 2', '§ 823', '§ 43', '§ 93', '§ 239', '§ 823']

Prokura & Prokurist - Was bedeutet ...
IT-RECHTLICHE ANFORDERUNGEN – HAFTUNGSFALLEN FÜR UNTERNEHMEN Stephan Schmidt Rechtsanwalt und Fachanwalt für IT-Recht IHK Hanau-Gelnhausen-Schlüchtern 12. November 2014 2.
Agenda I. Begriffe II. Anwendbare Rechtsvorschriften III. Wer haftet eigentlich? IV. Praxisbeispiele © TCI Rechtsanwälte 2014 2 3.
I. BEGRIFFE © TCI Rechtsanwälte 2014 3 4.
Begriffe • Compliance = „Befolgung“ • Einhaltung von Gesetzen, Richtlinien und anderen Verhaltensmaßregeln im Unternehmen • Einrichtung und Dokumentation von Kontroll- und Steuerungsprozessen • Ziel ist das „vollständig regelkonforme Unternehmen“ • z.B. Korruption und unzulässige Kartellabsprachen, Geldwäsche sowie Betrugs- und Untreuefälle zu verhindern und aufzuklären • Aber auch das Compliance-Programm selbst muss den gesetzlichen Anforderungen genügen • IT-Compliance und Datenschutz bedingen sich oft gegenseitig • Europäische Datenschutz-Grundverordnung soll die drohenden Sanktionen bei Datenschutzverletzungen massiv verschärfen © TCI Rechtsanwälte 2014 4 5.
Begriffe • IT-Compliance = Regelkonforme IT-Systeme • „Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen 1. in informationstechnischen Systemen oder Komponenten oder 2. bei der Anwendung von informationstechnischen Systemen oder Komponenten.“ (§ 2 Abs. 2 BSIG) • IT-Compliance bedeutet Risikovermeidung • Datenschutz und Datensicherheit bedeutet Daten vor Zugriffen Dritter schützen © TCI Rechtsanwälte 2014 5 6.
II. ANWENDBARE RECHTSVORSCHRIFTEN © TCI Rechtsanwälte 2014 6 7.
Anwendbare Rechtsvorschriften • Internationale Vorschriften (Auswahl) • Basel II-Abkommen: • Gesamtheit der Eigenkapitalvorschriften, die vom Basler Ausschuss für Bankenaufsicht in den letzten Jahren vorgeschlagen wurden. • Regeln müssen gemäß den EU Richtlinien 2006/48/EG und 2006/49/EG seit dem 1. Januar 2007 in den Mitgliedsstaaten der EU für alle Kredit- und Finanzdienstleistungsinstitute angewendet werden. • In Deutschland Umsetzung durch Kreditwesengesetz, Solvabilitätsverordnung und die Mindestanforderungen an das Risikomanagement (MaRisk). • Sarbanes-Oxley Act (SOX): • 2002 verabschiedet - Regelung von internen Kontrollen, die im Zusammenhang mit der Rechnungslegung stehen und Anforderungen an das interne Kontrollsystem für die Finanzberichterstattung • Solvency II: • Richtlinie des Europäischen Parlaments und des Rates betreffend die Aufnahme und Ausübung der Versicherungs- und der Rückversicherungstätigkeit • wie bei Basel II soll eine Erweiterung des Risikomanagements erreicht werden © TCI Rechtsanwälte 2014 7 8.
Anwendbare Rechtsvorschriften • Nationale Vorschriften (Auswahl) • Kreditwesengesetz • Gesetz zur Kontrolle und Transparenz im Unternehmensbereich • GoBS, GDPdU • Bundesdatenschutzgesetz • Telekommunikationsgesetz • Strafgesetzbuch • Versicherungsvertragsgesetz • Verwaltungsvorschriften, Verwaltungshandeln • Richtlinien und Standards • Allg. zivilrechtliche Verpflichtungen (z.B. aus Verträgen mit Kunden, aus Versicherungsverträgen, Deliktische Haftung gegenüber Dritten) © TCI Rechtsanwälte 2014 8 9.
III. WER HAFTET? © TCI Rechtsanwälte 2014 9 10.
Grundsätze der Haftung • Grundsatz: Haftung für Vorsatz und Fahrlässigkeit • Bei Delegation an Dienstleister: Verpflichtung zur sorgfältigen Auswahl und Beaufsichtigung • ggf. muss beim mangelnder eigener Fachkunde ein externer Berater für die Auswahl und Aufsicht herangezogen werden • interne Beauftragte müssen mit ausreichenden sachlichen und personellen Kapazitäten ausgestattet sein • bei externe Beauftragten muss sich die Geschäftsleitung von solchen Kapazitäten sorgfältig überzeugen • Beauftragter muss mit allen notwendigen Informationen versorgt © TCI Rechtsanwälte 2014 10 werden 11.
Haftung des Unternehmens • Haftung des Unternehmens für Ordnungswidrigkeiten • Bußgeld- und Strafvorschriften (z.B. aus dem BDSG, © TCI Rechtsanwälte 2014 11 UrhG, StGB) • Geldstrafen bis zu 1 Million Euro • Schadensersatzansprüche gegen das Unternehmen • § 823 BGB: Eigentumsschäden durch Datenverlust, • Störung des Gewerbebetriebs Dritter • Schädigung der IT-Infrastruktur Dritter • Z.B. durch Versand von Viren, DOS-Attacken/Spam-Versand durch Unternehmensrechner • Bei Verschulden Schadensersatz (z.B. für Datenverlust, Mehraufwand etc.) 12.
Haftung des Unternehmens • Auch ohne Verschulden Unterlassungsansprüche Dritter • Weitere Folgen: • Verweigerung des Bestätigungsvermerks durch © TCI Rechtsanwälte 2014 12 Wirtschaftsprüfer • Ratingprobleme (Basel II)  Bessere IT > Besseres Rating > Weniger Eigenkapitalbedarf > günstigerer Kredit • Verlust des Versicherungsschutzes  Versicherer knüpfen den Schutz an Beachtung von Obliegenheitspflichten • Abmahnung wegen Wettbewerbsverstoß • Imageschaden bei Datenschutzverstößen 13.
Haftung des Unternehmens Veröffentlich am 12.10.2012 in Welt und Frankfurter Rundschau Kosten der Veröffentlichung ca. 25.000 – 30.000 € Imageschaden XXX € © TCI Rechtsanwälte 2014 13 14.
Haftung der Geschäftsleitung • Mitglieder der Geschäftsführung (§ 43 GmbHG / § 93 Abs. 2 AktG) • Sorgfaltspflichten • Leitungspflichten • Vermögensbetreuungspflicht • Überwachungspflichten • Pflicht zur ordnungsgemäßen Geschäftsführung • Unternehmerische Entscheidungen im Kernbereich • Selbst und höchstpersönlich • Delegation nur teilweise möglich • Jeder Kaufmann hat bei der Führung seiner Handelsbücher und der Aufbewahrung seiner Unterlagen in elektronischer Form die Sicherung der IT-Systeme zu gewährleisten (§§ 239, 261 HGB) © TCI Rechtsanwälte 2014 14 15.
Haftung von Mitarbeitern • EDV-Leiter / Administrator • Persönliche Haftung aus: • Arbeitsvertrag - Gesteigerte vertragliche Pflicht zur Wahrung von Sicherheitsinteressen • „Delikt“ (§ 823 BGB) • Strafrecht • BDSG (Bayern: Bußgeld wegen offenem E-Mail-Verteiler) • Schadensersatzhaftung • Bei leichter Fahrlässigkeit: Keine Haftung • Bei mittlerer Fahrlässigkeit: Quotale Schadensteilung • Bei grober Fahrlässigkeit und Vorsatz: In der Regel volle Haftung; anders u.U. bei groben Missverhältnis zwischen Verdienst und Schaden © TCI Rechtsanwälte 2014 15 16.
IV. PRAXISBEISPIELE © TCI Rechtsanwälte 2014 16 17.
Praxisbeispiele • Interne Ermittlungen führen zu Datenschutzverstößen • Einsichtnahme und Auswertung von Mitarbeiter E-Mails • IT-Forensische Untersuchungen / Screenings • Information der Betroffenen • Regelungen zum Zugriff auf relevante Daten • Ist Einbindung des Datenschutzbeauftragten sichergestellt • Vernichtung von Ermittlungsergebnissen • Rechtslage bei Cloud-Lösungen • Mitarbeiter lässt Notebook im Zug liegen • „Stromsparmaßnahmen“ sorgen für Abschaltung des Stroms im © TCI Rechtsanwälte 2014 17 Serverraum • Sekretärin soll tägliche Datensicherung manuell vornehmen. Sie sichert nur „ab und zu“, da ja „nie etwas passiert“. • Mitarbeiter nutzen Dropbox / Geschäftsführung nutzt Evernote 18.
Geschafft… noch Fragen? Rechtsanwalt Stephan Schmidt Fachanwalt für Informationstechnologierecht TCI Rechtsanwälte Isaac-Fulda-Allee 5 D-55124 Mainz Telefon: +49 - (0) 6131 - 302 90 460 Telefax: +49 - (0) 6131 - 302 90 466 E-Mail: sschmidt@tcilaw.de Internet: www.tcilaw.de © TCI Rechtsanwälte Mainz 2014 18 Empfohlen
Google Analytics und Co. datenschutzkonform umsetzen