Source: https://www.dsgvo-konform.at/opfer-von-cybercrime-taeter-im-datenschutz/
Timestamp: 2020-07-12 02:48:33
Document Index: 254365553

Matched Legal Cases: ['Art. 32', 'Art. 32', 'Art. 25', 'Art 24', 'Art. 6', 'Art. 12', 'Art. 25', 'Art 30', 'Art.32', 'Art.33', 'Art.34', 'Art.35', 'Art. 33', 'Art 4', 'Art 33', 'Art 34', '§22']

Opfer von Cybercrime – Täter im Datenschutz? – DSGVO konform
Opfer von Cybercrime – Täter im Datenschutz?
Gesetzt den Fall der Auftragnehmer ist schlampig, der Verantwortliche hat seine Sorgfaltspflicht nicht entsprechend wahrgenommen, und es wird in diesem Zusammenhang ein nicht verschlüsselter Notebook gewartet vom Auftragnehmer, im Rahmen einer Dienstreise im Zug entwendet, wobei mittels dort vorhandener Daten eine Malware verbreitet wird, welche bei zahlreiche Kunden erhebliche Schäden verursacht, da mittels einer missbräuchlich verwendeten dienstlichen E-Mailadresse von diesem Notebook.
Was sind die konkreten Anforderungen des Art. 32?
Art. 32 DSGVO bezieht sich auf die Sicherheit der Verarbeitung, welche auch die Auftragsverarbeiter betrifft.
Wie setzt man diese Anforderungen in der Praxis um?
Dies ist im Rahmen der Verhältnismäßigkeit und des Standes der Technik umzusetzen, einzuhalten und zu kontrollieren mittels eines risikobasierten Ansatzes.
Gut und schön. Aber woran orientiert man sich hier? Es gibt vom BSI eine downloadbare PDF Stand der Technik Ausgabe 2020 mit zahlreichen Tipps zu einzelnen technischen Themenstellungen. Maßnahmen müssen aktuell technisch realisierbar sein, es kommt dabei besonders auf die praktische Umsetzbarkeiten. Dabei gilt es den Grundsatz der Verhältnismäßigkeit zu wahren, vor allem in Bezug auf Kosten und angemessenes Schutzniveau. Wenn dabei ein risikoadäquates Schutzniveau nicht realisierbar ist, dann stellt sich die Frage ob diese Tätigkeit noch Sinn macht oder eben einzustellen ist.
Art. 25 und 32 gegen hier Empfehlungen zur Abwägung der Verhältnismäßigkeit. Dabei ist zu hinterfragen:
Wie fähig ist die Organisation die geforderten Schutzziele sicherzustellen in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit sowie Belastbarkeit?
Pflichten des Verantwortlichen Art 24 – wir sprechen in diesem Zusammenhang von einer Vielzahl von Pflichten:
Art. 6ff: Zulässigkeitsprüfung und Risikoabschätzung
Art. 12ff: Informationspflichten und Betroffenenrechte
Art. 25: Privacy by Design und by Default
Art 30: Verarbeitungsverezeichnis
Art.32: Sicherheit der Verarbeitung
Art.33, Art.34: Data Breach Notification Duty
Art.35: Datenschutzfolgenabschätzung (bei hohem Risiko vor der Verarbeitung)
Hier gilt der Grundsatz der Eigenverantwortung und Haftung des Verantwortlichen. Dies bei Anwendung eines risikobasierten Ansatzes und der Rechenschafts und Nachweispflicht. Über geeignete technisch organisatorische Maßnahmen hat der Verantwortliche sicherzustellen, und dabei den Nachweis der Konformität der DSGVO in Bezug auf die Verabeitung zu erbringen.
Meldepflichten – Data Breach Notification Duty nach Art. 33:
Datenschutzverletzung (Verletzung des Schutzers pbD) „Eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.“ (Art 4 Z 12 DSGVO)
Meldung von Datenschutzverletzungen an die Datenschutzbehörde nach Art 33 DSGVO. Wenn die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Unverzüglich, möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde (Verzögerungen sind zu begründen)
Meldung an die betroffene(n) Person(en) nach Art 34 DSGVO „unverzüglich“, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat, es sei denn:
Die Daten sind durch Sicherheitsvorkehrungen (wie z.B. Verschlüsselung) geschützt
Nachträgliche Maßnahmen getroffen, sodass hohes Risiko aller Wahrscheinlichkeit nach nicht mehr besteht
Unverhältnismäßiger Aufwand; in diesem Fall: öffentliche Bekanntmachung o.ä.
§22. (1) Die Datenschutzbehörde kann vom Verantwortlichen oder Auftragsverarbeiter der überprüften Datenverarbeitung insbesondere alle notwendigen Aufklärungen verlangen und Einschau in Datenverarbeitungen und diesbezügliche Unterlagen begehren. Der Verantwortliche oder Auftragsverarbeiter hat die notwendige Unterstützung zu leisten. Die Kontrolltätigkeit ist unter möglichster Schonung der Rechte des Verantwortlichen oder des Auftragsverarbeiters und Dritter auszuüben.
Die DSB hat eine Amtswegige Prüfkompetenz
Es hat mehrere Ursachen für welche der Verantwortliche hätte sorgen müssen:
Der betroffene Mitarbeiter hat die Richtlinie für den Transport von externen Geräten (Notebook) nicht eingehalten.
Vermutlich war auch das Passwort nicht ausreichend, sowie vermutlich auch Kundendaten auf der lokalen Festplatte befindlich.
Der Notebook war zudem nicht verschlüsselt. – Die interne Aufsichtspflicht war nicht ausreichend um das zu verhindern, bzw. ein eventueller externer Auftragswverarbeiter hat hier nicht nach Stand der Technik gearbeitet.
Es ist mit der Verbreitung von Malware für die betroffenen Personen ein erhebliches Risiko entstanden.
Eine DataBreach Meldung an die Behörde muss erfolgen ebenso wie an die betroffenen Personen.
Umgehende interne Kontroll- und Absicherungsmaßnahmen müssen umgehend erfolgen.
Eine Anlassfallbezogene Nachschulung muss rasch erfolgen um künftige ebensolche Vorfälle zu vermeiden.
Der ggf. in Frage kommende externe Dienstleister ist zu auditieren, ggf. auszuscheiden und in Anspruch zu nehmen.
Fazit: Der Verantwortliche hat es nicht leicht, aber mit Zuhilfenahme von fachlicher externer Kompetenz ist es zu schaffen. Die Datenschutz konform GmbH verfügt über kompetente Fachjuristen und mehrerer zertifizierte Datenschutzbeauftragte, welche auch als Leadauditoren nach ISO 27001über jahrelange Praxis in diesem Bereich verfügen.