Source: https://uwe-kernchen.de/netdesign/start/?c=datenschutz
Timestamp: 2020-03-29 06:29:28
Document Index: 290188676

Matched Legal Cases: ['§ 24', '§ 24', '§ 161', 'Art. 13', 'Art.28', 'Art. 28', 'Art. 35']

Datenschutz | NetDesign Bianka Kernchen
Vereinte Nationen wurden 2019 gehackt
Die Vereinten Nationen wurden im Juli 2019 mit EMOTET gehackt.
Möglich wurde das, weil nicht gepatcht worden war.
Im Bericht steht laut dem verlinkten Artikel, dass der Angriff mit einem einfachen Patch zur Behebung eines Softwarefehlers hätte vermieden werden können.
Der Hack war sehr ausgefeilt und wird staatsnahen Gruppen zugeschrieben.
Unter den dutzenden kompromittierten UN-Servern waren auch Systeme in den Menschenrechtsbüros und der Personalabteilung. Dabei wurden auch Administratorkonten übernommen, so ein vertraulicher UN-Bericht, der New Humanitarian vorliegt. Der Hack ist einer der größten, der jemals in der UN bekannt wurde.
Beim Hack wurden Personaldaten, die Krankenversicherungsdaten von Mitarbeitern und die Daten von Handelsverträgen kompromittiert. Die Mitarbeiter wurden gebeten, ihre Passwörter zu ändern, aber niemand informierte sie über den Hack.
Und dann wollte man das alles unter der Decke halten.
Das kam durch Zufall ans Tageslicht, weil Journalisten von The New Humanitarian bei einer Recherche auf einen vertraulichen Bericht stießen, der den Hack beschrieb.
Aufgrund der diplomatischen Immunität ist die UNO nicht verpflichtet, den Hack öffentlich zu machen oder die Betroffenen zu benachrichtigen.
Quelle: Borncity, BleepingComputer
Beratung, Schulung, Dokumentation
Cybercrime der Polizeien für Wirtschaftsunternehmen
Es kommt vor dass die Polizei mit einem Auskunftsersuchen Unternehmen dazu auffordert, personenbezogene Daten ihrer Kunden hinsichtlich der Ermittlung in einer bestimmten Strafsache preiszugeben.
Hierbei handelt es sich um eine Datenweitergabe an Dritte, die einer Rechtsgrundlage nach DSGVO bedarf.
Da die Daten in den wenigsten Fällen zum Zwecke der Übermittlung an Strafverfolgungsbehörden erhoben werden, liegt außerdem eine sogenannte „Weiterverarbeitung“ vor. Mehr dazu im Artikel.
Die Strafverfolgungsbehörden müssen die Datenerhebung durch Abfrage auf eine Rechtsgrundlage stützen können.
Unternehmen sollten folgende Punkte prüfen:
den Zweck der Verarbeitung durch die Ermittlungsbehörde
die Rechtsgrundlage der Anfrage
ggf. gesetzliche Verpflichtung zur Übermittlung.
Außerdem muß die Identität des Anfragenden vor der Datenübermittlung geprüft werden.
Nach § 24 Abs.1 Nr.1 BDSG können Daten u.a. übermittelt werden, wenn sie zur Verfolgung von Straftaten erforderlich sind und die Interessen des Betroffenen an dem Ausschluss der Übermittlung nicht überwiegen.
Eine Übermittlung ist demnach nur zulässig bei Straftaten, nicht bei Ordnungswidrigkeiten.
Bei ehemaligen Mitarbeitern sind die Löschfristen der Personendaten zu beachten.
Da § 24 BDSG nur die Zulässigkeit der Übermittlung, aber keine Pflicht dazu vorsieht, sollten Unternehmen bei Behörden nach einer gesetzlichen Verpflichtung zur Übermittlung fragen (bspw. Auskunftsersuchen durch die Staatsanwaltschaft oder durch die Polizei im Auftrag der Staatsanwaltschaftm §§ 161 a Abs. 1, 163 Abs. 3 StPO).
Soll eine Übermittlung der Personendaten stattfinden, hat zunächst die Information des Betroffenen nach Art. 13 Abs. 3 DSGVO zu erfolgen.
DS Auftragsverarbeitung (AV)
Wenn andere Unternehmen Zugriff auf Ihre Personendaten haben, handelt es sich meist um Auftragsverarbeitung nach DSGVO Art.28.
Leider ist das alles andere als klar.
Charakteristisch für die Auftragsverarbeitung ist, dass ein Unternehmen (Auftraggeber) externe Dienstleister (Auftragnehmer) damit beauftragt, weisungsgebunden personenbezogene Daten zu verarbeiten.
Die bloße Möglichkeit des Datenzugriffs durch den Auftragnehmer genügt dabei schon.
Die Verantwortung für die ordnungsgemäße Datenverarbeitung verbleibt dabei beim Auftraggeber, er ist der Hauptverantwortliche für den Datenschutz.
Der externe Auftragnehmer wird bei der Auftrags(daten)verarbeitung nur unterstützend tätig.
Keine Auftragsverarbeitung liegt bei einer sogenannten Funktionsübertragung vor.
Dabei ist die genaue Abgrenzung von Auftragsverarbeitung und Funktionsübertragung nicht immer eindeutig.
Der externe Auftragnehmer/Dienstleister ist im Rahmen einer Funktionsübertragung nicht weisungsgebunden, sondern kann frei entscheiden, was mit den Daten des Unternehmens geschieht und er hat ein eigenes Interesse an den Daten des Unternehmens.
Auftragsverarbeitung muß mit einem Vertrag zur Auftragsverarbeitung entsprechend DSGVO Art. 28 geregelt werden.
Die Verantwortung für die Daten und somit auch für den Vertrag liegt beim Auftraggeber.
Der Vertrag muß alle im Gesetz definierten Punkte beinhalten, seine Existenz ist zwingend vorgeschrieben und bußgeldbewährt.
Der Vertrag muß nicht schriftlich, sondern kann auch elektronisch abgeschlossen werden.
DSK aktualisiert Liste für Datenschutz-Folgenabschätzung
Die Datenschutzkonferenz (DSK), die Gemeinschaft der deutschen Datenschutzbehörden, hat im Oktober die Liste aktualisiert, für welche Arten von Datenverarbeitungen auf jeden Fall eine Datenschutz-Folgenabschätzung durchgeführt werden sollte.
Selbst wenn keine der eigenen Verarbeitungen einem der 17 genannten Szenarien entspricht, bietet die Liste einen guten Überblick, welche Art von Verarbeitungen nach einer Datenschutz-Folgenabschätzung gemäß Art. 35. DSGVO verlangt.