Source: https://www.comdatis.de/blog.php?author=Carolin%20Huy
Timestamp: 2020-06-04 16:44:02
Document Index: 255159440

Matched Legal Cases: ['Art. 101', 'Art. 83', 'Art. 25', 'Art. 83', 'Art. 83', 'Art. 83', '§ 26', '§ 26', '§ 26', '§ 257', '§ 6', '§ 415', '§ 2', '§ 623', '§ 371', '§ 203', 'Art. 28', 'Art. 9', 'Art. 33', 'Art. 33', 'Art. 32', 'Art. 6', 'Art. 5', '§ 5', 'Art. 37', '§ 38', 'Art. 4', 'Art. 37', 'EuG']

comdatis - Blog für Digitalisierung & Compliance, Verfahrensdokumentation, Datenschutz, Informationssicherheit
einfach/mittelständisch/pragmatisch
Neue Podcastfolge: Transportsicherheit beim Austausch von Daten
In der dreizehnten Folge unseres Podcasts sprechen wir über die Transportsicherheiten beim Austausch von Informationen.
Dabei spielt das Thema der Verschlüsselung die zentrale Rolle – allerdings ist Verschlüsselung nicht gleich Verschlüsselung. Wir sprechen über die Unterschiede bei den einzelnen Formen: was eigentlich die Begriffe der Transportverschlüsselung und Inhaltsverschlüsselung voneinander abgrenzen, was es mit PGP auf sich hat und ob es wirklich so kompliziert ist. Auch welche Methoden bestehen, Dateien sicher und speicheroptimiert transportieren zu können, haben wir besprochen. Wie gewohnt haben wir dabei auch gleich einen Tipp mitgebracht, die die Sicherheit und den Datenschutz in kostenlosen Clouds verbessert.
Hier können Sie unsere Podcastfolgen abrufen.
DSGVO und die Bußgelder
Gemäß des Artikels 83 der Datenschutzgrundverordnung (DSGVO) können Geldbußen durch die Datenschutz-Aufsichtsbehörden unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes verhängt werden. Dabei sollen die Aufsichtsbehörden nach Vorgabe des europäischen Gesetzgebers sicherstellen, dass die verhängten Geldbußen verhältnismäßig und abschreckend sind.
Für Verstöße gegen einige Normen der DSGVO können bis zu 10 000 000 EUR oder bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes (des vorangegangenen Geschäftsjahrs), für schwerwiegendere Verstöße gegen Artikel der DSGVO und Paragraphen des Bundesdatenschutzgesetzes (BDSG) gar bis zu 20 000 000 EUR oder bis zu 4 % seines gesamten weltweiten Jahresumsatzes, verhängt werden. Bei der prozentualen Bemessung der Geldbuße am Jahresumsatz, richtet sich die Definition des „Unternehmens“ nach Art. 101 und 102 Vertrag über die Arbeitsweise der Europäischen Union (AEUV), Unternehmen meint demnach einen Konzern. So lassen die Datenschutz-Aufsichtsbehörden auch komplette Konzernumsätze in die Berechnung einfließen.
Der gesetzliche Höchstrahmen der Datenschutzgrundverordnung gliedert sich groß in zwei Kategorien:
Geldbuße maximal
Oder prozentual
Art. 83 Abs. 4
bis zu 10 000 000 EUR oder
bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes
Art. 25 bis 39
Art. 83 Abs. 5
bis zu 20 000 000 EUR oder
bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes
Artt. 12 bis 22
Artt. 44 bis 49
alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten (Verstöße gegen das BDSG)
Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58 Absatz 1
Spielraum der Aufsichtsbehörden
Die tatsächliche Höhe der Bußgelder richtet sich gem. Art. 83 Abs. 2 nach verschiedenen Gesichtspunkten. So spielt die Art, Schwere und Dauer des Verstoßes eine Rolle zur Bemessung der Höhe, aber auch die Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes oder z. B. der Umfang der Zusammenarbeit mit den Aufsichtsbehörden.
Bei der Entscheidung der Höhe der verhängten Geldbußen ist jede Aufsichtsbehörde in ihrer Entscheidung frei und da in der Bundesrepublik Deutschland 17 Datenschutz-Aufsichtsbehörden für juristische Personen bestehen, hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einen Bußgeldkonzept zur Harmonisierung der Bußgeldhöhe beschlossen, bis der Europäische Datenschutzausschuss (EDSA) ein eigenes europäisches Konzept veröffentlicht hat.
Dabei werden fünf Schritte bei der Bemessung angelegt:
Bestimmung der Größenklasse des Unternehmens → Unternehmensgröße nach mittlerem Jahresumsatz → Ermittlung des wirtschaftlichen Grundwerts × Faktor der Schwere der Tatumstände → Anpassung des Wert anhand täterbezogene und sonstige Umstände
Die Bestimmung der Größenklasse des Unternehmens erfolgt zunächst auf Grundlage des weltweit erzielten Vorjahresumsatz in den zwei Hauptgruppen „Kleinstunternehmen sowie kleine und mittlere Unternehmen (KMU)“ und „Großunternehmen“, die Hauptgruppe KMU ist wiederrum in die Untergruppen „Kleinstunternehmen“, „Kleine Unternehmen“ und „Mittlere Unternehmen“ kategorisiert.
Danach erfolgt die Bestimmung des mittleren Jahresumsatzes der jeweiligen Untergruppe durch den mittleren Jahresumsatz in diversen Untergruppen.
Für die Ermittlung des wirtschaftlichen Grundwertes wird der mittlere Jahresumsatz der Untergruppe, in die das Unternehmen eingeordnet wurde, durch 360 (Tage) geteilt und so ein durchschnittlicher, auf die Vorkommastelle aufgerundeter Tagessatz errechnet.
Weiter folgt anhand der konkreten tatbezogenen Umstände anhand des Schweregrads des Einzelfalls eine Einordnung des Schweregrads in die Gruppen „Leicht“, „Mittel“, „Schwer“ oder „Sehr schwer“.
Schließlich wird der Grundwert auf Grundlage der Umstände angepasst, soweit diese noch nicht berechnet wurden. Diese Umstände können zum Beispiel eine lange Verfahrensdauer oder eine drohende Zahlungsunfähigkeit des Unternehmens sein.
Vorab möchten wir darauf hinweisen, dass die hier von uns auf Grundlage des DSK-Bußgeldkonzeptes berechneten Beispiele keinerlei Anspruch auf Richtigkeit oder tatsächlicher verhängter Höhe eines Bußgeldes einer Datenschutz-Aufsichtsbehörde haben und sind als Richtfaden zu sehen.
Rechtl. Höchstrahmen
Kleines Unternehmen mit 6,25 Mio. € Umsatz, leichter Schweregrad (1) und keiner Anpassung des Grundwertes
Großunternehmen mit 150 Mio. € Umsatz, sehr schwerem Schweregrad (6) und keiner Anpassung des Grundwertes
Unterlassen der Ernennung eines DSB (Art. 83 Abs. 4 DSGVO)
bis zu 10 000 000 EUR oder bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes
2.500.002 €
Kleinstunternehmen mit 1,7 Mio. € Umsatz, leichter Schweregrad (1) und keiner Anpassung des Grundwertes
Mittleres Unternehmen mit 17,5 Mio. € Umsatz, mittlerer Schwere (4) und keiner Anpassung des Grundwertes
Fehlen von Vereinbarungen zur Auftragsverarbeitung
Kleinstunternehmen mit 350 T€ Umsatz, leichter Schweregrad (1) und keiner Anpassung des Grundwertes
Keine Dokumentation des VVT
Neue Podcastfolge: Rund um Bewerberdaten und Bewerbungen
In dieser Folge sprechen wir über den Umgang mit Bewerber- und Personaldaten.
Dabei sind einige Punkte aus Sicht des Datenschutzes zu beachten. So kann es z. B. bei einem Vorhalten bzw. einer Archivierung durch die oder den Unternehmer/in zu Problemen mit einer Löschung kommen.
In diesem Zusammenhang unterhalten wir uns auch über eine Aufbewahrung zum Zwecke der Beweisführung bei Klagen nach dem Allgemeines Gleichbehandlungsgesetz. Wenn aber dieser Zweck entfallen ist, wie ist dann eine Bewerbung eigentlich zu vernichten und wie sieht es mit Bewerbungsportalen und Zugriffsrechten von Kolleginnen und Kollegen aus?
Aber auch für Bewerber/innen haben wir etwas vorbereitet: können Bewerber/innen ihre Betroffenenrechte in Anspruch nehmen? Und müssen Bewerber/innen eigentlich über die Verarbeitung ihrer personenbezogener Daten informiert werden?
All das hören Sie in der zwölften Folge des Compliance-Podcasts.
Ist SharePoint revisionssicher?
Für den Blog der d.velop AG hat Markus Olbring einen Gastbeitrag zum Thema Revisionssicherheit SharePoint erstellt und geht der Frage nach, ob SharePoint Archivierung revisionssicher sein kann.
Weiterhin gibt er seine Einschätzung dazu ab, ob SharePoint Online revisionssichere Archivierung erlaubt.
Der Beitrag kann hier aufgerufen werden. (Externer Link zum Blog der d.velop AG)
iOS-App "Mail" mit kritischer Sicherheitslücke
Für die aktuelle und auch für ältere Version (bis iOS 6) der App "Mail" wurde eine kritische Sicherheitslücke festgestellt, die es Angreifern erlaubt anhand einer Mail das Gerät zu kompromittieren. Hierdurch wird das Lesen, Verändern und auch von Löschen von Mails durch den Angreifer möglich.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt hierzu:
- Löschen der App "Mail" oder mindestens Deaktivieren der Synchronisation
- Installation des Updates, sobald Apple dies zur Verfügung gestellt hat
Beitrag des BSI mit weiteren Informationen:
Einige Unternehmen in Deutschland führen ihre Personalakten noch stets in analoger papierbasierter Form. Dabei liegen allerdings die Mehrwerte einer digitalen Personalakte auf der Hand, wenn Maßnahmen zum Datenschutz, zur Informationssicherheit und zum „ersetzenden Scannen“ umgesetzt werden.
Der Beschäftigtendatenschutz wird in Deutschland im Bundesdatenschutzgesetz (BDSG) geregelt. Der § 26 Abs. 8 beschreibt wer im Sinne des BDSG als Beschäftigte/r gilt – darunter zählen namentlich u. A. neben Arbeitnehmer/innen, Auszubildende, Heimarbeit-Beschäftigte auch Bewerber/innen und sogar Personen deren Beschäftigungsverhältnis beendet ist. So kann gesagt werden, dass alle Personengruppen über die in der Regel in Unternehmen Personalakten geführt werden vom § 26 BDSG umfasst sind.
Die personenbezogenen Daten der obengenannten Beschäftigten dürfen laut § 26 Abs. 1 BDSG verarbeitet werden, wenn dies für die Entscheidung (also der Bewerbungsprozess), Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist. Dabei orientiert sich der Maßstab der Erforderlichkeit in erster Linie an der unternehmerischen Entscheidungsfreiheit die Zwecke des Beschäftigungsverhältnisses zu bestimmen. Dabei muss alles was zur Ausübung von Weisungsrechten eines Arbeitgebers notwendig ist und nach den Grundsätzen des Arbeitsrechts erlaubt ist, aus datenschutzrechtlicher Sicht als erforderlich eingestuft werden. (Link: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2018/03/Ratgeber-ANDS-2.-Auflage.pdf)
Es spricht also per se nichts gegen die Einführung einer digitalen Personalakte, wenn sich der/die Unternehmer/in innerhalb der Bestimmungen des Arbeitsrechts, der Datenschutzgesetze (Datenschutzgrundverordnung (DSGVO), Bundesdatenschutz (BDSG)) aufhält.
Bereits vor der Entscheidungsfindung und bei der Umsetzung einer Anwendung zur Digitalisierung von Personalakten, sind aus unserer Sicht, unter Anderem folgenden Grundsätze und Artikel der DSGVO zu beachten:
· Speicherbegrenzung gemäß Artikel 5 Abs. 1 lit. e DSGVO
· Integrität und Vertraulichkeit gemäß Artikel 5 Abs. 1 lit. f DSGVO
· Datenschutz durch Technikgestaltung gemäß Artikel 25 DSGVO
· Datenschutz durch datenschutzfreundliche Voreinstellungen gemäß Artikel 25 DSGVO
Das heißt, dass ein/e Unternehmer/in bereits vor der Auswahl eines Produktes prüfen sollte, ob diese Grundsätze und Rechtsnormen mit der Software gewahrt werden können. Z. B. ob die Software gewährleisten kann, dass die personenbezogenen Daten nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist; können z. B. Teile der Personalakte wie eine Abmahnung nach 36 Monaten gelöscht werden? Kann die/der Unternehmer/in mit der Software die Integrität und Vertraulichkeit gewährleisten, in dem er z. B. die personenbezogenen Daten vor unbefugter Verarbeitung oder Verlust schützt? Kann z. B. bei Installation der Software der Datenschutz durch Voreinstellung gewahrt werden, sodass nicht die personenbezogenen Daten einer unbestimmten Zahl von Personen zugänglich gemacht werden. Vor Einführung einer neuen Anwendung sollte die/der Verantwortliche ebenfalls die IT-Sicherheit mitdenken. Hierbei gilt u. A., dass mindestens eine Verschlüsselung (z. B. Transportverschlüsselung) und auch eine Mehr-Faktor-Authentifizierung vorhanden sein sollten.
Vor der Einführung muss auf jeden Fall der/die Datenschutzbeauftragte und, sofern vorhanden, der Betriebsrat einbezogen werden.
Die im Kapitel III der Datenschutzgrundverordnung normierten Betroffenenrechte, zum Beispiel das Recht auf Berichtigung, das Recht auf Löschung, das Recht auf Vergessenwerden, müssen im Zuge der Produktauswahl ebenfalls vom Verantwortlichen berücksichtigt und sodann bei einem Einsatz des Produktes umgesetzt werden. So hat der Betroffene der Datenverarbeitung das Recht auf Berichtigung von unrichtigen Daten, hier muss daher unseres Erachtens ein Produkt gewählt werden, dass die Änderung von Datensätzen möglich macht. Für das Recht auf Löschung sieht es ähnlich aus: hier kann der Betroffene eine unverzügliche Löschung verlangen, wenn ihre/seine personenbezogenen Daten z. B. nicht mehr für die Zwecke, für die sie erhoben oder verarbeitet wurden, notwendig sind. Hier sollte also eine digitale Personalakte etabliert werden, die auch eine Löschung möglich macht. Das Recht auf Vergessenwerden geht noch ein Stück weiter: der Verantwortliche muss von sich aus personenbezogene Daten löschen, wenn sie zum Beispiel nicht mehr für die Zwecke, für die sie erhoben oder verarbeitet wurden, notwendig sind und kann sich somit nicht darauf berufen, dass ein Betroffener kein Löschbegehren gestellt hat. Die Berichtigungen und Löschung von personenbezogenen Daten bzw. Datensätzen in digitalen Personalakten darf selbstredend aber immer nur unter bestimmten Voraussetzungen, mit Blick auf den Grundsatz der Integrität und Vertraulichkeit gemäß Artikel 5 Abs. 1 lit. f DSGVO, möglich sein, so dass kein unbeabsichtigter Verlust oder unbeabsichtigte Schädigung entsteht.
Buchhalterische Aufbewahrungspflichten
Aufbewahrungspflichten typischer Dokumente einer Personalakte sind unter anderem folgende.
Rechtsgrundlage f. d. Aufb.
Ersetzendes Scannen denkbar
36 Monate nach Erhebung
Bewerbung (außer bei Einstellung und ohne Einwilligun)
6 Jahre nach Ende Kalenderjahr d. Beschäftigungsendes
§ 257 Abs. 1 Nr. 1 und 4 HGB (Lohnsteuer)
3 Jahre nach Ende Kalenderjahr d. Beschäftigungsendes
4 Jahre n. Ablauf der AU
§ 6 AAG
Die GoBD fordern, wie schon die alten BMF-Schreiben GPDdU und GoBS, die Erstellung einer Verfahrensdokumentation.
Ersetzend Scannen
In vielen Fällen ist ein datenschutzkonformes Vernichten nach dem Scannen möglich. Es sollte bedacht werden, dass gemäß §§ 415 ff Zivilprozessordnung der sogenannte Urkundsbeweis bei einer gerichtlichen Auseinandersetzung eventuell nur durch Vorlage des Originals in Papierform geführt werden kann. Gescannte Dokumente ermöglichen lediglich den Augenscheinsbeweis.
Falls ein/e Unternehmer/in ein Verfahren vor einem Gericht mit einem Vorsitzenden befürchtet, der im Rahmen der freien Beweiswürdigung die Beweise für nicht wahr erachtet, wäre ein Verbleib der Papierdokumente die sichere Wahl.
Allerdings stellt der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien (Bitkom) klar, dass „kein Fall bekannt ist, bei dem sich die Vorlage eines archivierten Dokumentes statt eines Papieroriginals nachteilig für den Prozessbeteiligten ausgewirkt hätte.“ (Link: https://www.bitkom.org/sites/default/files/file/import/Stellungnahme-Beweiswert-Erhaltendes-Scannen.pdf, Seite 4, Abs. 2)
Abgesehen von der Tatsache dürfen auf gar keinen Fall Dokumente vernichtet werden, die zwingend der Schriftform unterliegen. Diese Originaldokumente mit Unterschrift sind in der Regel:
· Arbeitsverträge (laut § 2 NachweisG)
· Nachvertragliche Wettbewerbsverbote
· Aufhebungsverträge
· Kündigungsschreiben (laut § 623 BGB)
Eine weitere Empfehlung kann sein, dass die „Technische Richtlinie 03138 Ersetzendes Scannen“ (TR RESISCAN) einzuhalten ist. Hier werden technische Anforderungen an einen rechtssicheren Scanprozess beschrieben, die dem § 371b ZPO entsprechen sollen, im Zuge einer verbesserten Argumentation eines/r Unternehmers/in vor einem Gericht über die Beweiskraft der Dokumente, kann es auch für Unternehmer/innen zu mindestens förderlich sein die TR RESISCAN einzuhalten.
Unser Blogangebot stellt lediglich einen unverbindlichen Informationszweck und keine Rechtsberatung dar. Sie spiegelt stets nur die Meinung des Autors wider. Insofern verstehen sich alle angebotenen Informationen ohne Gewähr auf Richtigkeit und Vollständigkeit. Für eine Umsetzung ist stets im Einzelfall eine Bewertung notwendig.
Neue Podcastfolge: E-Mail-Archivierung & Mandantentrennung
Wir haben eine neue Folge unseres Podcasts veröffentlicht.
Die neue Folge und alle weiteren Folgen können hier abgerufen werden.
Neue Podcastfolge: Datenschutz und IT-Sicherheit im Home Office
Der Podcast kann hier abgerufen werden.
Home Office - Welche Regeln? Welche Cloud-Werkzeuge?
Das Home Office ist in Zeiten des Corona-Virus in aller Munde. Die praktikable Umsetzung des häuslichen Arbeitsplatzes geht auch mit der Digitalisierung einher, dabei ist die IT-Sicherheit und der Datenschutz nicht außer Acht zu lassen.
Welche Regeln sollten bei der Arbeit im Home Office beachtet werden?
Neben den bekannten Regeln und Vorgaben zur IT-Nutzung im Unternehmen gelten für die Arbeit im Home Office weitere Regeln. Hierzu zählen insbesondere:
Es gilt das Prinzip der Datensparsamkeit. Halten Sie den häuslichen Arbeitsplatz sauber („Clean-Desk“) und nehmen Sie, sofern zugelassen, nur die Unterlagen mit, die absolut notwendig sind.
Achten Sie beim Transport von Akten, Datenträgern und anderen Unterlagen auf deren Vertraulichkeit. Die Unterlagen dürfen beim Transport und am Heimarbeitsplatz nicht von jedermann offen einsehbar sein.
Falls die Mitnahme von Akten in Papierform zwingend notwendig ist und vom Unternehmen zugelassen wurde, berücksichtigen Sie bitte, dass im Unternehmen niemand mehr auf die Akten zugreifen kann. Möglicherweise ist eine Digitalisierung der Daten sinnvoller.
Die Entsorgung von Unterlagen in Papierform muss den Anforderungen des Datenschutzes genügen. In vielen Fällen ist eine Entsorgung über häuslichen Papiermüll nicht zulässig. Weiterhin müssen Dokumente, die personenbezogene Daten beinhalten oder dem üblichen Betriebs- und Geschäftsgeheimnis unterliegen, vor der Entsorgung geschreddert werden. Die Norm DIN66399 gibt hierfür Vorgaben, ein Schredder mit reinem Streifenschnitt ist nicht ausreichend.
Beachten Sie auch im Home Office die vertrauten Regeln und Vorgaben zur IT-Nutzung.
Die Arbeitsumgebung sollte den Vertraulichkeitsanforderungen der jeweiligen Tätigkeit genügen. Achten Sie also darauf, wer den Bildschirm einsehen kann. Auch das mögliche Abhören von Telefonaten (z.B. auf dem Balkon, auf der Terrasse) zählen hierzu.
Bewerten Sie, sofern zulässig, stets die Notwendigkeit etwaiger Ausdrucke. Weniger Drucken führt zu mehr Datenschutz und schont die Umwelt.
Speichern Sie Daten nicht lokal auf dem Notebook bzw. PC, sondern stets auf die Netzlaufwerke bzw. in den Anwendungen, die das Unternehmen betreibt. Nur auf diese Weise werden die Daten gesichert.
Vermeiden Sie das Speichern betrieblicher Daten auf privater Hardware (z.B. USB-Stick)
Achten Sie darauf, dass sich betriebliche und private Daten / Dokumente nicht vermischen
Leiten Sie keine geschäftlichen E-Mails auf private Postfächer weiter
Verwenden Sie ausschließlich IT-Werkzeuge / -Tools (z.B. Videokonferenzen, Chat), deren Verwendung im beruflichen Kontext zulässig und vom Unternehmen bzw. der IT-Abteilung im Unternehmen freigegeben ist
Zögern Sie nicht, sich zur Klärung von Fragen an die IT-Abteilung, den Datenschutzbeauftragten oder den Informationssicherheitsbeauftragten oder Ihren Vorgesetzten zu wenden.
Welche Werkzeuge können eingesetzt werden?
Bei der Umsetzung eines reibungslosen Dokumenten- und Datentransfers, wird die Frage aufkommen, welches Mittel eingesetzt werden soll und darf. Hierbei kann zum Beispiel mittels VPN-Tunnel auf die Infrastruktur des Unternehmens zugegriffen werden.
Allerdings kann auch ein Einsatz von Cloud-Anbietern als praktikabel angesehen werden, da die Anbieter des Öfteren auch gleich Anwendungen z. B. für Online-Meetings bereitstellen. Dabei stellt sich momentan oft die Frage eines datenschutzrechtlichen Einsatzes von Microsoft Office 365. Nach Kritik im Sommer 2019 – zum Beispiel des Hessischen Beauftragten für Datenschutz und Informationsfreiheit – hat Microsoft mittlerweile massiv in Puncto Datenschutz nachgebessert und hat sein Vertragswerk, die Online Services Terms (OST), in Kooperation mit dem niederländischen Ministerium für Justiz und Sicherheit angepasst und erweitert.
Eine Zusatzvereinbarung für Berufsgeheimnisträger i. S. d. des § 203 StGB bietet Microsoft für seine Onlinedienste ebenfalls an, sodass ein Einsatz im Bereich der Berufsgeheimnisträger dem nicht entgegensteht. Demnach ist der Dienst Office 365 auch für den Einsatz durch Steuerberater, Wirtschaftsprüfer, Rechtsanwälte und andere Berufsgruppen nutzbar.
Stets Status der Projekte in Kollaboration mit den Vorgesetzten und Kollegen im Blick zu halten, macht auch den Einsatz von Projektmanagementwerkzeugen wichtig. Dabei ist bei Anbietern, wie zum Beispiel Teamwork oder Stackfield, darauf zu achten, dass entweder eine Auftragsverarbeitungsvereinbarung, ein sogenannter Angemessenheitsbeschluss oder geeignete Garantien zur Übermittlung von personenbezogenen Daten geboten werden. Bei einigen Anbieter – wie auch bei Teamwork – können Übermittlungen bei einem Vertragsabschluss auf Servern innerhalb der EU begrenzt werden; dies ist selbstredend immer vorzuziehen. Die Lösung Stackfield wird in Deutschland gehostet.
Wir selber nutzen folgende Cloud-Dienste:
Bewertung / Kurzinformation
Die Lösung kann aus Datenschutzsicht verwendet werden. Neuerdings ist auch ein Hosting in Deutschland möglich, bislang erfolgte das Hosting für europäische Kunden in Irland und den Niederlanden. Die Lösung enthält auch SharePoint Online zur Ablage von Dokumenten und die Anwendung Teams, über die einfach Onlinemeetings abgehalten werden können. Auch die Lösung „Skype for Business“ ist enthalten. Die kostenlose Variante von Skype ist bei betrieblicher Nutzung nicht datenschutzkonform einsetzbar.
Der Abschluss einer Vereinbarung zu speziellen berufsrechtlichen Schweigepflichten ist möglich.
Placetel setzen wir bei der comdatis als Telefonanlage ein. Die Lösung ist beim Anbieter gehostet und bietet uns die Möglichkeit, unabhängig vom Ort stets über die Festnetznummer erreichbar zu sein. Ein Softphone auf dem Notebook oder eine App auf dem Smartphone sowie eine Internetverbindung genügen.
Eine Lösung der ambiFOX GmbH aus Ahaus nutzen wir für unseren E-Mail-Server. Die ambiFOX betreibt für uns seit mittlerweile 6 Jahren einen Microsoft Exchange Server.
In den letzten Wochen haben wir weiterhin viele Dienste bewertet bzw. haben Erfahrungswerte mit weiteren Diensten sammeln können. Hier eine kurze Übersicht weiterer Dienste:
xworks.365 ist ein Dienst der mediaBEAM GmbH aus Ahaus. Die Lösung bietet z.B. die Organisation von Projekten in Teamräumen, ein Onlineoffice zur gemeinsamen Bearbeitung von Dokumenten einschl. Speicherplatz und weiteren Funktionen. Dokumente können für Externe per Link freigegeben werden. Die Lösung wird in einem nach der ISO/IEC 27001 zertifizierten Rechenzentrum in Ahaus betrieben.
Zoom ist ein Anbieter einer Onlinemeeting-Lösung in den USA. Der Anbieter bietet ein „Data Processing Agreement“ (DPA) nach EU-Standardvertragsklauseln. Der Abschluss einer berufsrechtlichen Verschwiegenheitsverpflichtung (relevant z.B. für Steuerberater und Rechtsanwälte) wird leider nicht angeboten.
dox2go
Ein cloudbasiertes Dokumenten-Management-System (DMS) steht mit dox2go zur Verfügung. Anbieter der Lösung ist die Paperless Solutions GmbH aus Köln.
Ein cloudbasiertes Dokumenten-Management-System (DMS) steht mit foxdox zur Verfügung. Anbieter der Lösung ist die d.velop AG aus Gescher. Auch die Lösung d.3 der d.velop AG wird als Cloudlösung angeboten.
Stackfield ist eine in Deutschland entwickelte und gehostete Lösung zur Zusammenarbeit und Kollaboration. Neben einem Speicher für Daten, einer Chatfunktion steht eine umfangreiche Aufgabenverwaltung zur Verfügung.
AMAGNO aus Oldenburg bietet seine Dokumenten-Management-Lösung (DMS) auch als gehostete Lösung an.
Was müssen Auftragsverarbeiter zusätzlich beachten?
Vorab sollte sorgsam geprüft werden, ob personenbezogene Daten im Auftrag eines Kunden im neugeschaffenem Home Office verarbeitet werden sollen. Dabei ist wichtig, dass das Unternehmen die vereinbarten Auftragsverarbeitungsverträge (Art. 28 Abs. 3 DSGVO) auf eventuelle Pflichten zum Einsatz eines Home Offices prüft. Gegebenenfalls ist auch eine Freigabe des Auftraggebers einzuholen.
In vielen Unternehmen gibt es Richtlinien oder Betriebsvereinbarungen zum Umgang mit der IT sowie Telekommunikationstechnik. Die darin definierten Regeln gelten auch am häuslichen Arbeitsplatz.
Wir sind wie gewohnt erreichbar
Trotz der aktuell schwierigen Lage sind wir normal erreichbar. Unsere Mitarbeiter erreichen Sie, wie gewohnt, mobil und über Festnetz mit den Ihnen bekannten Kontaktdaten. Auch ein E-Mail-Kontakt ist selbstverständlich weiterhin möglich. Die Themen Home-Office und wechselnde Arbeitsplätze praktizieren wir bereits seit der Gründung der comdatis. Dadurch können wir gewährleisten, dass eine normale Erreichbarkeit über die bekannten Kommunikationskanäle möglich ist.
Die bereits geplanten Termine vor Ort bei unseren Kunden stimmen wir mit den Kunden ab und führen diese als Onlinemeeting durch. Alle Termine können deswegen wie geplant stattfinden. Zur Einwahl in ein Onlinemeeting haben wir eine kurze Anleitung erstellt, die hier abrufbar ist.
Auf der Startseite unserer Homepage www.comdatis.de haben wir ein einfaches Kontaktformular eingefügt und auch eine Anrufmöglichkeit bereitgestellt.
Datenschutz & Corona
Zum Umgang mit corona und der Zulässigkeit von besonderen Verarbeitungstätigkeiten in diesen speziellen Zeiten hat die Datenschutzkonferenz sich in der vergangenen Woche geäußert:
Beispiele für Datenschutzverletzungen
Beispiele von Datenschutzverletzungen
Bei der Bewertung von Datenschutzverletzungen gibt es einige Punkte, die zu beachten und zu bewerten sind. Dies ist in der Praxis nicht immer leicht, daher finden Sie hier eine Anleitung zur Bewertung sowie einige Beispiele der Datenschutz-Aufsichtsbehörden.
Was gilt als Datenschutzverletzung?
Eine Datenschutzverletzung liegt vor, wenn eine Verarbeitung – also z. B. eine Übermittlung oder eine Speicherung - von personenbezogenen Daten unbeabsichtigt oder unrechtmäßig
· zur Vernichtung oder
· zum Verlust oder
· zur Veränderung oder
· zur unbefugten Offenlegung bzw.
· zum unbefugten Zugang
von personenbezogenen Daten natürlicher Personen führt.
Für eine Bewertung der vorliegenden Datenschutzverletzung ist es wichtig die Auswirkungen auf die Risiken der
· Identitätsdiebstahl oder -betrug
· Finanzieller Verlust
· Rufschädigung
· Verlust der Vertraulichkeit von einem Berufsgeheimnis unterliegenden personenbezogenen Daten
· Unbefugte Aufhebung der Pseudonymisierung
· Erhebliche wirtschaftliche oder gesellschaftliche Nachteile
· Verhinderung der Betroffenenrechte
· Verhinderung der Kontrolle über eigene personenbezogene Daten
· Verarbeitung personenbezogener Daten besonderer Kategorien (Art. 9)
· Bewertung oder Prognostizierung persönlicher Aspekte (z.B. Arbeitsleitung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel)
· Verarbeitung personenbezogener Daten schutzbedürftiger natürlicher Personen (z.B. Kinder)
· Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von personenbezogenen Daten
· Unbefugter Zugang zu personenbezogenen Daten
für die betroffenen Personen zu bewerten. Dabei sind auch die gemäß Datenschutzgrundordnung besonders schützenswerte Datenarten der
· Rassische und ethnische Herkunft
· Genetische Daten
· biometrische Daten zur Identifizierung einer Person
· Daten zu Straftaten oder Ordnungswidrigkeiten
und sensible Datenarten, wie z. B.
· Bank- oder Kreditkartendaten,
· Benutzerkennungen, Passwörter oder andere Bestands- und Nutzungsdaten bei Telemedien
in die Bewertung zu integrieren.
Muss jede Datenschutzverletzung gemeldet werden?
Kann nach der Bewertung der obengenannten Punkte ausgeschlossen werden, dass die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, kann auf eine Meldung an die Datenschutz-Aufsichtsbehörde verzichtet werden. Wenn ferner die Datenschutzverletzung voraussichtlich nicht zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, so kann auch auf eine Meldung an die betroffenen Personen verzichtet werden. Die Schwelle für eine Meldung an die betroffene Person liegt somit höher als die Meldung an die Datenschutz-Aufsichtsbehörden.
Eine Meldung an die Datenschutz-Aufsichtsbehörden muss gemäß Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Sollte der Verantwortliche die Frist von 72 Stunden nicht einhalten, muss später eine Begründung dafür eingereicht werden. Wird durch den Verantwortlichen bewertet, dass auch eine Meldung an die betroffene Person erfolgen muss, so muss dies unverzüglich geschehen. Eine falsch bewertete Meldepflicht kann den Verantwortlichen ein Ordnungswidrigkeitsverfahren kosten.
Auch wenn ein Vorgang als nicht meldepflichtige Verletzungen des Schutzes personenbezogener Daten bewertet wurde, sollte der Verantwortliche stets diese Datenschutzverletzung dokumentieren und Maßnahmen für die Zukunft definieren.
Beispiele für Datenschutzverletzungen und Meldepflichten
Fallbeispiel (gekürzt)
an Behörde
Anmerkungen (gekürzt)
Gestohlener USB-Stick mit wirksam verschlüsselten Daten
Kein Art.-33-Fall aufgrund der Ver-schlüsselung. Meldepflicht besteht jedoch, wenn die Daten nicht anderweitig gesichert sind.
Mehrminütiger Stromausfall, dadurch zwischenzeitlich kein Zugriff möglich
Aber interne Dokumentation nach Art. 33 Abs. 5
Ransomware-Attacke, die Kundendaten verschlüsselt(Erpressungstrojaner)
Außer es gibt ein Backup, sodass die Daten zügig wiederhergestellt werden können.
Im Einzelfall i.d.R. nicht, bei Häufung schon
Hacker erbeuten Nutzernamen, Passwörter und Kauf-historie der Kunden eines Onlineshops
Kunden können aufgrund eines Programmierfehlers im Kundenportal fremde Kundendaten einsehen
Ja, wenn Daten abgerufen wurden
Cyber-Attacke auf Krankenhaus, dadurch für 30 Minuten kein Zugriff auf Patientendaten
Versehentliche Versendung von Schülerdaten an eine Mailingliste
Ja (bei großer Empfängerzahl oder sensiblem Inhalt, z.B. Pass-wörter)
Ja (außer nur wenige Betroffene und kein sensibler Inhalt)
Unbefugte haben Zugang zu personenbezogenen Daten erhalten oder sich verschafft, die aber verschlüsselt sind.
Aber: wenn die Daten etwa gestohlen wurden und daher nun für den Verantwortlichen verloren sind, kann auch bei verschlüsselten Daten ein zu meldender Datenschutzverstoß vorliegen. Hier kommt es dann auf die Art der verlorenen Daten an.
Verlust eines verschlüsselten USB-Sticks oder Smartphones: Siehe bereits vorheriges Beispiel. Bei einfachem Zugriffschutz, der in der Vergangenheit bereits überwunden wurde, liegt eher ein mittleres Risiko vor.
Fehlversandter Brief kam ungeöffnet zurück: Wenn verschlossene Briefe –ungeöffnet zurückkommen, besteht in der Regel ein nur geringes Risiko
Brief mit falscher Anlage: Wenn aus der Anlage lediglich Namen und Daten zu hervorgehen, ist das Risiko eher gering. Anders bei vollständigen Anschriften oder gar Bankverbindungen – dann ist nicht von einem nur geringen Risiko auszugehen: Meldepflicht.
Gelangen Bankverbindungen an unbefugte Dritte, kann ein hohes Risiko vorliegen, sodass auch die Betroffenen zu benachrichtigen wären. Das hohe Risiko entfällt, wenn die Unterlagen nach glaubhafter Angabe aller Empfänger vernichtet wurden bzw. dem Absender unbeschädigt und ohne, dass eine Kopie angefertigt wurde zurückgegeben wurden. Sofern alle diese Feststellungen binnen der Meldefrist getroffen werden konnten, muss Sie also lediglich eine Meldung an die Aufsichtsbehörde abgegeben werden.
Der Verantwortliche konnte sofort denjenigen, der sich unrechtmäßig Zugang zu personenbezogenen Daten verschafft hat, identifizieren und davon abhalten, die Daten irgendwie weiterzuverwenden. Sollte es sich jedoch um sehr sensible Daten gehandelt haben, von wenigen Individuen, sodass sie der Täter sich gemerkt haben könnte ist dennoch von der Benachrichtigungspflicht auszugehen.
Beim Verlust eines USB-Sticks, auf dem personenbezogene Daten unverschlüsselt gespeichert sind.
Ein Dritter teilt einem Verantwortlichen mit, dass er versehentlich die personenbezogenen Daten eines Kunden des Verantwortlichen erhalten hat.
Ein Verantwortlicher bemerkt, dass möglicherweise in sein Netzwerk eingedrungen wurde.
Ein Cyberkrimineller hackt das System eines Verantwortlichen und kontaktiert ihn anschließend mit einer Lösegeldforderung.
Ein Verantwortlicher hat die Sicherungskopie eines Archivs mit personenbezogenen Daten in verschlüsselter Form auf einem USB-Stick gespeichert. Bei einem Einbruch wird der USB-Stick entwendet.
Solange die Daten durch einen dem Stand der Technik entsprechenden Algorithmus verschlüsselt sind, Datensicherungen existieren, der eindeutige Schlüssel nicht beeinträchtigt wurde und sich die Daten zeitnah wiederherstellen lassen.
Ein Verantwortlicher betreibt einen Onlinedienst. Der Dienst wird Opfer eines Cyberangriffs und dabei werden personenbezogene Daten abgeschöpft. Der Verantwortliche hat nur in einem Mitgliedstaat Kunden.
Im Callcenter eines Verantwortlichen kommt es zu einem kurzen, mehrere Minuten andauernden Stromausfall , sodass nicht auf ihre Unterlagen zugreifen können.
Allerdings dokumentationspflichtig.
in Verantwortlicher wird Opfer eines Ransomware-Angriffs, bei dem sämtliche Daten verschlüsselt werden. Es sind keine Sicherungskopien vorhanden und die Daten können nicht wiederhergestellt werden. Die Ransomware diente ausschließlich der Datenverschlüsselung
Wenn eine Datensicherung vorhanden gewesen wäre und sich die Daten zeitnah hätten wiederherstellen lassen, wären die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen nicht erforderlich gewesen.
Eine Person ruft im Callcenter einer Bank an, um eine Datenschutzverletzung zu melden. Die Person hat einen für jemand anderer bestimmter monatlicher Kontoauszug erhalten.
Nur die betroffenen Personen werden benachrichtigt, wenn ein hohes Risiko besteht und klar ist, dass keine anderen Personen betroffen sind
Ein Verantwortlicher betreibt einen Online-Marktplatz mit Kunden in mehreren Mitgliedstaaten. Nach einem Cyberangriff auf den Marktplatz veröffentlicht der Angreifer Benutzernamen, Passwörter und Kaufhistorie im Internet
Ja, Vorfälle mit grenzüberschreitender Verarbeitung müssen an die federführende Aufsichtsbehörde gemeldet werden.
Ja, denn der Vorfall könnte zu einem hohen Risiko führen.
Ein als Auftragsverarbeiter fungierendes Webhosting-Unternehmen stellt fest, dass der Code zur Steuerung der Benutzerautorisierung einen Fehler enthält. Aufgrund des Fehlers kann jeder Benutzer die Kontodaten aller anderen Benutzer einsehen.
Als Auftragsverarbeiter muss seine betroffenen die Verantwortlichen unverzüglich benachrichtigen
Wenn voraussichtlich kein hohes Risiko für die betroffenen Personen besteht, müssen diese nicht benachrichtigt werden.
Aufgrund eines Cyberangriffs sind in einem Krankenhaus medizinische Unterlagen 30 Stunden lang unzugänglich
Die personenbezogenen Daten einer großen Zahl von Studenten wurden versehentlich an eine falsche Mailingliste mit gut 1000 Empfängern geschickt.
Eine E-Mail für Direktwerbezwecke wird an Empfänger in den Feldern „An...“ oder „Cc...“ geschickt, sodass die E-Mail-Adressen der Empfänger für alle Empfänger sichtbar sind.
Ja, wenn sehr viele Personen betroffen sind, sensible Daten offengelegt werden oder z.B. wenn die E-Mail die ursprünglichen Passwörter enthält
Die Benachrichtigung ist unter Umständen nicht erforderlich, wenn keine sensiblen Daten offengelegt werden und nur eine kleine Anzahl von E-Mail-Adressen sichtbar ist
Über den nachfolgenden Link können Sie unseren aktuellen Infobrief zum Datenschutz abrufen:
Infobrief zum Datenschutz
#einfachmittelständischpragmatisch - immer bestens informiert!
Um die Sicherheit der Verarbeitung gemäß Art. 32 der Datenschutzgrundverordnung (DSGVO) – den sogenannten „TOMs“ – zu gewährleisten, muss das Unternehmen auch Maßnahmen zur Zutrittskontrolle für Mitarbeiter, aber auch für Besucher implementieren. Diese Maßnahmen muss ein Verantwortlicher unter Berücksichtigung des Stands der Technik, der Kosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos treffen. Zu diesen Maßnahmen gehört auch ein Management für Besucher, allerdings sollten dabei immer auch die Rechte der betroffenen Besucher gewahrt bleiben.
Zunehmend werden zum Beispiel Begrüßungsbildschirme bei Unternehmen eingesetzt, die den jeweiligen Gast oder Besucher namentlich für alle einsehbar im Empfangsbereich begrüßen. Diese Nennung der Namen sind Verarbeitungen von personenbezogenen Daten und somit auch vom Datenschutz geschützt. Dabei ist es datenschutzrechtlich nicht unbedenklich, eine solche Verarbeitung ohne Einwilligung des Betroffenen – z. B. auf Grundlage des berechtigten Interesses des Verantwortlichen – durchzuführen.
Wie das bayerische Landesamt für Datenschutzaufsicht erklärte, wird man „im Regelfall jedoch davon ausgehen müssen, dass das Vorgehen eher nicht (mehr) auf Art. 6 Abs. 1 f) DS-GVO [Anm. berechtigtes Interesse des Verantwortlichen] gestützt werden kann, sondern allenfalls mit Einwilligung der betroffenen Person.“ Für Branchen und Bereiche (etwa in Bäckereien oder Metzgereien), in denen es sozialüblich ist, Kunden mit Nachnamen anzusprechen, mag es denkbar sein, weniger aber hingegen gegenüber Mitarbeitern von Unternehmen (Lieferanten, Abnehmer), so das Landesamt für Datenschutzaufsicht.
Dies bedeutet, dass eine solche Verarbeitung der personenbezogenen Daten ohne Einwilligung z. B. bei einem Industrieunternehmen, nach Auffassung der Behörde, nicht rechtskonform einsetzbar ist.
Die auch gerne in Unternehmen verwendete Besucherlisten, in denen sich Besucher namentlich und ggf. noch mit Kontaktdaten oder KFZ-Kennzeichen eintragen sollen, sind ferner so zu gestalten, dass unbefugte Dritte diese Daten nicht einsehen können. Dies kann z. B. durch ein nur einseitiges Formular umgesetzt werden. Nach einer solchen Umsetzung spricht nichts gegen die Verarbeitung durch Besucherlisten, wenn ein Zweck (z. B. Anwesenheitscheck bei Bränden) gegeben ist.
In den größeren Unternehmen kommen des Öfteren auch Besucherausweise mit Namen der Besucher zur Anwendung. Hier kann die Stellungnahme der bremischen Datenschutzaufsichtsbehörde zur ausreichenden Rechtsgrundlage des berechtigten Interesses des Verantwortlichen bei Namensschildern für Arbeitnehmer mit Nennung nur des Nachnamens auch auf Besucher übertragen werden. Allerdings für die Verarbeitungen von Fotos auf Besucherausweise hingegen, sollte sich der Verantwortliche wiederrum eine Einwilligung einholen.
Bei einem Einsatz von Software zum Besuchermanagement, in denen sogar der Aufenthaltsort und Aufenthaltsdauer eines Besuchers im Gebäude oder auf dem Firmengelände nachvollziehbar sind, ist stets ganz genau zu prüfen, ob dies nicht den Grundsätzen gem. Art. 5 DSGVO zu widerläuft und eine Rechtsgrundlage abseits der Einwilligung rechtskonform ist.
Der Gesetzgeber hat am 20.11.2019 das Bundesdatenschutzgesetz durch das sogenannte Zweites Gesetz zur Anpassung des Datenschutzrechts (2. DSAnpUG-EU) ausgearbeitet. Am 25.11.2019 wurde es im Bundesgesetzblatt verkündet und ist somit in Kraft getreten.
Neben einer Menge begrifflicher Anpassungen, die in erster Linie der Harmonisierung im Datenschutz geschuldet sind, wurde auch eine Richtschnur für die Benennungspflicht eines Datenschutzbeauftragten für nichtöffentliche Stellen angepasst.
Unter nichtöffentliche Stellen sind „natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts“ zu verstehen.
Diese eine Richtschnur zur Benennung eines Datenschutzbeauftragten kennen wahrscheinlich einige unserer Leser: sie lag damals bei zehn Personen (Köpfe), die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Nach in Krafttreten der Änderung liegt sie nun bei 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Was viele dabei vielleicht nicht wissen, ist, dass nicht nur die Kopfanzahl der Mitarbeiter/innen für eine Benennungspflicht entscheiden ist, sondern auch noch viele andere Rechtsnormen beachten werden müssen. Daher sollte jede öffentliche und nichtöffentliche Stelle diese „vermeintliche Grenze“ mit Vorsicht betrachten und genau prüfen, ob nicht andere Bestimmungen eine Ernennungspflicht nach sich ziehen.
Wir haben die recht zahlreichen Bestimmungen aus dem Bundesdatenschutzgesetz und der Datenschutzgrundverordnung mit Erklärungen und Quellenangaben zusammengefasst und möchten Ihnen diese anhand eines übersichtlichen Ablaufdiagramms zur Verfügung stellen.
Abschließend kann natürlich jede nichtöffentliche Stelle auch freiwillig eine/n Datenschutzbeauftragte/n benennen und läuft somit nicht in die Gefahr fehlenden Compliance im Datenschutzrecht mit eventuellen Bußgeldern zahlen zu müssen.
1. Notare sind öffentliche Stellen der Länder [https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/Downloads/stellungnahmen/datenschutz-anpassungs-und-umsetzungsgesetz-eu-dsanpug-eu/bundesnotarkammer_bnotk_stn.pdf?__blob=publicationFile&v=2], als solche müssen sie gem. § 5 Abs. 1 BDSG n. F. [https://dejure.org/gesetze/BDSG/5.html], sowie Art. 37 Abs. 1 lit. a DSGVO [https://dejure.org/gesetze/DSGVO/37.html] auf jeden Fall einen Datenschutzbeauftragten benennen.
2. Gemäß den Änderungen des Bundesdatenschutzes vom 20.11.2019, bekanntgemacht durch das BGBl. I S. 1626 (Nr. 41) [https://www.bgbl.de/xaver/bgbl/start.xav#__bgbl__%2F%2F*%5B%40attr_id%3D%27bgbl117s2097.pdf%27%5D__1575560296845] haben nun Verantwortliche nichtöffentlicher Stellen gem. § 38 Abs. 1 S. 1 BDSG n. F. [https://dejure.org/gesetze/BDSG/38.html] – also juristische Personen – eine Pflicht zur Ernennung eines/einer Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
„Automatisierte Verarbeitung von Daten“ liegt dann vor, wenn jemand an einem Computer, Smartphone etc. mit Daten von natürlichen Personen umgeht. Ob dies ein Ehrenamtlicher, Praktikant oder Angestellter macht, ist unerheblich.
„20 Personen“ bedeutet gemäß der Datenschutzgesetze, nicht die Anzahl der (Plan-)Stellen, sondern die Anzahl der Köpfe.
3. Gemäß Artikel 9 Abs. 1 Datenschutzgrundverordnung (DSGVO) [https://dejure.org/gesetze/DSGVO/9.html], sind die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person besondere Kategorien personenbezogener Daten.
"Gesundheitsdaten" sind gem. Art. 4 Abs. 1 Nr. 15 DSGVO [https://dejure.org/gesetze/DSGVO/4.html] personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen
4. a) Gemäß des Art. 37 Abs. 1 lit. c DSGVO [https://dejure.org/gesetze/DSGVO/37.html], hat die Verantwortliche Stelle auf jeden Fall einen Datenschutzbeauftragten, wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
Unter „Kerntätigkeit“ ist jede Tätigkeit zu verstehen, die essentiell für die Erreichung der Ziele des Unternehmens sind. Als Beispiel sei hier die Verarbeitung von Gesundheitsdaten in einem Krankenhaus genannt, [https://ec.europa.eu/information_society/newsroom/image/document/2016-51/wp243_annex_en_40856.pdf], [https://ec.europa.eu/information_society/newsroom/image/document/2016-51/wp243_en_40855.pdf] Beispiel: Zur Kerntätigkeit gehört es, wenn ein Hörgeräteakustiker Daten über die Hörfähigkeit (Gesundheitsdaten) verarbeitet, auch wenn dieser nur zwei Angestellte beschäftigt.
b) In den meisten Fällen werden durch die Personalbuchhaltung regelmäßig Gesundheitsdaten – z. B. in Form des BEM – oder Religionsdaten – z. B. für die Abrechnung der Kirchensteuer – verarbeitet.
5. „Regelmäßige und systematische Überwachung“ ist in der DSGVO zwar nicht definiert, beinhaltet jedoch jegliche Formen der Verfolgung und Profilerstellung im Internet, darunter auch zu Zwecken der verhaltensbasierten Werbung. Allerdings ist der Begriff „Überwachung“ nicht auf die Online-Umgebung beschränkt, z. B. Fallen hierunter auch Auskunfteien, Inkassobüros, [https://www.datenschutz.rlp.de/fileadmin/lfdi/Dokumente/wp243rev01_annex_de.pdf]
6. Eine freiwillige Ernennung eines Datenschutzbeauftragten steht jeder verantwortlichen Stelle offen.
Dürfen Meldebehörden Daten ihrer Bürger an Dritte übermitteln?
Aus gegebenem privatem Anlass entstand dieser Blogbeitrag. Ich erhielt einen mit meinen personenbezogenen Daten versehenden mir zugesandten Werbebrief mit dem Betreff „Möglichkeit zur Vermögensanlage: Repowering Projekt Windpark für die Einwohner“. Nach Inanspruchnahme des Auskunftsrechts gemäß Artikel 15 der DSGVO wurde bestätigt, dass die Meldebehörde – also meine Kommunalvertretung – meine personenbezogenen Daten an den Verantwortlichen übermittelt hat. Darf sie das?
Auskunftserteilungen bzw. Auskunftsersuchen über Bürger regelt das am 1.11.2015 in Kraft getretene und am 26.11.2019 angepasste Bundesmeldegesetz. In diesem sind Übermittlungen an Dritte ohne Einwilligung der Betroffenen vorgesehen, erst wenn die/der Betroffene aktiv tätig wird, können Übermittlungen an Dritte unter Umständen unterbunden werden – hier besteht sozusagen das eigentlich nicht rechtskonforme Opt-Out-Verfahren. Grob zusammengefasst gibt es folgende Auskunftsarten:
1. Melderegisterauskunft
2. Gruppenauskunft
3. Melderegisterauskünfte in besonderen Fällen
4. Datenübermittlungen an öffentlich-rechtliche Religionsgesellschaften
5. Datenübermittlungen zwischen den Meldebehörden und anderen Behörden
Grundsätzlich kann daher jeder eine einfache Melderegisterauskunft über Familiennamen, Vornamen, Doktorgrad, derzeitige Anschrift und ob die Person verstorben ist, von den Meldebehörden verlangen und erhalten. Einen Grund warum diese Auskunft verlangt wird, muss der Anfragende nicht angeben, außer sie oder er möchte diese Daten für eine gewerblichen Zweck nutzen. Hier muss allerdings der Anfragen die Person(en) namentlich bezeichnen können, um die Daten zu erhalten.
Wird über eine Vielzahl von Personen – z. B. alle Einwohner mit einem bestimmten Geburtsdatum – Daten erfragt, muss gegenüber der Meldebehörde ein öffentliches Interesse bekundet werden – im obengenannten Werbeangebot war dies nach Auffassung des Windparkbetreibers der Fall. Gegen diese Einzel- und Gruppenauskünfte kann eine Sperre bei der Kommune beantragt werden, diese hat allerdings eine hohe Hürde: ein Betroffener muss glaubhaft machen, dass eine Gefahr für Leben, Gesundheit, die Freiheit oder ähnliche schutzwürdige Interessen besteht.
Bei den Meldeauskünften in besonderen Fällen handelt es sich z. B. um Übermittlungen an Parteien (zwecks Wahlwerbung), an die Presse oder auch Adressbuchverlage. Es können z. B. Altersjubiläen in Verbindung mit Namen, Vornamen, Anschriften durch Presse oder Rundfunk übermittelt werden. Adressbuchverlage dürfen zu allen volljährigen Einwohnern Auskünfte auch hier zu Namen, Vornamen, Anschriften verlangen. Gegen diese Übermittlungen können einfache Widersprüche ohne Begründung eingelegt werden.
An öffentlich-rechtlichen Religionsgesellschaften werden eine Menge Daten ihrer Mitglieder gesendet, z. B. auch Zahl der minderjährigen Kinder, Familienstand, Ein- und Auszugsdatum. Auch hier ist ein Widerspruch gegen die Übermittlung in einfacher Form möglich.
Freilich können natürlich auch Behörden und Melderegister untereinander Daten austauschen. Gegen diese Übermittlungen / Austausch können keine Widersprüche eingelegt werden.
Wie beschrieben, muss mittels Anträge gegen die Weitergabe von Daten durch Ihre Meldebehörden Widerspruch eingelegt werden.
GoBD 2.0 - Veröffentlichung vom 28.11.2019
Die neuen GoBD stehen seit heute (28.11.19) wieder auf der Homepage des Bundesministerium der Finanzen zum Download bereit.
Eine neue Version der GoBD vom 14.11.14 gab es in diesem Jahr bereits, die Downloadmöglichkeit wurde jedoch kurz nach der Veröffentlichung wieder gelöscht.
Jetzt stehen die GoBD über den folgenden Link zur Verfügung:
Welche Änderungen sich an den GoBD ergeben haben, werden wir noch veröffentlichen.
#GOBD #GDPDU #GOBS #Verfahrensdokumentation #einfachmittelständischpragmatisch #taxcompliance
Neues BDSG im Bundesgesetzblatt veröffentlicht
Das neue Bundesdatenschutzgesetz (BDSG) ist gestern im Bundesgesetzblatt veröffentlicht worden.
Im neuen Gesetz wurde unter anderem die Grenze für die Ernennungspflicht eines Datenschutzbeauftragten von 10 auf 20 Mitarbeitern angehoben. Mit der gestrigen Veröffentlichung im Bundesgesetzblatt gilt das geänderte BDSG ab heute.
Auch in unserem Blog hatten wir hierüber bereits berichtet.
Google Analytics und die Aufsichtsbehörden
Wir haben bereits mehrfach über die Notwendigkeit der Einholung einer Einwilligung mittels Cookie-Banner auf Websites berichtet, wenn dort beispielsweise Analysedienste (z.B. Google Analytics) eingebunden ist.
Zurückzuführen ist diese Anforderung auf eine Orientierungshilfe der Datenschutzkonferenz (DSK) sowie verschiedene Rechtsprechungen, zuletzt vom EuGH Anfang Oktober 2019.
Aktuell mehren sich die Gerüchte, dass aktuell bei den Datenschutzaufsichtsbehörden bundesweit über 200.000 Fälle eingegangen sind, bei denen sich eine oder mehrere Personen über den Einsatz von Google Analytics ohne Einwilligung beschwert haben.
Ob dies tatsächlich wahrheitsgemäß ist, können wir derzeit noch nicht bestätigen. Allerdings wird hierdurch deutlich, dass ein Handlungsbedarf da ist. Sollte diese Massenbeschwerde der Wahrheit entsprechen, werden sich die Aufsichtsbehörden in irgendeiner Art und Weise damit auseinandersetzen müssen.
Wir haben eine Checkliste erstellt für die Bewertung der Website, die hier abgerufen werden kann.
Bitte beachten Sie, dass es sich um eine allgemein gehaltene Checkliste handelt. Möglicherweise ist in der Praxis für konkrete Umsetzungen stets eine Einzelfallbetrachtung notwendig.
Office 365 und SharePoint Online als revisionssicheres DMS?
Ist es möglich, Office 365 und SharePoint Online im Unternehmen als Lösung zum Dokumentenmanagementsystem (DMS) einzusetzen, um insbesondere buchhalterische Dokumente digital zu archivieren?
Diese Frage wird uns in der Praxis immer häufiger gestellt. Wir haben uns im Detail mit den Konfigurationsmöglichkeiten und den Anforderungen (GoBD, AO, UStG) beschäftigt und sogar bei einem Finanzamt um Klärung geben.
Die Ergebnisse haben wir in zwei Whitepapern veröffentlicht:
Zulässigkeit Office 365 und SharePoint Online als revisionssicheres DMS
Archivierung mit SharePoint Online - GoBD konform
Mehr über unsere Beratungslösungen zu SharePoint und Office 365 erfahren Sie über den folgenden Link: comdatis-Lösungen zu Digitalisierung und Verfahrensdokumentation
Neue Podcastfolge: GoBD 2.0 zurückgezogen! Datenschutz erleichtert?
Wir haben eine neue Folge unseres Podcasts veröffentlicht. Der Podcast kann hier abgerufen werden.
Ad-Blocking mittels DNS-Sinkhole
Alle im Internet erreichbaren Geräte verfügen über eine IP-Adresse, diese kann entweder in der Version 4 (IPv4) oder in der Version 6 (IPv6) vorliegen. 81.169.145.93 wäre ein Beispiel für eine IPv4-Adresse. Wird nun am Gerät ein Content (z. B. HTML-Seiten mit Text, Fotos, Videos) öffentlich zugänglich freigegeben, können mittels Aufrufen der IP-Adresse andere Internetfähige Geräte diesen Content abrufen. Dabei handelt es sich um einen Webserver.
Nun geben Sie aber, wenn Sie eine Internetseite sehen möchten nicht 81.169.145.93 ein, sondern www.comdatis.de. Mit diesen Buchstaben könnte Ihr PC oder Smartphone alleine aber gar nichts anfangen, für eine Übersetzung der Buchstaben in die IP-Adressen benötigt er einen sogenannten DNS-Server. Dieser DNS-Server kennt – wie ein Telefonbuch – alle Zuordnungen von Domain zu IP-Adressen. Wenn Sie nun also in Ihrem Browser eine WWW-Adresse eintippen ruft Ihr PC eine Verbindung zu dem im Router hinterlegten DNS-Server auf und fragt nach der Übersetzung der Domain in einer IP-Adresse der Seite.
Nun haben allerdings einige Anbieter von Internetseiten viele Marketing-Tools im Einsatz (z. B. Tracking durch Google Analytics, Facebook-Pixel etc.), auch Werbeeinblendungen werden – wie Sie wissen – gerne und häufig angezeigt. Dabei ist interessant, dass dieser Werbe- und Tracking-Content in der Regel von einem abweichenden Webserver bereitgestellt wird. Dies kann ein komplett fremder Server sein (z. B. www.google-analytics.com) oder auch ein sogenannte Subdomains des Anbieters (z. B. piwik.bayern.de). Scrollen und klicken Sie sich also durch eine Internetseite wird nicht nur der Server von nach Content befragt, sondern auch fremde Server die das Tracking oder die Werbung bereitstellen.
Da in der Regel eben diese auch eine buchstabenorientierte (also z. B. www.google-analytics.com) und nicht eine IP-Adresse aufweisen, muss es wieder zu einer Übersetzung durch den DNS-Server kommen.
An diesen Ansatz setzen Werbe-Blocker mit sogenannter DNS-Sinkholes an. Ein Senkloch für DNS-Übersetzungsanfragen. Diese Werbeblocker werden als kleine Umleitung zwischen Ihrem Router und dem eigentlichen DNS-Server geschaltet und fungieren als eine Art Grenzstation. Dabei kontrollieren sie DNS-Anfragen im Einzelnen, wird eine Anfrage als in Ordnung befunden, wird sie an den eigentlichen DNS-Server weitergeleitet. Wenn allerdings eine Anfrage als Werbung oder Tracking identifiziert wird, landet sie in dem Senkloch. An Ihrem Gerät wird dann eine IP-Adresse ausgegeben, die technisch nicht funktionsfähig ist. Sie bekommen dann auf Ihrem Gerät keinen Werbebanner angezeigt, Trackingübermittlungen bspw. zu Google Analytics landen im Nirvana und nicht auf Google-Servern, so findet keine Übermittlung von personenbezogenen Daten statt.
Bei der Kontrolle setzt der Werbeblocker Blocklisten ein, diese enthalten die meisten Werbe- und Tracking-Adressen und werden stetig aktualisiert. Momentan sind 113.000 Domains eingetragen. Individuelle Adressen können ebenfalls vom Nutzer geblockt werden. Dabei sind auch Wildcards möglich, so kann das Wort „Piwik“ in jeder Adresse auf die Blocklist gesetzt werden. Zusätzliche Whitelisten ermöglichen eine Freigabe, falls etwas falsch erkannt wurde.
Der Vorteil dieser Art des Werbeblockens besteht darin, dass es erst gar nicht zu Anfragen an Werbe- oder Trackingservern kommt. Viele der Ad-Blocker-Plugins für Internetbrowser unterbinden die Verbindung nicht, sondern sie blendet schlicht einfach nur die Werbebanner auf WWW-Seiten aus. Ein weiterer Vorteil ist, dass dies in Ihrem kompletten Netzwerk funktioniert, so auch für Ihre Smartphones, Smart-TV, Home-Sprach-Assistenten, Streaming-Media-Adapter auf denen Sie in der Regel keinen Adblocker installieren können. Sogenannte In-App-Werbung, wie Sie sie vielleicht von einigen kostenfreien Smartphone-Apps kennen, werden dabei zu einem guten Prozentsatz ebenfalls geblockt. Eine Sperrung von Internetseiten durch Anbieter, wenn diese Ad-Blocker-Plugins identifiziert haben, besteht beim Einsatz von DNS-Sinkhole-Blockern nicht.
Nachteile bestehen dabei nicht, einzelne Werbeanzeigen könnten Sie trotz alldem angezeigt bekommen, wenn die Werbeanzeigen z. B. statt über eine Internetdomain über eine feste IP-Adresse die Verbindung aufbauen und keinen DNS benötigen. Ferner werden manche Werbeanzeigen über dieselbe Webserver-Adresse wie der Originalcontent ausgespielt, diese Unterscheidung kann dieser Werbeblocker dann nicht vornehmen.
In dem Beispielbild (Screenshot) sehen Sie einen Ausschnitt eines Protokolls eines Pi-Hole‘s. Dort zu sehen ist der Aufruf einer Startseite einer großen deutschen Tageszeitung. Dabei wurden Internetdomains – also zusätzliche Abrufen – als „OK“ eingestuft (grün) und zum eigentlichen DNS-Server weitergeleitet (forwarded). Einige Adressen wurden allerdings als Werbung oder Tracking identifiziert und geblockt (rot), also in das DNS-Senkloch verbannt. Dabei sagen die Adressen einiges über den Zweck aus. Hier handelt es sich z. B. um Tracking durch Google Analytics und den Tag Manager, Werbung durch Google Ad Service oder eine Facebook-Connect-Schnittstelle:
In diesem Screenshot sehen Sie einen Teil der Startseite der obengenannten Tageszeitung mit einer weißen Lücke, in der Werbeanzeigen eingeblendet wäre (der rote Rahmen ist nachträglich hinzugefügt) und zum Vergleich dieselbe Stelle mit deaktiviertem Pi-Hole:
Am deutlichsten wird der Einsatz eines Pi-Holes beim Surfen auf mobilen Webseiten über ein Smartphone. Hier auf dem linken Screenshot (mit Werbeanzeige für Tierfutter, roter Rahmen) mit deaktiviertem Blocking und auf dem rechten nach einer Aktivierung:
Gewerbliche Anbieter dieser Art des Werbe- und Tracking-Blockens bestehen auf dem Markt, sind aber auch oft mit monatlichen Kosten verbunden. Allerdings gibt es auch eine kostenfreie Open-Source-Variante namens Pi-Hole. Der Name setzt sich aus dem Medium des Einplatinencomputers Raspberry Pi und Sinkhole zusammen. Bei einem Raspberry Pi handelt es sich um eine kleine Platine die mittels SD-Karten-Slot mit einem Betriebssystem (z. B. Linux Raspbian) ausgestattet wird. Auf diesem Betriebssystem wird dann die eigentliche kostenfreie Software Pi-Hole installiert und im Anschluss für die individuellen Einstellungen eingerichtet. Kostenpunkt für einen Raspberry Pi sind ca. 44,- €, ein Zeitaufwand für eine Installation und die Konfiguration kann ca. 30 bis 60 Minuten in Anspruch nehmen.
Bei der Konfiguration der Software Pi-Hole können Sie zwischen drei Varianten wählen: entweder Sie konfigurieren diese als DHCP, das bedeutet dass nun die Software die Verteilung der Netzwerk-IP-Adressen an die einzelnen Geräte im Netzwerk und nicht mehr der Router übernimmt, somit werden alle Geräte im Netzwerk gezwungen über den Pi Hole auf einen DNS-Server zu laufen. Sie können aber auch in den Einstellungen Ihres Gerätes den DNS-Server auf die Netzwerk-IP-Adresse des Pi-Holes einstellen und das Gerät so hinzufügen. Zuletzt können Sie auch die in Ihrem Router hinterlegte DNS-Server-Adresse auf die des Pi-Holes einstellen und den Router zu einer Umleitung zwingen.
© 2020 comdatis it-consulting GmbH & Co.KG