Source: https://www.tuev-sued.de/akademie-de/seminare-management/datenschutz/datenschutz-fachportal
Timestamp: 2018-06-24 16:25:13
Document Index: 25641669

Matched Legal Cases: ['Art. 24', 'Art. 17', 'Art. 5', 'Art. 30', 'Art. 83', 'Art. 82', 'Art. 82', '§ 28', '§ 22', 'Art. 89', 'Art. 16', '§ 29', '§ 26', '§ 32', '§4', '§ 26', '§ 22', '§ 26', '§ 26', '§ 27', 'Art. 22', '§ 27', 'Art. 89', 'Art. 15', 'Art. 6', '§ 4']

Datenschutz-Fachportal | TÜV SÜD GRUPPE | TÜV SÜD Akademie
Sorgen Sie für mehr Effizienz in Ihrem Datenschutzmanagement!
Das neue Datenschutz-Fachportal – Profitieren Sie von umfangreichen Fachwissen und Expertentipps für die Praxis
Das Must-Have für Datenschützer –
Service wird bei der TÜV SÜD Akademie groß geschrieben. Deshalb bieten wir Ihnen nun mit unserem neuen Datenschutz-Fachportal eine wertvolle Quelle, um in puncto Datenschutz stetig Zugriff auf aktuelle Informationen zu erhalten.
Alles zu EU-DSGVO/BDSG neu
Datenschutz-Blog der Redaktion zu einschlägigen Fragestellungen
3 Monate kostenloser Zugang zum Portal
Jahresabo zum reduzierten Preis von 290 Euro (statt 390 Euro) – zzgl. MwSt
Mal ehrlich: Wer hat schon am 26. Mai 2016, dem Tag, als die neue europäische Datenschutzverordnung in Kraft getreten ist, sofort mit Maßnahmen begonnen? Jetzt, zwei Jahre später, ist sie anzuwenden und für alle Unternehmen und Organisationen, also auch KMU, Handwerker, Vereine, Personengesellschaften oder Selbstständige zu einer echten Herausforderung geworden. Denn es gilt, neue Rechte und besonders Pflichten in den Geschäftsalltag einfließen zu lassen.
Unternehmen, die dies auf die leichte Schulter nehmen, müssen mit hohen Strafen und deutlich mehr Kontrollen rechnen als bisher. Vor allem ist ab sofort das aktive Nachfragen von Privatpersonen wahrscheinlich, die genau wissen wollen, wie mit ihren personenbezogenen Daten verfahren wird.
Zustimmungen müssen eingeholt werden
Mit der DSGVO soll endlich mehr Datensicherheit erreicht werden und zwar in harmonisierten Abläufen, die für jeden Bürger Europas gelten. Wichtige Bestandteile der neuen DSGVO sind unter anderem verschärfte Verbraucherrechte wie das Recht auf Information, das Recht auf Pseudonymisierung, das Recht auf Vergessenwerden und ein besserer Schutz der Daten bei der Übertragung an Dritte.
Verarbeiten Unternehmen personenbezogene Daten, müssen sie die nachweisliche Einwilligung der Betroffenen einholen. Dazu wird das sogenannte Opt-In-Verfahren angewendet und zusätzlich müssen die Unternehmen den Betroffenen einräumen, diese Zustimmung jederzeit auch wieder zurücknehmen zu können. Zudem werden die Meldepflichten bei Datenlecks ganz deutlich geregelt, somit kann niemand mehr straffrei monatelang vertuschen, wenn Kundendaten versehentlich veröffentlicht werden und in falsche Hände geraten. Immerhin drohen in Extremfällen Strafzahlungen von bis zu 20 Millionen Euro pro Fall.
WhatsApp nur noch privat nutzen!
Unternehmen, in denen die Mitarbeiter regelmäßig WhatsApp zur internen oder externen Kommunikation nutzen, sollten dies tunlichst einstellen. Denn die WhatsApp-Nutzung widerspricht in vielerlei Hinsicht den Grundsätzen der DSGVO.
Sollte etwa ein Handwerker von seinem Handy Baustellenfotos an den Architekten, an den Bauherren oder andere Handwerker versenden, wird bei der Nutzung von WhatsApp das vollständige Adressverzeichnis mit allen dort gespeicherten Kontakten inklusive Telefonnummern, E-Mails, Adressen und Geburtstagen an WhatsApp und damit gleichzeitig auch an Facebook übermittelt. Was genau dort mit den Daten weiter geschieht und in welche dunklen Kanäle sie wandern, kann lediglich gemutmaßt werden.
Eines steht jedoch fest: Mit den Rechten und Pflichten der Datenschutzgrundverordnung ist dieses WhatsApp-Prozedere keineswegs kompatibel.
Besonders US-Unternehmen nehmen es mit Datenschutz nicht sehr genau
Ein weiterer Aspekt bei WhatsApp ist die technische Tatsache, dass der Handwerker – selbst wenn er das wollte – bei seinen Kontakten eine Zustimmung für die Weitergabe der Daten an Facebook gar nicht einholen könnte – denn das geschieht mit oder ohne Einwilligung sowieso. Das ist schlicht und ergreifend ein Grundprinzip des beliebten Dienstes, die Daten permanent an das große Schwesterunternehmen weiterzugeben.
Darüber hinaus spricht die DSGVO auch ein eindeutiges Verbot aus, personenbezogene Daten außerhalb der EU weiterzugeben. Erschwerend kommt hinzu, dass Pseudonymisierung, Datenportabilität und das Recht auf Vergessenwerden – alles ebenfalls Bestandteile der neuen Bestimmungen – in den USA und auch in anderen Staaten keinerlei rechtliche Auswirkungen haben.
Fazit: WhatsApp besser nicht geschäftlich einsetzen
Also: Finger weg von WhatsApp im Business! Wer die Geschwindigkeit eines klassischen Messenger-Dienstes nicht missen möchte, findet im Internet zahlreiche Alternativanbieter europäischen Ursprungs, die eine ähnliche Funktionalität bieten und dabei trotzdem der DSGVO und ihren Vorschriften entsprechen.
Wer jetzt also die DSGVO in der eigenen Firma umsetzt, der sollte sich gleich auch für den privaten Bereich eine WhatsApp-Alternative herunterladen, mit denen man als User dann stets auf der sicheren Seite ist – und mit der man ebenso schnell kommunizieren kann, ohne die Rechte von fremden Nutzern systematisch zu missachten.
Die neue Datenschutzgrundverordnung (DSGVO) ist nun in Kraft getreten. Wie kritisch sich das gerade für kleine Unternehmen auswirken könnte, wird an der verschärften Rechenschaftspflicht und damit verbundenen Dokumentationspflicht spürbar. Wie Sie in Zukunft datenschutzkonform beispielsweise Lösch- und Speicherprozesse dokumentieren können – das zeigen wir Ihnen!
Eine gewissenhafte Dokumentationspflicht sollte nicht unterschätzt werden
Durch die DSGVO werden persönliche Daten nun umfangreicher denn je geschützt. Dabei werden die Prinzipien Datenvermeidung und Datensparsamkeit fortlaufend berücksichtigt: Das heißt, dass nur die Daten gesammelt werden, die wirklich relevant sind. Und damit diese Prinzipien auch für Behörden nachprüfbar eingehalten werden, tritt mit der Dokumentationspflicht auch die Beweislastumkehr ein. Jeder Verantwortliche (also Sie als Datenverarbeiter), muss die Einhaltung der DSGVO-Regeln nachweisen können, um einer Haftung zu entgehen. Setzen Sie sich mit den Vorgaben der DSGVO daher unbedingt nachhaltig auseinander!
Die Uhr tickt – bald wird die DSGVO zum essenziellen datenschutzrechtlichen Pfeiler für jede Organisation. Ob und wie ein Unternehmer Daten verwendet, ist nun mit einer weitläufigen Rechenschaftspflicht verbunden. Gesichert werden soll es durch eine umfangreiche Dokumentationspflicht, die bestenfalls bereits vor dem Eintreten der DSGVO eingeführt und umgesetzt werden sollte.
Die Dokumentationspflichten finden sich in der gesamten DSGVO und sind in vereinzelten Vorgaben geregelt. Das kann sich für den Datenschutz-Einsteiger durchaus unübersichtlich darstellen. Unverzichtbar hingegen ist ein Blick auf die Regelungen für Dokumentationen im Hinblick auf Speichern und Löschen von Daten.
Das Verarbeitungsverzeichnis:Datenspeicherung dokumentieren um Rechenschaft abliefern zu können
Die DSGVO trennt internen oder externen Daten nicht: Sobald personenbezogene Daten (auch von Mitarbeitern) gespeichert werden, unterliegen Sie der Einhaltung der datenschutzrechtlichen Maxime. Eine einfache Excel-Tabelle die auflistet, welche Daten Sie genau speichern und eventuell an Auftragsverarbeiter weiterleiten, kann bereits ausreichen. Denken Sie daran, dass Sie gemäß Art. 24 DSGVO verpflichtet sind geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit der personenbezogenen Daten zu gewährleisten.
Dokumentieren Sie daher im Detail wo die Daten gespeichert werden und welche Maßnahmen Sie zum Schutz ergreifen. Dafür erstellen Sie ein Verzeichnis für Verarbeitungstätigkeiten, in denen Sie auch hinterlegen ob und ja, welche Einwilligungen zur Datenverarbeitung vorliegen und an wen die Daten übertragen werden. Ein Muster für Handwerksbetriebe hat der Zentralverband des Deutschen Handwerks (ZDH) erstellt: https://www.zdh.de/fachbereiche/organisation-und-recht/datenschutz/datenschutz-fuer-handwerksbetriebe/
Schriftliche Einwilligung nicht zwingend erforderlich
Ein wichtiges Recht der Betroffenen ist die erforderliche Einwilligung des Datenverarbeiters. Die Einwilligung eines Kunden oder Nutzers zur Speicherung und Verarbeitung von Daten muss nach der DSGVO genau für den verfolgten Zweck (beispielsweise zur Weitergabe an einen Auftragsverarbeiter) erteilt werden. Ändert sich dieser Zweck, dann muss auch eine neue Einwilligung gegeben werden.
Definieren Sie also vorab welche Daten sie erfassen und zu welchem Zweck. Ein Protokoll darüber erleichtert den etwaigen späteren Nachweis gegenüber Behörden. Die Einwilligung kann auch durch schlüssiges Verhalten des Kunden gegeben werden, auf der sicheren Seite sind Sie aber, wenn Sie sich alles schriftlich geben lassen und im Verarbeitungsverzeichnis dokumentieren. Aber keine Panik: Es existieren, beispielsweise für den Online-Bereich, durchaus Ausnahmen von der Einwilligungspflicht. Holen Sie sich hierzu Rat von Experten und prüfen Sie, ob Ihr Unternehmen betroffen ist.
Herausforderung: Vergessenwerden als Recht?
Jede Person, deren Daten Sie verarbeiten, hat das Recht auf Auskunft darüber. Diesem Begehren müssen Sie binnen eines Monats nachkommen. Dazu gehören auch unter anderem Informationen zu dem Verarbeitungszweck und über das Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde. Mit einem soliden Verarbeitungsverzeichnis können Sie diesem Auskunftsbegehren zügig nachkommen. Schwieriger hingegen gestaltet sich das neue „Recht aufs Vergessenwerden“. Das bedeutet vor allem, dass Sie sicherstellen müssen, dass bei Inanspruchnahme des Rechts auf Löschung gem. Art. 17 DSGVO jede Stelle an die Sie die Daten geschickt haben, über die Löschung informiert wird.
Keine Sorge: Sie müssen darüber keinen expliziten Nachweis führen, hilfreich ist aber ein Löschkonzept, indem Sie festlegen wie lange bestimmte Daten gespeichert werden. Sind Sie sich unsicher, wie lange Sie Daten speichern dürfen, dann fragen Sie sich: Wie lange benötigen Sie die Daten? Gibt es eine aktive Kundenbeziehung, beziehungsweise ist der Mitarbeiter noch bei Ihnen beschäftigt? Je detaillierter Ihr Löschkonzept, desto sicherer können Sie sein, dass Ihr Datenschutzkonzept auf sicheren Füßen steht.
Datenverarbeitung neu konzipieren Ein Verarbeitungsverzeichnis, welches Speicher- und Löschprozesse dokumentiert ist immens wichtig und sollte bereits vor Inkraftreten der DSGVO eingerichtet werden. Speichern Sie eine Fülle von Daten? Dann kann Ihnen der Rat eines Experten dabei helfen, die für Sie relevanten Regelungen in der DSGVO zu finden. Sensibilisieren Sie sich und Ihr Unternehmen für das neue Gesetz und sichern sie sich effektiv gegen den Ernstfall ab
Facebook unter schwerem Beschuss durch Datenskandal „Cambridge Analytica“
Facebook-Boss Mark Zuckerberg wird vor das Europaparlament zitiert und muss sich so auch vor dieser Kammer rechtfertigen, wie zuvor schon vor dem US-Senat. Der Datenmissbrauch bei Facebook schlägt also weiter hohe Wellen. Wir nehmen das zum Anlass, noch einmal Revue passieren zu lassen, was in den letzten Wochen alles geschehen war.
87 Millionen Geschädigte durch großangelegten Datenmissbrauch
Die Öffentlichkeit erfuhr gegen Ende März davon, dass personenbezogene Daten zwischen Facebook und der Datenanlysefirma Cambridge Analytica in großem Stil und gegen jedes Recht geteilt worden waren.Ursprünglich gingen die Entdecker von 50 Millionen Datensätzen aus, dann war von 87 Millionen die Rede. Offenbar waren vor allem US-Bürger betroffen, aber auch in Duetschland wurden 300.000 Fälle aktenkundlich. Dieser „Datenklau“ durch Cambridge Analytica hatte nach bisherigen Untersuchungen das Ziel, Wahlen in Amerika und Großbritannien zu beeinflussen.
Versprechen von mehr Transparenz seitens Facebook
Fast schon beschämend mutet die Tatsache an, dass Facebook seine Datenschutzbedingungen zugunsten von mehr Transparenz änderte, noch bevor das Unternmehmen das Ausmaß des Skandals einräumte. Augenscheinlich seien die Informationen über die Datensammlung durch Facebook mit den neuen Bedingungen deutlicher und es würden keinen zusätzlichen Daten mehr gesammelt, wenngleich die Datenverarbeitung selbst sich aber nicht ändere. Damit greift Facebook allerdings vor allem der neuen EU-Datenschutzgrundverordnung vor, deren Regularien Zuckerberg in höchsten Tönen lobt. Eine Reaktion auf den Datenschutz-Skandal sind diese Maßnahmen also keineswegs.
Zweifelhafte Umfrage-Apps machten die Daten zugänglich
Facebook informierte in den ersten Apriltagen die geschädigten User über einen vermutlichen Missbrauch derer personenbezogenen Daten. Dem folgte eine reichweitenstarke Kampagne mit Anzeigen, in der Zuckerberg selbst entschuldigende Worte in Umlauf brachte: „Wir haben die Verantwortung, Ihre Daten zu schützen – und wenn wir dies nicht können, verdienen wir es nicht, Ihnen zu dienen.“
Derweil werden immer skurrilere Details über die Verwendungsmöglichkeiten der abgezapften Daten bekannt. Brittany Kaiser, die ehemalige Managerin von Cambridge Analytica teilte dem britischen Parlament Mitte April mit, dass wohl von weit mehr als den bislang geschätzten 87 Millionen Usern Daten genutzt wurden. Bis dahin war angenommen worden, Cambridge Analytica hätte alle fraglichen Nutzerdaten über die Facebook-App „This Is Your Digital Life“ erhalten, einem Persönlichkeitstest des britisch-russischen Prof. Aleksandr Kogan. Diese App enthielt einschlägige Datensätze und Fragebögen. Kaisers erklärte nun, dass ihre Ex-Firma auch andere solcher Umfrage-Apps genutzt habe, etwa die Facebook-App „Sex Compass“.Es steht zu vermuten, dass die Entdeckung von Facebooks peinlichem Datenleck einem Stich ins Wespennest gleichkommt und noch ungeahnte Entdeckungen ans Licht kommen werden.
Facebook-Abstinenz als Reaktion vieler Unternehmen
Allen voran war es Elon Musk, der gefeierte Visionär und Autobauer, der seine Company-Facebookseiten abschalten ließ – und es folgten viele weitere Industrielle diesem Beispiel. Mozilla kündigte an, vorerst Facebook-Werbung zu stornieren, bis die Datenschutzprobleme beseitigt seien. Auch der Lautsprecher Anbieter Sonos unterbrach zumindest für eine Woche seine Facebook-Werbung.
Enorme Werbewirksamkeit durch riesige Datenmenge
Mancher könnte mutmaßen, es sei doch eben der ureigenste Unternehmenszweck von Facebook, Daten zu sammeln und weiterzugeben. Dem ist allerdings aus rechtlicher Sicht keineswegs so. Die riesigen Datenmengen von Facebook sind ein wertvoller Wissensschatz für alle Unternehmen, die wissen wollen, welche Vorlieben und Wünsche Konsumenten auf der ganzen Welt haben. Kein anderes Unternehmen kann seinen Werbekunden so gezielt eine so große Zahl potenzieller Interessenten für diverse Produkte und Dienstleistungen bereitstellen wie Facebook. Daher ist auch die Mitgliedschaft per se kostenlos.
Würde Facebook jedoch Daten weiterverkaufen, würde der Konzern entgegen seinen eigenen Interessen handeln. Im aktuellen Fall könnte man daher von einer Veruntreuung von Nutzerdaten sprechen, deren Sammlung wiederum auf der Zusicherung des Netzwerks beruht, die Nutzung von Facebook für den User zu verbessern. Insofern hat Facebook keinen Datenhandel betrieben, sondern zuerst einmal grob fahrlässig gehandelt. Darin liegt die Verantwortung dieses globalen Netzwerks.
Vor dem Senat konnte Zuckerberg punkten. Als Zuckerberg am 10. Und 11. April vor dem US_Senat Rede und Antwort stehen musste, überraschte er viele Beobachter – waren doch die meisten davon ausgegangen, dass er bei diesem Auftritt mächtig Federn lassen würde. Denn in diesen Anhörungen sind ja bekanntlich zahlreiche Wirtschaftsgrößen bereits fulminant gescheitert.
Hingegen trat der 33-jährige Zuckerberg, der oft als linkisch, scheu und emotionslos beschrieben wird, dem Gremium gut vorbereitet und wortgewandt gegenüber. Das muss ihm umso leichter gefallen sein als sich abzeichnete, dass einige Senatoren von der neuen digitalen Welt nicht viel zu verstehen scheinen. „Womit verdient Facebook sein Geld? Mit Werbung, Senator.“ war ein typischer Dialog, in dessen Verlauf der Facebook-Gründer sich zumindest gefühlt ein wenig aus der Affäre ziehen konnte. In Erinnerung werden Sätze wie dieser bleiben: "Ich habe Facebook gestartet, ich leite es, und ich bin verantwortlich für das, was hier passiert.“
Es bleibt abzuwarten, welche Konsequenzen dieser Datenskandal für die Zukunft von Facebook haben wird. Schon bescheinigen viele Beobachter dem Netzwerk einen beginnenden Niedergang.
Im Büro privat ins Internet – Arbeitgeber dürfen den Verlauf im Browser des Mitarbeiters checken
Die meisten Arbeitgeber sind nicht besonders restriktiv, was einen kurzen privaten Abstecher ihrer Mitarbeiter ins Internet angeht. Eine schnelle Recherche, der Blick aufs Wetter oder ein kurzer Nachrichten-Check im Infoportal – das kostet in der Regel nicht allzu viel Zeit, aber der Mitarbeiter bleibt so mit der Außenwelt verbunden und ist besser motiviert. Was aber, wenn ein Angestellter es mit seinen privaten Online-Sessions übertreibt?
Das Landesarbeitgericht Berlin-Brandenburg hat einen Fall verhandelt, bei dem ein Arbeitnehmer etwa eine ganze Woche pro Monat auf privater Internet-Pirsch war. Das zog die Kündigung nach sich, wobei das Gericht die Rechtmäßigkeit der Feststellung des Kündigungssachverhalts untersuchte.
Ist eine Privatnutzung des Internets „erheblich“, kann dies eine Kündigung rechtfertigen
Durch die Aufmerksamkeit anderer bekam ein Unternehmer davon Wind, dass sein Angestellter fortwährend privat im Internet gesurft hat. Der alarmierte Chef ging diesen Hinweisen nach und ließ den Browserverlauf des Mitarbeiter-PCs auswerten. Dabei stellte er eine private Internetnutzung seines Angestellten von rund 5 Tagen über einen Zeitraum von 30 Tagen fest. Das Ergebnis: eine Kündigung aus wichtigem Grund.
Der Arbeitnehmer zog vor Gericht den Kürzeren
Der Arbeitnehmer sah keinen Grund zur Klage und pochte auf sein Recht, dass man ihm den Browser-Verlauf-Check vorher hätte ankündigen und er zustimmen müssen. Das Gericht folgte dieser Argumentation nicht. Es sieht die Entscheidung des Arbeitgebers für rechtswirksam an: Nach Abwägung der beiderseitigen Interessen rechtfertige eine unerlaubte Nutzung des Internets die sofortige Auflösung des Arbeitsverhältnisses. Eine Zustimmung des Arbeitsnehmers für die Feststellung des Kündigungssachverhalts muss dazu nicht vorliegen.
Speicherung und Auswertung des Browserverlaufs auch ohne Einwilligung rechtens
Das Urteil zeigt einen interessanten Aspekt in Sachen Datenschutz auf. Die Richter des Landesarbeitsgericht machten kein Beweisverwertungsverbot zu Lasten des Arbeitgebers aus. Obwohl hier personenbezogene Daten im Spiel waren, zu deren Überprüfung der Arbeitnehmer keine Einwilligung gegeben hatte, sei deren Verwertung dennoch statthaft.
Das Gericht verweist auf das Bundesdatenschutzgesetz. Dieses erlaubt eine Speicherung und Auswertung personenbezogener Daten des Browserverlaufs auch ohne Einwilligung. Überdies habe der Arbeitgeber in dem vorliegenden Fall gar keine andere Möglichkeit gehabt, die zeitlich signifikant überzogene, unerlaubte Nutzung des Internets zu Privatzwecken korrekt nachzuweisen.
Job ist Job – Freizeit ist Freizeit
Auffällig ist an dem Urteil, dass eine äußerst großzügige Auslegung des Bundesdatenschutzgesetzes vorgenommen wurde mit einer eindeutigen Aussage: Die Richter sahen die Wahrung der privaten Sphäre und privater Daten zugunsten klarer Einsichtnahme durch den Arbeitgeber als aufgehoben an – mit dem Ziel, einen Missbrauch eben dieser privaten Obliegenheiten im Arbeitsalltag nachzuweisen.
Welche Folgen hat eine Nichtumsetzung der DSGVO für Unternehmen?
Die Karten werden neu gemischt: Am 25. Mai 2018 tritt die EU-Datenschutzgrundverordnung (DSGVO) in Kraft und können mit empfindlichen Geldbußen für Datenschutzverstöße einhergehen. Besonders brisant: Die mit der neuen Rechenschaftspflicht zusammenhängende Beweislastumkehr kann für verantwortliche Unternehmen zu Schadensersatzforderungen führen.
Die neuen Richtlinien zur Rechenschaftspflicht
Auch wenn sich die Vorschriften für Datenschutzverstöße im alten Datenschutzrecht eher bedeckt gehalten haben, heißt das noch lange nicht, dass dies mit der DSGVO ebenso sein muss. Das genaue Gegenteil könnte bald Realität werden! Mit der Gesetzesnovelle wird eine völlig neue Rechenschaftspflicht eingeführt, die besonders kleine und mittelständische Unternehmen herausfordern wird. Der Art. 5 DSGVO bringt es mit wenigen Worten auf den Punkt: Der (für die Daten) Verantwortliche muss die Einhaltung der Datenschutzgesetze nachweisen können. Und zwar nicht nur gegenüber Behörden, sondern insbesondere gegenüber dem Dateninhaber – also in den meisten Fällen dem Kunden. Aber nicht nur das: Die Missachtung von Datenschutzregeln kann sogar zu wegen Wettbewerbswidrigkeit durch Mitbewerber verfolgt werden.
Der Unternehmer muss Rechenschaft ablegen, ob datenschutzkonform gehandelt wird
Wer Daten in unzureichender Weise verarbeitet oder auf anderem Wege gegen die DSGVO verstößt, kann sich also flächendeckend schadensersatzpflichtig machen. Experten glauben, dass diese Neuerung im deutschen Recht dazu führen kann, dass Unternehmen bei Datenschutzverstößen zukünftig tiefer in die Tasche greifen werden müssen. Das erhöhte Risiko liegt vor allem in der Art, wie ein Unternehmer sich aus der Haftung rausnehmen könnte – nämlich fast überhaupt nicht. Aufgrund der Rechenschaftspflicht liegt die Beweislast neuerdings beim Unternehmer. Er muss nachweisen, dass er datenschutzkonform gehandelt hat und dabei alle seine datenverarbeitenden Prozesse offenlegen. Je genauer und nachvollziehbarer dokumentiert, desto höher die Chancen, dass eine Exkulpation (Entlastung) möglich ist.
Folgende Prozesse sollten Sie daher einer kritischen Prüfung unterziehen:
Wie werden Daten gespeichert und vor unberechtigten Zugriff geschützt, haben sie technische und organisatorische Maßnahmen zum Datenschutz getroffen?
Haben Sie ein Verzeichnis mit Verarbeitungstätigkeiten erstellt (Art. 30 DSGVO), beziehungsweise betrifft Sie diese Regelung?
Sind Sie in der Lage Datenpannen kurzfristig zu bemerken und innerhalb von 72 Stunden an die zuständigen Behörden zu melden?
Nahezu kein Limit bei Höhe des Schadensersatzes
Die gesetzliche Grundlage für die Schadensersatzforderung bestimmt der Art. 83 DSGVO. Darin werden Bußgelder bis zu 4 % des gesamten Umsatzes vorgesehen. Diese Gelder fließen an die Behörden, die den Datenschutzverstoß feststellen und ahnden.
Anders verhält es sich mit dem Schadensersatz, der ist dafür da, einen materiellen oder immateriellen Schaden einer Person zu kompensieren, die vom Datenschutzverstoß betroffen ist, das regelt Art. 82 DSGVO. Dafür sieht der Gesetzgeber, anders als bei den Bußgeldern, keine Begrenzung vor. Interessant dabei ist, dass die Erwägungsgründe der Datenschutzverordnung deutlich machen, dass dem ein weiter Schadensbegriff zugrunde gelegt wird. Nicht nur geldwerte Schäden können geltend gemacht werden, auch so genannte immaterielle Schäden fallen darunter. Darunter kann man wohl den „Verlust der Kontrolle“ über seine Daten fassen. Ebenso unklar wie der Begriff, sind auch die Größen der Geldsummen, die hier von Unternehmen gefordert werden könnten.
Erhöhtes Risiko für Auftragsverarbeiter
Der Anspruch auf Schadensersatz kann sich nach neuer Gesetzeslage nicht nur gegen den Unternehmer, sondern auch gegen den Auftragsverarbeiter richten. Was bedeutet das für Sie? Empfangen, speichern und verarbeiten Sie eventuell Daten für ein anderes Unternehmen – zum Beispiel Lohnbuchhaltung oder Textaufträge? Dann sind sie de facto ein Auftragsverarbeiter und haften schlimmstenfalls gesamtschuldnerisch mit dem Unternehmer.
Haben Sie selber gegen eine Pflicht aus dem Auftragsverarbeitungsvertrag verstoßen, oder wird diese Verletzung auch nur vermutet, dann kann Art. 82 DSGVO den Anspruch des Klägers ebenfalls nur gegen Sie richten. Auch hier gilt das Prinzip der Beweislastumkehr: Der Auftragsverarbeiter muss sich entlasten können. Sichern Sie daher nicht nur ihr datenverarbeitenden Prozesse ab, sondern achten Sie auch auf eine korrekte Formulierung Ihrer Auftragsverarbeitungsverträge.
Fazit: Lieber mehr, als weniger
Die Beweislastumkehr für Unternehmer und Auftragsverarbeiter kann aufgrund der neu geregelten Bußgeld- und Schadensersatzforderung zu einer echten Hürde werden. Lassen Sie es nicht drauf ankommen und sichern Sie Ihr Unternehmen in jedem Falle datenschutzrechtlich ab. Mit transparenten Prozessen und einer cleveren Dokumentation wird die neue DSGVO für Sie kein Problem mehr darstellen.
Datenverarbeitung für Archivzwecke im öffentlichen Interesse: Das ist neu
Im Mai 2017 wurde der Gesetzesentwurf des Bundesdatenschutzgesetzes (BDSG-neu) vom Bundesrat genehmigt. Das vorherige BDSG musste im Zuge der 2018 in Kraft tretenden EU-DSGVO überarbeitet werden, wodurch sich einige Änderungen und Neuerungen ergeben. Wir stellen Ihnen in diesem Beitrag kurz die Änderungen bezüglich der Datenverarbeitung für Archivzwecke vor.
Das BDSG-neu regelt zwei verschiedene Bereiche. Einerseits füllt es für den nichtöffentlichen Bereich die in der DSGVO offengelassenen Spezifizierungsklauseln nach den dortigen Rahmenvorgaben aus. Es ergänzt damit punktuell die Vorschriften der DSGVO um spezielle Ausführungsregelungen. Darüber hinaus setzt das BDSG-neu die Rahmenrichtlinie (EU) 2016/680 in nationales Recht um.
Heute stellen wir Ihnen die wichtigsten Ergänzungen für die die Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken vor.
Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken (§ 28 BDSG-neu)
Besondere Kategorien von personenbezogenen Daten dürfen verarbeitet werden, wenn sie für im öffentlichen Interesse liegenden Archivzwecke erforderlich sind. Der Verantwortliche hat in diesen Fällen angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Personen im Sinne von § 22 Abs. 2 BDSG-neu einzurichten.
Auch hier hat der Gesetzgeber im Rahmen des Art. 89 Abs. 3 DSGVO die Rechte der Betroffenen eingeschränkt. So entfällt das Recht auf Auskunft vollständig, wenn der Betroffene im Archivgut nicht namentlich aufgeführt ist oder keine Angaben gemacht werden, mit denen die Daten mit einem vertretbaren Aufwand aufzufinden wäre.
Auch das Recht auf Berichtigung gem. Art. 16 DSGVO besteht nicht, wenn die personenbezogenen Daten zu Archivzwecken im öffentlichen Interesse verarbeitet werden. Bestreitet aber die betroffene Person die Richtigkeit der personenbezogenen Daten, muss es möglich sein, eine Gegendarstellung einzureichen. Diese ist dann entsprechend den Unterlagen hinzuzufügen.
Informationspflicht und Auskunftsrecht – die Rechte der Betroffenen im BDSG-neu
Die DSGVO der EU bringt ab Mai 2018 erhebliche Änderungen im Datenschutz mit sich. Auf nationaler Ebene befasst sich der Gesetzgeber bereits seit einiger Zeit mit der neuen Verordnung und hat ergänzend dazu das Bundesdatenschutzgesetz (BDSG) überarbeitet. Das BDSG-neu wird zeitgleich mit der DSVGO wirksam. Was bedeutet dies für die Rechte der Betroffenen?
Die DSGVO überlässt den Mitgliedsstaaten einigen Spielraum, bestimmte Sachverhalte konkreter zu regeln oder Vorgaben auf nationaler Ebene einzuschränken. In Bezug auf die Informationspflicht und dem Auskunftsrecht nutzt der deutsche Gesetzgeber dies und spezifiziert den Inhalt der Verordnung.
Geänderte Informationspflicht und Auskunftsrecht – wie wirkt sich dies auf die Rechte der Betroffenen aus?
Die Informationspflichten und die Auskunftsrechte werden an verschiedenen Stellen durch das BDSG-neu eingeschränkt. Gemäß § 29 Abs. 1 BDSG-neu besteht keine Informations-, Auskunfts- oder Benachrichtigungspflicht, wenn dadurch Informationen publik würden, die gemäß ihrem Wesen geheim gehalten werden müssen. Das trifft vor allem dann zu, wenn sonst berechtige Interessen einer dritten Partei verletzt würden.
Auch bei einer Datenerhebung vom Betroffenen besteht unter Umständen keine Informationspflicht. So existiert beispielsweise keine Informationspflicht, wenn dies die Weiterverarbeitung analog gespeicherter Daten betrifft, bei der sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an die betroffene Person wendet.
Keine Informationspflicht besteht, wenn der Zweck mit dem ursprünglichen Erhebungszweck gemäß den Vorschriften der DSGVO vereinbar ist. Das gilt auch dann, wenn die Kommunikation mit der betroffenen Person nicht in digitaler Form erfolgt und das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls als gering anzusehen ist. Zusätzlich kommt es in diesem Fall auf den Zusammenhang an, in dem die Daten generiert wurden.
Auch wenn personenbezogene Daten von einer anderen Stelle erhoben worden sind, besteht unter Umständen keine Informationspflicht. Beeinträchtigt sie beispielsweise die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche, existiert keine Informationspflicht. Außerdem darf die erteilte Information keine Daten aus zivilrechtlichen Verträgen beinhalten und der Verhütung von Schäden durch Straftaten dient, sofern nicht das Interesse der betroffenen Person an der Information überwiegt.
Das Recht auf Auskunft der betroffenen Person gemäß Artikel 15 DSGVO besteht ebenfalls nicht, wenn die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger oder vertraglicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen.
Genauso gibt es keine Informationspflicht, wenn die Daten ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen. Erfordert die Auskunftserteilung einen unverhältnismäßigen Aufwand und ist eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen, gibt es ebenfalls keine Auskunft.
Die Gründe der Auskunftsverweigerung sind zu dokumentieren. Die Ablehnung der Auskunftserteilung ist gegenüber der betroffenen Person zu begründen, soweit nicht durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde.
Unterbleibt eine Information der betroffenen Person nach Maßgabe dieser Vorschrift, ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person. Dazu gehört auch der Bereitstellung der in Artikel 14 Absatz 1 und 2 DSGVO genannten Informationen für die Öffentlichkeit, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Der Verantwortliche hat zu dokumentieren, aus welchen Gründen er von einer Information abgesehen hat.
Sind Sie bereits mit den neuen Regelungen des BDSG-neu und der DSGVO vertraut? In unserem Blog informieren wir Sie laufend über aktuelle Entwicklungen und versorgen Sie mit Hintergrundwissen.
Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses: Das sollte man wissen
Im Jahr 2017 hat der Bundesrat dem vom Bundestag beschlossenen Gesetzesentwurf des Bundesdatenschutzgesetzes (BDSG-neu) zur Einführung der DSGVO zugestimmt. Nach der Unterzeichnung des Gesetzes und der Veröffentlichung im Bundesgesetzblatt tritt dieses Gesetz in Kraft und kann zeitgleich mit der DSGVO wirksam werden. Heute betrachten wir die Neuerungen und Zusätze bei der Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses.
Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses (§ 26 BDSG-neu)
Der Datenschutz im Beschäftigungsverhältnis ist in ähnlicher Weise wie bisher schon in § 32 BDSG geregelt. Nach wie vor dürfen personenbezogene Daten von Beschäftigten verarbeitet werden, wenn dies relevant dafür ist, ob eine Person angestellt wird oder das Arbeitsverhältnis beendet werden soll.
Ausdrücklich wird jetzt auch auf die Verarbeitung von Beschäftigtendaten zur Ausübung oder Erfüllung der Rechte und Pflichten der Interessenvertretungen Bezug genommen. Diese können sich aus einem Gesetz oder einem Tarifvertrag oder auch einer Betriebsvereinbarung ergeben. Allerdings ändert sich dadurch nichts an den Rechten oder den bisherigen Verarbeitungsbefugnissen. Bisher umfasste der §4 Abs.1 BDSG dem Bundesrecht nachrangige Rechtsvorschriften, normative Teile von Tarifverträgen und Betriebsvereinbarungen. Auch die Regelungen zur Verarbeitung von Beschäftigtendaten zur Aufdeckung von Straftaten bleiben unverändert.
Die Probleme im Zusammenhang mit Einwilligungen im Beschäftigungsverhältnis werden in § 26 Abs. 2 BDSG-neu aufgegriffen und im Sinne der bisher schon herausgearbeiteten Grundsätze geregelt. Hat die beschäftigte Person in die Verarbeitung ihrer Daten eingewilligt, so muss geprüft werden, ob diese Einwilligung freiwillig und ohne Druck zustande gekommen ist. Wenn die beschäftigte Person einen rechtlichen oder wirtschaftlichen Vorteil erreicht oder Arbeitgeber und Arbeitnehmer die gleichen Interessen verfolgen, ist die Zustimmung wahrscheinlich freiwillig erfolgt.
Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Arbeitgeber verpflichtet sich, die beschäftigte Person schriftlich über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht aufzuklären. Dies gilt auch für die Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten. Die Einwilligung muss sich dabei ausdrücklich auf diese Daten beziehen. Der Verantwortliche hat in diesen Fällen angemessene und spezifische Maßnahmen zur Interessenwahrung der betroffenen Personen im Sinne von § 22 Abs. 2 BDSG-neu einzurichten.
§ 26 Abs. 3 und 4 BDSG-neu regeln die Verarbeitung von besonderen Datenarten für Zwecke des Beschäftigungsverhältnisses. Danach ist die Verarbeitung dieser Daten zulässig, wenn so rechtliche Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und dem Sozialschutz erfüllt werden können und das schutzwürdige Interesse der betroffenen Person nicht überwiegt.
Die Verarbeitung personenbezogener Daten einschließlich besonderer Kategorien ist auf der Grundlage von Kollektivvereinbarungen zulässig. Dabei haben die Verhandlungspartner angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Personen einzurichten. Die Vorschriften des § 26 Abs. 1 bis 6 BDSG-neu gelten auch für Beschäftigtendaten, die nicht in einem Dateisystem gespeichert sind oder verarbeitet werden. Damit fallen auch künftig die Beschäftigtendaten in Personalakten unter den Schutz der datenschutzrechtlichen Vorschriften.
Der Begriff der Beschäftigten umfasst mit dieser Änderung nun Arbeitnehmerinnen und Arbeitnehmer, einschließlich der Leiharbeitnehmerinnen und Leiharbeitnehmer im Verhältnis zum Entleiher. Bleiben Sie mit unserem DatenschutzBLOG auf dem neuesten Stand rund um das BDSG-neu und die DSGVO – wir berichten über aktuelle Entwicklungen.
Datenverarbeitung für Forschungszwecke und Statistiken: Das hat sich geändert
Das vorherige BDSG muss im Zuge der 2018 in Kraft tretenden EU-DSGVO überarbeitet werden, wodurch sich einige Änderungen und Neuerungen ergeben. Heute stellen wir die Änderungen für die Datenverarbeitung in Forschung und Statistik vor.
Heute geht es um die Datenverarbeitung zu wissenschaftlichen, historischen Forschungszwecken oder statistischen Zwecken.
Datenverarbeitung in Forschung und Statistik: Das ändert sich im BDSG-neu
Besondere Kategorien von personenbezogenen Daten dürfen gem. § 27 Abs. 1 Satz 1 BDSG-neu auch ohne Einwilligung der Betroffenen für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke verarbeitet werden. Voraussetzung ist, dass die Verarbeitung für diese Zwecke erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen.
Zusätzlich muss der Verantwortliche angemessene und spezifische technische und organisatorische Maßnahmen im Sinne von Art. 22 Abs. 2 BDSG-neu zur Wahrung der Interessen der Betroffenen einrichten.
§ 27 Abs. 2 BDSG-neu konkretisiert Art. 89 Abs. 2 DSGVO und schränkt die Rechte der Betroffenen nach den Art. 15, 16, 18 und 21 DSGVO ein. Das gilt dann, wenn die Ausübung dieser Rechte die Verwirklichung der Forschungs- oder Statistikzwecke unmöglich machen oder ernsthaft beeinträchtigen würde und die Beschränkung für die Erfüllung der Forschungs- und Statistikzwecke notwendig ist.
Bei einer Verarbeitung der Daten für wissenschaftliche Forschung entfällt das Recht auf Auskunft auch dann, wenn die Auskunftserteilung einen unverhältnismäßigen Aufwand verursachen würde.
Vertiefen Sie Ihre Kenntnisse im Rahmen eines kostenfreien Webinars
Ab dem 25. Mai 2018 findet die Datenschutz-Grundverordnung (DSGVO) nach zweijähriger Übergangszeit in allen EU-Mitgliedsstaaten Anwendung. Damit ändern sich auch die Regelungen für die Verarbeitung personenbezogener Daten – doch was bedeutet das für Sie als Cloud-Nutzer? Woran können Sie erkennen, ob ein Anbieter oder Dienst die Anforderungen der DSGVO erfüllt? Und wann gilt ein Cloud-Dienst eigentlich als DSGVO-konform?
Die Grundsätze für die Verarbeitung personenbezogener Daten sind besonders in Artikel 5, Absatz 1 der DSGVO geregelt; weitere Anforderungen finden sich unter anderen in den Artikeln 25, 28 und 32.
Die wichtigsten Grundsätze der DSGVO – in Bezug auf Cloud-Dienste – sind:
Die Verarbeitung von personenbezogenen Daten in der Cloud ist nur dann rechtmäßig, wenn die Betroffenen dieser zugestimmt haben oder wenn eine andere Rechtsgrundlage (vgl. DSGVO Art. 6) besteht.
Die Daten sind auf eine Weise zu verarbeiten, die eine angemessene Sicherheit der Daten gewährleistet. Das schließt u.a. Schutz vor unrechtmäßiger Verarbeitung, Verlust oder Schädigung mit ein.
Bei der Datenverarbeitung muss eine genügend hohe Sicherheit gewährleistet sein. Der Gesetzgeber verlangt hier, dass sich das Sicherheitsniveau am „Stand der Technik“ orientiert.
Beim Cloud-Computing erteilt der Nutzer dem Anbieter den Auftrag, die Daten zu verarbeiten. Dies wird mit einer Vereinbarung zur Auftragsverarbeitung abgesichert.
Der Cloud-Nutzer ist für die Einhaltung aller genannten Anforderungen verantwortlich und muss diese bereits im Vorhinein nachweisen können (Rechenschaftspflicht).
Was genau diese Grundsätze bedeuten und wie rechtswirksame Datenschutz-Zertifikate als Nachweiserleichterung herangezogen werden können, um die Einhaltung dieser Forderungen zu belegen, erklärte Cloud-Security-Experte und Uniscon-CTO Dr. Hubert Jäger am 13. April 2018 in einem kostenfreien Webinar. Darüber hinaus zeigte Jäger, wie Cloud-Nutzer mit iDGARD DSGVO-konform Daten austauschen, speichern und verarbeiten können.
Interessenten können sich hier kostenlos eine Aufzeichnung des Webinars ansehen.
Neue Regelungen für den Datenschutz – Auswirkungen des Zusatz zur Videoüberwachung öffentlich zugänglicher Räume
Welche Auswirkung hat der Zusatz zur Videoüberwachung öffentlich zugänglicher Räume? Schützen Sie Ihre Daten vor Hackerangriffen
Noch im Jahr 2017 hat der Bundesrat dem vom Bundestag beschlossenen Gesetzesentwurf des Bundesdatenschutzgesetzes (BDSG-neu) zur Einführung der DSGVO zugestimmt. Nach der Unterzeichnung des Gesetzes und der Veröffentlichung im Bundesgesetzblatt tritt dieses Gesetz in Kraft und kann zeitgleich mit der DSGVO wirksam werden.
In diesem Artikel erläutern wir Ihnen die Ergänzungen zu den Regelungen der DSGVO, welche die Videoüberwachung öffentlich zugänglicher Räume betreffen.
Videoüberwachung im BDSG-neu: Im Großen und Ganzen wie bisher
Die Videoüberwachung öffentlich zugänglicher Räume ist in gleicher Weise wie bisher geregelt. Es betrifft die Videoüberwachung zur Aufgabenerfüllung öffentlicher Stellen, zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke.
Ergänzend wird in § 4 Abs. 1 Satz 2 BDSG-neu ausdrücklich klargestellt, dass bei der Videoüberwachung von öffentlich zugänglichen großflächigen Anlagen der Schutz von Leben, Gesundheit oder Freiheit von sich dort aufhaltenden Personen als ein besonders wichtiges Interesse gilt. Im Fokus dieses Zusatzes stehen vor allem Veranstaltungsstätten, Einkaufszentren oder Parkplätze, Fahrzeuge und öffentlich zugängliche Gebäude wie Bahnhöfe, Schiffs- und Busterminals.
Dies verleiht dem Einsatz von Videoüberwachungssystemen mehr Gewicht. Dies ist bei der Abwägung gegen das Recht der Betroffenen auf den Schutz ihres Persönlichkeitsrechts zu berücksichtigen.
Wie bisher ist die Videoüberwachung etwa durch geeignete Schilder erkennbar zu machen. Die Aufzeichnungen sind zweckgebunden und die Betroffenen müssen bei einer Zuordnung zu ihrer Person über die Verarbeitung unterrichtet werden. Wenn die Aufzeichnungen nicht mehr erforderlich sind, um den ursprünglichen Zweck zu erreichen, müssen die Daten gelöscht werden.
Schützen Sie Ihre Daten vor Hackerangriffen
Marc Goodmans UPDATE-Protokoll für Datensicherheit im Internet
Im Internet ist Datendiebstahl an der Tagesordnung. Ans Licht kommen große Coups – wenn überhaupt – in der Regel erst viel später. Lagern Unternehmen Nutzerdaten schlecht oder (wie im Jahr 2011 bei Sony) völlig unverschlüsselt auf ihren Servern, kann das geradezu eine Einladung an Hacker sein, sich Zugang zu verschaffen. Die Folgen sind Millionen Geschädigte – und ein fast irreparabler Imageschaden für das Unternehmen.
Nicht nur sensiblen Kundendaten fallen mit Trojanern bewaffneten Hackern zum Opfer, auch wichtige interne Unterlagen oder hochgeheime Dokumente können auf diese Art entwendet werden. So hat die Beschaffung der Panama Papers wohl kaum auf legalem Wege stattgefunden, selbst wenn ihre Veröffentlichung im Sinne der Öffentlichkeit ist und der Gerechtigkeit dient.
Wie sieht nun der beste Schutz gegen Hackerangriffe aus dem Internet aus? Unter dem griffigen Akronym UPDATE hat der US-amerikanische Datensicherheitsexperte Marc Goodman einige einfach zu befolgende Handlungsanweisungen zusammengestellt, die sich an private Anwender und Unternehmen gleichermaßen richten. Dabei steht jeder Buchstabe des Begriffs UPDATE für eine Maßnahme zur Absicherung gegen Eindringlinge.
Sorgen Sie dafür, dass Ihre Software auf Computer und Smartphone immer auf dem neuesten Stand ist! Updates werden nicht nur durchgeführt, um neue Features und Verbesserungen unter die Nutzer zu bringen, sondern auch, um Sicherheitslücken zu schließen. Aus diesem Grund birgt die Verwendung veralteter Software ein erhebliches Gefahrenpotenzial. Apps oder Programme, die Sie nicht oder nicht mehr nutzen, löschen Sie am besten.
P wie Passwort
Bis heute ist die größte Hürde für den Hacker im Kampf um Ihre Daten Ihr Passwort. Deshalb sollten Sie dasselbe Passwort nicht für unterschiedliche Anwendungen und Websites verwenden. Machen Sie es dem Dieb nicht leicht, indem er durch ein einziges Passwort, das in falsche Hände geraten ist, Zugang zu all Ihren Accounts erhält – besonders nicht bei Profilen, für die Zahlungsdaten hinterlegt sind, wie beispielsweise eBay, Amazon und PayPal.
Glücklicherweise ist heute nicht mehr entscheidend, dass Passwörter aus möglichst kryptischen und schwer memorierbaren Kombinationen von Buchstaben, Zahlen und Sonderzeichen bestehen! Den besten Schutz vor der Entschlüsselung durch Unbefugte bietet derzeit die Länge des Passworts.
Zur Illustration: Der Satz „Sollen drei Drohnen auf bohnengrünen Thronen wohnen?“ könnte folgendermaßen als Passwort genutzt werden: „Sollen3DrohnenAufBohnengrünenThronenWohnen?“
In diesem Beispiel sind verschiedene wichtige Sicherheitselemente wie Groß- und Kleinschreibung, Zahlen und Sonderzeichen enthalten. Das Passwort ist außerdem sehr lang. Je nach Verwendungszweck lassen sich nun Farbe, Anzahl, Tierart oder Wohnort abändern. So kann für jede Website auf einfache Art ein eigenes, schwer zu knackendes Passwort generiert werden.
Verfügen Sie über eine Vielzahl solcher Passwörter, ist es am einfachsten, zur Verwaltung einen Passwortmanager zu benutzen.
Verzichten Sie bei Websites und Anbietern, denen Sie nicht uneingeschränkt vertrauen, auf den Download von Inhalten, Apps oder Programmen. Besondere Vorsicht ist bei Drittanbietern geboten. Laden Sie nichts herunter, wenn Sie von der Vertrauenswürdigkeit der Quelle nicht vollkommen überzeugt sind. Wann immer möglich, gehen Sie zum Download von Software oder Apps direkt auf die Website des Entwicklers oder in den offiziellen App Store bzw. Play Store, da die Angebote dieser Händler sorgfältig überwacht werden.
Seien Sie wachsam bei Gratissoftware, die eigentlich nicht kostenlos angeboten werden kann – vielfach bezahlen Sie dafür mit Ihren persönlichen Daten. Kontrollieren Sie daher genau, welche Freigabeeinstellungen eine heruntergeladene App fordert!
A wie Administrator
Für die Installation von Programmen auf Ihrem Computer verfügen Sie nur dann über die erforderlichen Rechte, wenn Sie als Administrator angemeldet sind. Damit sich Malware und Viren nicht unkontrolliert auf Ihrem Rechner einnisten können, sollten Sie – auch wenn Sie der einzige Nutzer Ihres PCs oder Laptops sind – zusätzlich zum Administratorkonto ein Standardkonto mit eingeschränkten Rechten anlegen, über das Sie im Alltag arbeiten. Sollte dann ein Virus den Weg auf Ihren Computer finden, wird es ihm sehr viel schwerer fallen, Ihren PC zu infizieren, da dem Benutzerprofil, das Sie täglich nutzen, die Rechte für riskante Operationen fehlen.
T wie Turn-off (Abschalten)
Die meisten elektronischen Geräte werden heute nicht mehr abgeschaltet, sondern nur in den Standby-Zustand versetzt. Für den Nutzer hat das Vorteile, doch für potenzielle Angreifer leider auch: Geräte, die rund um die Uhr online sind, bieten ein permanentes Angriffsziel. Deaktivieren Sie also zumindest die WLAN-Verbindung oder fahren Sie Ihren PC komplett herunter, um das Risiko eines Hackerangriffs zu reduzieren.
Dies gilt auch für Smartphones, auf die Sie zumindest während der Nachtstunden oft problemlos verzichten können. Kommt ein völliges Ausschalten für Sie nicht in Frage, deaktivieren Sie zumindest alle nicht unmittelbar benötigten Verbindungsoptionen wie Bluetooth, GPS, NFC, mobile Hotspots und WLAN, über die sich Hacker Zugang verschaffen könnten. Darüber hinaus gehen aktive Verbindungen mit einem hohen Energieverbrauch einher, sodass Sie durch die Abschaltung Ihren Akku schonen.
E wie Encryption (Verschlüsselung)
Schafft es ein Virus oder gar ein Hacker trotz all dieser Vorsichtsmaßnahmen bis auf Ihren Computer, rettet Ihre Daten nur noch eine konsequente Verschlüsselung. Mit Bitlocker bzw. Filevault bieten sowohl Windows (nur in der Professional-Version) als auch Apple kostenlose, bereits vorinstallierte Verschlüsselungstools für die komplette Festplatte an. Dann sind Infektionen mit Malware oder Hackerangriffe zwar immer noch ärgerlich, da sie auf eine Sicherheitslücke schließen lassen, aber wenigstens können dabei keine sensiblen privaten oder betrieblichen Daten abhandenkommen.
Beim Surfen mit einem Laptop in öffentlichen Netzwerken, beispielsweise über frei zugängliche WLAN-Hotspots an Flughäfen und Bahnhöfen, werden oft ohne Wissen des Benutzers sensible Daten abgegriffen. Installieren Sie in solchen Fällen eine verlässliche VPN-Software zur Absicherung Ihrer Daten.
Private Nutzung von Telekommunikationssystemen am Arbeitsplatz
Was zu beachten ist, wenn der Arbeitgeber die Nutzung von E-Mail, Internet und Telefon am Arbeitsplatz für private Zwecke genehmigt oder duldet
Datenschutz auf dem Weg in die Cloud
Klärungsbedarf vor der Einführung von Cloud Computing in Unternehmen
Vor der Implementierung von Cloud Computing in einem Unternehmen herrscht an unterschiedlichen Fronten Klärungsbedarf. Nicht nur, dass eine Vielzahl komplexer Herausforderungen bewältigt werden muss: Zu Beginn solcher Überlegungen fällt es oft schwer, überhaupt erst die richtigen Fragen zu stellen. Aus diesem Grund beschäftigen wir uns heute mit den zwei wichtigsten Aspekten aus datenschutzrechtlicher Sicht.
Schutzbedarf in Bezug auf eigene Daten definieren
Vor der Speicherung und Verarbeitung personenbezogener und sonstiger Unternehmensdaten in einer Cloud muss Klarheit über die Bedeutung dieser Daten für den Betrieb und die Betroffenen geschaffen werden. Je sensibler bzw. geschäftskritischer diese Daten sind, desto strenger die rechtlichen und sicherheitstechnischen Anforderungen an eine Cloud-Lösung. In Bezug auf besonders kritische Daten kann etwa die Entscheidung getroffen werden, aus Sicherheitsgründen auf die Bereitstellung in der Cloud zu verzichten und diese Daten ausschließlich vor Ort im Netzwerk des Unternehmens zu speichern.
Vor der Migration von Unternehmensdaten in eine Cloud muss der Schutzbedarf hinsichtlich der Daten genau definiert und spezifiziert werden. Mögliche Abstufungen zu diesem Zweck können „intern“, „vertraulich“ oder „streng vertraulich“ sein. Eine Klassifizierung ist aber auch mit Blick auf die erforderliche Verfügbarkeit und Integrität der Daten denkbar.
Bei der Beurteilung des Schutzbedarfs sind auch Unternehmensspezifika wie Spionage- und Sabotagerisiken oder die potenzielle Gefahr eines Zugriffs durch ausländische Behörden zu berücksichtigen. Sobald der benötigte Grad an Informationssicherheit geklärt ist, kann eine Spezifikation von rechtlichen, technischen und organisatorischen Anforderungen an die Cloud-Lösung erfolgen. In einem nächsten Schritt beurteilt der Datenschutzbeauftragte in Zusammenarbeit mit den IT-Verantwortlichen, ob die vom Cloud-Anbieter erfüllten Schutzstandards den Spezifikationen entsprechen und die Speicherung und Verarbeitung der Unternehmensdaten in der Cloud daher aus datenschutzrechtlicher und sicherheitstechnischer Sicht vertretbar und zulässig ist.
Standort und Sicherheitsniveau von Cloud-Anbietern als wichtigstes Auswahlkriterium
Vor der Entscheidung für einen Anbieter muss hinterfragt werden, ob der wirtschaftliche Anbieter und der technische Betreiber der Cloud identisch sind. Dies, ebenso wie der Firmensitz des Cloud-Betreibers und der Ort der physischen Speicherung und Verarbeitung der Daten, ist verbindlich abzuklären. Festzulegen ist auch, ob der Anbieter berechtigt ist, den Ort der Datenverarbeitung während des Vertragsverhältnisses – beispielsweise durch die Verlagerung von Rechnerkapazitäten – zu verlegen.
Wird diese Möglichkeit nicht grundsätzlich ausgeschlossen, muss der Vertrag vorsehen, dass der Kunde frühzeitig über Veränderungen dieser Art in Kenntnis gesetzt wird, um bei Bedarf gegensteuern zu können.
Viele Cloud-Betreiber gewährleisten, dass die Speicherung und Verarbeitung von personenbezogenen Daten innerhalb der EU erfolgt. Hierfür sollte bei Bedarf eine ausdrückliche schriftliche Zusicherung verlangt werden. Bei Standorten außerhalb der EU empfiehlt sich die Einforderung zusätzlicher Garantien – beispielsweise durch den Abschluss eines Vertrags, der sich an den in der EU üblichen Regelungen orientiert.
Ihr zusätzlicher Vorteil als DSB-TÜV Teilnehmer:
iDGARD – der versiegelte Cloud-Dienst aus Deutschland für digitalen Datenaustausch und virtuelle Datenräume. Profitieren Sie von einer 30-tägigen kostenlosen Testphase (endet automatisch ohne Abmeldung) und 10 % Rabatt auf alle iDGARD Pakete bei einer Onlinebuchung auf www.idgard.de!
iDGARD ist ein Onlinespeicher für Dokumente, über den Daten bequem ausgetauscht und synchronisiert werden können. Der Zugriff erfolgt per Browser oder App. Auch die Integration in Windows und MS Office ist möglich.
Als Produkt von Uniscon, einem Unternehmen der TÜV SÜD Gruppe, erfüllt iDGARD die Anforderungen der EU-Datenschutzgrundverordnung und entspricht der höchsten Schutzklasse für Cloud-Dienste. Damit ist diese Lösung sogar für den Einsatz durch Berufsgeheimnisträger wie Kliniken und Kanzleien tauglich und unterstützt unterschiedlichste Anwendungsfälle in Projektarbeit und Dateitransfer.
Mehr Informationen finden Sie unter www.idgard.de
weitere Leistungen zum externen Datenschutzbeauftragten