Source: http://mydatenschutz.blogspot.de/2017/
Timestamp: 2017-12-11 16:45:25
Document Index: 2140655

Matched Legal Cases: ['§11', '§ 11', 'EuG', '§ 11', '§ 11', '§ 11', '§11', '§ 11', '§ 11', '§11']

Mein Datenschutz-Blog: 2017
Labels: Datenschutz, DSMS, EU-DSGVO
Ein modernes Webradio in der Teeküche sorgt nicht nur für schöne Musik und aktuelle Wetterdaten, es kann auch zu einem echten Datenrisiko werden. Denn in immer mehr Geräten stecken Assistenten wie Alexa, die dauerhaft lauschen.
Gute Musik hebt die Stimmung, aktuelle Wetterinformationen helfen bei der Planung von Dienstreisen und Events. Da macht ein Webradio im Büro oder in der Teeküche schon Sinn. Dank Online-Verbindung bieten die Internetradios zahlreiche Radiosender, ob national oder international.
Datenrisiko - Lauscht Alexa heimlich?
Doch die neuen Webradios können mehr: ...
Eingestellt von Florian Günter um 12:43
Labels: Alexa, Datenschutz, Lauschangriff, Siri, Webradio, yourIT
Ein Arbeitgeber möchte das Fahrverhalten seiner Berufskraftfahrer optimieren. Deshalb installiert er in den Fahrzeugen ein System namens RIBAS. Ein altgedienter Fahrer hält das alles für Unfug und aktiviert das System nicht. Sage und schreibe drei Mal mahnt ihn der Arbeitgeber ab. Auch das hilft nicht. Da kündigt ihm der Arbeitgeber. Wird die Kündigung vor den Gerichten Bestand haben?
Es geht um Geld und um Fahrkomfort
Ein Nahverkehrsunternehmen will den Fahrkomfort für die Fahrgäste verbessern und außerdem Sprit sparen. Deshalb lässt es in seinen Bussen ein System mit Namen RIBAS installieren. Es ist inzwischen in ganz Deutschland weit verbreitet.
yourIT Datenschutz - Die Überwachung des Fahrverhaltens von Arbeitnehmern kann zulässig sein
Eingestellt von Florian Günter um 10:17
Labels: Datenschutz, Überwachung Fahrverhalten, yourIT
EU-Datenschutz-Experten empfehlen: Raus aus den US-Clouds!
US-Präsident Donald Trump war kaum im Amt, als er am 25. Januar 2017 direkt den Datenschutz für Europäer in Frage gestellt. Datenschutz-Experten aus der EU raten daher Unternehmen aus der EU, Cloud-Produkte nur noch von Europäischen Anbietern zu nutzen.
Deutsche und alle übrigen Europäer sind für den US-Präsidenten ganz offensichtlich Internetnutzer zweiter Klasse. Per Dekret vom 25. Januar erklärte er, dass Nicht-US-Bürger vom US-amerikanischen Datenschutzrecht auszuschließen oder zumindest ihre Rechte diesbezüglich einzuschränken sind, "soweit dies mit geltendem Recht vereinbar ist".
Der Datentransfer zwischen der EU und der USA auf Basis des Privacy Shield steht seither unter europäischem Beschuss. Das Privacy Shield ist als Nachfolger des Vorgängers Safe Harbor seit dem 12. Juli 2016 in Kraft und war von Anfang an umstritten. Es sollte eigentlich den EU-US-Datenaustausch für europäische Unternehmen mit US-Dienstleistern vereinfachen, die sich zu den darin notierten Prinzipien und organisatorischen Vorgaben bekennen. Ob sich damit aber tatsächlich ein "angemessenes Datenschutzniveau" sicherstellen lässt, das die Grundvoraussetzung für einen Datenaustausch mit anderen Unternehmen darstellt, gilt als unsicher.
EU-Datenschützer befürchten nun , dass der Privacy Shield unter Trump von den USA gekündigt oder zumindest nicht ernst genommen werden könnte. Wieder einmal steht der Datenaustausch europäischer Unternehmen mit Dienstleistern aus den USA unter Kritik.
Wie die Deutsche IT-Branche von diesem Streit profitieren wird
Viele deutsche Unternehmen stehen derzeit vor der Entscheidung, ob sie die nächste Server-Generation noch im eigenen Serverraum betreiben wollen oder direkt in die Cloud wechseln. Zur Zeit-Überbrückung sollen aus dem Service laufende Server länger betrieben werden. Dies zeigen z.B. die seit November 2014 stark gestiegenen Zugriffsraten auf den Blogbeitrag zum Thema "Lebensdauer Server" des IT-Dienstleister yourIT aus Hechingen.
Zusätzlich sind deutsche Unternehmen derzeit dabei, die Vorbereitung für die EU-Datenschutzgrundverordnung zu treffen, die ab dem 25. Mai 2018 gelten wird.
Unternehmen, die künftigen Ärger mit dem Datenschutz vermeiden möchte, tun gut daran, sich jetzt ausschließlich auf europäische oder noch besser deutsche Cloud-Dienstleister einzulassen, die direkt der EU-DSGVO unterliegen. Mit diesen ist relativ einfach eine Vereinbarung zur Auftragsverarbeitung machbar. Außerdem setzt die EU-DSGVO auf eine Zertifizierung der Auftragsverarbeiter.
Für Online-Backup, Cloud-Speicher, E-Mail, Kalender, Messaging und viele andere Dienste gibt es inzwischen gute Alternativen europäischer Dienstleister zu Dropbox, Google & Co. Sprechen Sie mit den Cloud- und Datenschutz-Experten von yourIT. Wir empfehlen Ihnen gerne datenschutzkonforme Produkte deutscher und europäischer Anbieter.
Eingestellt von Thomas Ströbele um 18:07
Labels: §11-Zertifizierung, Auftragsdatenverarbeitung, Datenschutz, EU-DSGVO
Google Analytics als Auftragsdatenverarbeiter - Was Unternehmen als Nutzer jetzt beachten sollten
Der Einsatz von Google Analytics durch deutsche Unternehmen befindet sich derzeit erneut im Focus des Hamburgischen Beauftragten für Datenschutz und Informationssicherheit (HmbBfDI) und anderer Landesdatenschutzbeauftragter. Das kostenlose Analyse-Produkt des amerikanischen Software-Herstellers Google findet sich massenhaft im Einsatz - auch auf den Websites und Blogs vieler deutscher Unternehmen.
Wieso ist Google Analytics im Datenschutz-Focus?
Da IP-Adressen in Deutschland als personenbezogene Daten gelten und Google beim Einsatz von Google Analytics auf den Websites und Blogs Ihres Unternehmens mit den IP-Adressen der Besucher eben dieser Seiten in Kontakt kommt und diese verarbeitet, handelt es sich hierbei um eine Auftragsdatenverarbeitung im Sinne von § 11 BDSG.
Der Hamburgische Datenschutzbeauftragte war bereits bisher federführend in Bezug auf erforderliche Regelungen bei Verwendung von Google Analytics. Dieser sah es nun als erforderlich an, sich erneut mit der Prüfung von Google Analytics zu befassen.
Als Ergebnis wurde ein neues Hinweisblatt zur Verwendung von Google Analytics erarbeitet. Dieses kann bei yourIT jetzt kostenlos bezogen werden. Schreiben Sie uns hierzu einfach eine kurze Nachricht mit dem Stichwort "Datenschutz Google Analytics".
Die Überarbeitung bezieht sich in erster Linie auf eine Klausel im bisherigen Vertrag zur Auftragsdatenverarbeitung, die auf das Safe-Harbor-Abkommen verwies, welches bekanntlicherweise bereits am 06.10.2015 durch eine Entscheidung des EuGH außer Kraft gesetzt worden war.
Google hat sich zwischenzeitlich nach dem Privacy Shield zertifizieren lassen und seinen Vertrag zur Auftragsdatenverarbeitung entsprechend angepasst.
Auch andere Landesdatenschutzbeauftragte stellen Anforderungen zu Google Analytics
Briefkopf Der Beauftragte für den Datenschutz Baden-Württemberg
Wie wir aus sicherer Quelle wissen, stellt auch der Landesbeauftragte für den Datenschutz Baden-Württemberg derzeit Unternehmen Fragen zum Einsatz zu Google-Analytics. Wir zitieren aus einem uns vorliegenden Anschreiben:
"[...] Aus der Datenschutzerklärung geht bezüglich der Verwendung von Google Analytics nicht hervor, ob ein Vertrag mit Google nach § 11 BDSG im Sinne der Auftragsdatenverarbeitung besteht und in welcher Art und Weise die IP-Adresse übermittelt wird. Ist dies der Fall und werden die hinteren Ziffern der IP-Adresse anonymisiert? [...]"
Auszug Anschreiben Beauftragte für den Datenschutz Baden-Württemberg zu Google Analytics
Die EU-DSGVO wird vermutlich noch eins drauf setzen...
Es ist zu erwarten, dass sich bei In-Kraft-Treten der EU-Datenschutzgrundverordnung (EU-DSGVO) zum 25.05.2018 erneut Änderungen hinsichtlich der Verwendung von Google Analytics ergeben werden.
Unternehmen, die Google Analytics auf ihren Websites und Blogs einsetzen, sollten
jetzt eine Vereinbarung zur Auftragsdatenverarbeitung mit Google abschließen und
die Änderungen durch die kommende EU-DSGVO im Auge behalten.
Nutzen Sie jetzt unsere Erfahrung und unser Knowhow aus 10 Jahren externer Datenschutzberatung.
Fazit: Vereinbarung zur Auftragsdatenverarbeitung mit Google Analytics jetzt!
Holen Sie sich jetzt von uns kostenlos unser Hinweisblatt zu Google Analytics. Schreiben Sie uns hierzu einfach eine kurze Nachricht mit dem Stichwort "Datenschutz Google Analytics". Sie erhalten von uns ein Hinweisblatt zur konkreten Vorgehensweise sowie die aktuelle Version des Vertrages zur Auftragsdatenverarbeitung mit Google Ireland Ltd. in Dublin.
Brief an Google mit Inhalt Vereinbarung zur Auftragsdatenverarbeitung
Sie müssen die Vereinbarung zur Auftragsdatenverarbeitung mit Google dann nur noch kurz ausfüllen, unterschreiben und ab die Post!
Achtung: Neben der Vereinbarung sind weitere Schritte zu unternehmen. Gerne unterstützen wir Sie dabei.
Wie wir von yourIT Sie als Google-Analytics-Anwender unterstützen können
Eingestellt von Thomas Ströbele um 16:52
Labels: § 11 BDSG, ADV, Auftragsdatenverarbeitung, Auftragsverarbeitung, Google, Google Analytics
Achtung: Locky ist wieder da!
Falls Sie heute oder in den nächsten Tagen und Wochen eine E-Mail mit einem PDF-Dokument im Anhang erhalten, welches beim Öffnen um die Erlaubnis bittet, ein Zusatzdokument zu öffnen, dann brechen Sie den Vorgang unbedingt sofort ab. Klicken Sie unter keinen Umständen auf „OK“! Schließen Sie die PDF-Datei und informieren Sie sofort Ihren IT-Administrator oder Ihr zuständiges IT-Systemhaus.
Locky 2.0 ist wieder da - yourIT informiert Sie jetzt über die Gefahr
Weitere Informationen zu Locky 2.0 jetzt auf unserem Blog simplify-yourIT...
Bitte informieren Sie jetzt auch Ihre Kollegen und Bekannten, bevor diese den Hackern in die Falle gehen.
Labels: Erpressungstrojaner, Locky, Ransomware
Ein Mitarbeiter scheidet aus dem Unternehmen aus. Kann der Arbeitgeber den Mail-Account des Mitarbeiters einfach schließen? Wie ist mit E-Mails umzugehen, die ausdrücklich an ihn gerichtet sind? Das Bayerische Landesamt für Datenschutzaufsicht bietet in seinem Tätigkeitsbericht für 2015/2016 einige Orien-tierungshilfen für diese Fragen.
Existieren schon Regelungen?
Vorab sei auf Folgendes hingewiesen: Falls zu diesem Thema eine Betriebsvereinbarung existiert, ist alles klar. Es gelten ihre Regelungen. Manchmal treffen das Unternehmen und der ausscheidende Mitarbeiter auch eine ausdrückliche Vereinbarung, etwa in einem Aufhebungsvertrag. Schön für alle Beteiligten! Denn das schafft Klarheit.
Datenschutz, E-Mail
Aber was ist, wenn es an Beidem fehlt? Vielleicht lässt sich noch über eine ein-vernehmliche Regelung reden. Aber manchmal erscheint das kaum vorstellbar, etwa nach einer fristlosen Kündigung. In solchen Fällen hilft die Meinung der Datenschutzaufsicht weiter.
Zunächst zu der Frage, wie lange ein Mail-Account noch bestehen darf. Etwa drei Monate nach dem Ausscheiden sollte er nach Auffassung des Landesamts geschlossen werden. Der Grund: Danach ist nicht mehr damit zu rechnen, dass noch Mails an den ausgeschiedenen Mitarbeiter eingehen. Eine ausdrückliche gesetzliche Regelung dazu gibt es aber nicht.
Private Nutzung erlaubt oder nicht?
Relativ freie Hand hat der Arbeitgeber, wenn er die private E-Mail-Nutzung verboten hat. In diesem Fall kann er einfach festlegen, dass eine Weiterleitung erfolgt. Denn private Mails können dann ja eigentlich keine eingehen.
Falls der Arbeitgeber private Mails erlaubt hat, handelt es sich um eine freiwillige Leistung des Arbeitgebers. Das führt jedoch nicht dazu, dass er einfach die Weiterleitung aller eingehenden Mails anordnen kann. Vielmehr muss er dann das Fernmeldegeheimnis beachten.
Gerne senden wir Ihnen ein kostenloses Muster oder unterstützen Sie bei Ihrer individuellen in Ihrem Unternehmen. Nutzen Sie jetzt unsere Erfahrung undunser Knowhow aus über 10 Jahren Datenschutz-Beratung in über 100 Unternehmen.
Eingestellt von Florian Günter um 17:00
Labels: Datenschutz, E-Mail, Privatnutzung
Virenschutz oder Datenschutz?
Die Frage, ob Sie Virenschutz oder Datenschutz wollen, erscheint auf den ersten Blick absurd. Denn Sie brauchen beides. Tatsächlich aber können Virenschutz-Lösungen zum Problem für den Datenschutz werden.
Wenn der Schutz zur Gefahr wird
Kaum jemand verzichtet komplett auf einen Virenschutz für den PC oder das Notebook, eigentlich sollte es niemand tun. Bei Smartphones sieht es schon deutlich schlechter aus: Jeder fünfte Smartphone-Besitzer (20,7 %) nutzt sein Mobilgerät ohne jegliche Sicherheitsfunktionen zum Schutz des Geräts und der darauf befindlichen Daten, so eine Umfrage für das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Aus Sicht des Datenschutzes sollte auf jedem Endgerät ein Schutz vor Malware oder Schadsoftware vorhanden sein. Doch diese Forderung kann zu einem Datenrisiko führen, wenn man nicht darauf achtet, wie es der Anbieter der Antiviren-Software mit dem Datenschutz hält.
Tatsächlich gibt es eine ganze Reihe von Virenschutz-Lösungen, die zwar Malware erkennen und abwehren, die es aber selbst nicht so genau mit dem Datenschutz zu nehmen scheinen.
yourIT, Datenschutz, Virenschutz, securITy
Überprüfung von Datenschutzerklärungen ergab Mängel
Das Testinstitut AV-Test aus Magdeburg hat die Datenschutzerklärungen von 26 Antiviren-Programmen untersucht und dabei viele Unzulänglichkeiten und Probleme entdeckt. So hatten zwei Anti-Malware-Lösungen überhaupt keine Datenschutzerklärung.
In fast jeder untersuchten Datenschutzerklärung räumten sich die Hersteller zudem in erheblichem Umfang Zugriffsrechte auf Daten ein, die für den Einsatz einer Schutz-Software nicht nötig sein dürften, so AV-Test.
Einige Extrembeispiele untermauern diese Einschätzung: So haben einzelne Hersteller angegeben, dass sie Daten über das Geschlecht, die Berufsbezeichnung sowie Rasse und sexuelle Orientierung eines Nutzers verarbeiten wollen.
Der Bezug zum Schutzzweck der Software ist offensichtlich nicht vorhanden. Die Vermutung liegt nahe, dass die Anbieter Nutzerinformationen zu Werbezwecken erheben bzw. an Dritte für Werbemaßnahmen weitergeben. Eine informierte Einwilligung, wie sie der Datenschutz fordert, erfragen sie dafür vom Nutzer nicht.
Kein blindes Vertrauen in die IT-Sicherheit
Leider können Sie also nicht davon ausgehen, dass alle Lösungen, die Ihre Daten vor Angreifern schützen, selbst mit den Daten so umgehen, wie es der Datenschutz ver-langt. Auch IT-Sicherheitsanwendungen müssen hinterfragt werden, wie sie es mit dem Datenschutz halten, genau wie jede andere Applikation, die Sie installieren oder nutzen möchten.
Genau genommen sollten Sie bei IT-Sicherheitslösungen wie den Antiviren-Programmen noch genauer hinschauen, was in der Datenschutzerklärung steht. Denn Sicherheitsprogramme haben sehr mächtige Funktionen und oftmals weitgehende Zugriffsberechtigungen auf die Daten.
Diese Berechtigungen brauchen sie in Teilen zwar, um wirklich schützen zu können. Doch sie machen auch einen falschen Umgang mit personenbezogenen Daten durch Sicherheitssoftware so gefährlich.
Nutzen Sie also auf jedem Endgerät einen Virenschutz, aber prüfen Sie bei jedem Tool auch die Datenschutzerklärung. Virenschutz und Datenschutz werden beide gebraucht, getrennt voneinander sollten sie nicht sein. Ohne Virenschutz ist Datenschutz heute nicht mehr möglich, ohne Datenschutz sollte es jedoch keine Virenschutz-Lösung geben.
Virenschutz = Datenschutz? Testen Sie Ihr Wissen!
Frage: Virenschutz ist elementar für den Datenschutz. Stimmt das?
a. Ja, das stimmt. Trotzdem ist der Datenschutz beim Virenschutz nicht automatisch garantiert.
b. Virenschutz braucht man nur, wenn man das Internet nutzt.
c. Virenschutz-Lösungen berücksichtigen automatisch den Datenschutz.
Lösung: Die Antwort a. ist richtig. Virenschutz braucht man auf jedem Endgerät, gleich ob es einen Internetzugang hat oder nicht. Denn auch ein USB-Speicherstift kann zum Beispiel Malware einschleppen.
Trotzdem kann man nicht davon ausgehen, dass der Datenschutz beim Virenschutz automatisch stimmt. Prüfen Sie die Datenschutzerklärung des Anbieters genau, bevor Sie sich für eine Lösung entscheiden.
Frage: Antiviren-Software verarbeitet personenbezogene Daten nur zu Sicherheitszwecken. Stimmen Sie dem zu?
a. Ja, zu welchen Zwecken sollte ein Sicherheitsprogramm denn sonst Daten verarbeiten?
b. Man sollte in der Datenschutzerklärung prüfen, zu welchen Zwecken der Software-Anbieter personenbezogene Daten erhebt, nutzt und speichert. Man kann Erstaunliches finden ...
Lösung: Die Antwort b. ist richtig, wie eine Untersuchung von AV-Test ergeben hat. Ob die erhobenen Nutzerdaten wirklich dem Sicherheitszweck dienen oder nicht, können Sie sich klarmachen, indem Sie die Sicherheitsfunktionen betrachten und sich fragen, ob Sie diese denn möchten oder nicht.
So kann ein Zugriff auf die Standortdaten sinnvoll sein, wenn Sie die Funktion nutzen wollen, ein verlorenes oder gestohlenes Gerät wiederzufinden. Daten über das Geschlecht und die sexuelle Orientierung des Nutzers haben aber zweifellos nichts mit den Sicherheitsfunktionen zu tun. Trotzdem wollen manche Antiviren-Lösungen solche Daten erheben und verarbeiten. Hier ist mehr als Vorsicht angesagt – es empfiehlt sich die Suche nach einer anderen Antiviren-Software!
Eingestellt von Florian Günter um 09:51
Labels: Datenschutz, securITy, Virenschutz, yourIT
Ist mit einem Pentester eine Vereinbarung zur Auftragsdatenverarbeitung gemäß § 11 BDSG notwendig
yourIT aus Hechingen ist im Bereich Datenschutz & Informationssicherheit als Dienstleister und Berater tätig. Das IT-Systemhaus mit dem Slogan "Security in everything we do" bietet seinen Kunden unter anderem professionelle Schwachstellenanalysen und Penetrationstests an. Hierzu wurden und werden deutschlandweit Systemhaus-Partner aufgebaut, die eine Versorgung mit gleichbleibender Qualität im gesamten Bundesgebiet sicherstellen können.
Folgende interessante Frage wurde von einem Partner an yourIT herangetragen:
"Muss mit einem externen Dienstleister, der im Auftrag einen Pentest durchführen soll, ein Vertrag nach §11 Bundesdatenschutzgesetz (BDSG) bzw. Artikel 28 Abs. 3 EU-Datenschutzgrundverordnung (EU-DSGVO) geschlossen werden? Es werden an den Auftragsdatenverarbeiter (neu: Auftragsverarbeiter) ja eigentlich keine personenbezogenen Daten geliefert, wenn man jetzt von den Kontaktdaten zum Audit absieht.
Muss für solche Dienstleistungen ein § 11 Vertrag geschlossen werden, oder ist hier eine Verschwiegenheitserklärung sinnvoller.
Es wird ja kein Auftrag erteilt zum verarbeiten der Daten, sondern zur Prüfung der Systeme."
yourIT bietet eine breite Palette an Dienstleistungen und Beratungen im Bereich Datenschutz & Informationssicherheit
Und hier die Antwort von yourIT:
Wir möchten gerne voranstellen, dass zur sicheren Durchführung von Schwachstellenanalysen und Penetrationstests (Pentests) unbedingt ein sauberes und durchdachtes Vertragswerk notwendig ist. Ohne eine vom Verantwortlichen des Auftraggebers unterzeichnete "Permission to Attack" darf z.B. kein Audit stattfinden.
Wir geben Ihnen Recht: Bis auf die Kontaktdaten zum Audit werden augenscheinlich keine personenbezogenen Daten an den Pentester geliefert. Aber: Im Verlauf des Audits kann es vorkommen, dass der Auditor oder Pentester Zugriff auf personenbezogene Daten bekommt, wenn er in die Systeme eindringen kann. Das ist ja auch sein Auftrag Schwachstellen zu finden.
Zur Klärung der obigen Fragestellung gibt es den § 11 Absatz 5 BDSG: „Die Absätze 1 bis 4 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.“
Wir empfehlen den zusätzlichen Abschluss einer Verschwiegenheitserklärung (Non-Disclosure-Vereinbarung) für die Wahrung von Betriebs- und Geschäftsgeheimnissen etc.
yourIT - Wir auditieren und zertifizieren Pentester
Achtung: Die §11-Zertifizierung durch unser Beratungsunternehemen ist im Jahr 2017 förderfähig! Holen Sie sich bis zu 1.500 EUR FördermittelMehr zu diesem und unseren anderen staatlich geförderten Beratungspaketen haben wir auf einer eigenen Website zusammengestellt: http://www.mITgroup.eu
Bonus für mittelständische Pentester - Jetzt Fördermittel nutzen!
Um die Wettbewerbsfähigkeit mittelständischer Unternehmen zu steigern, stehen für Beratungsprojekte wie z.B. die §-11-Zertifizierung Fördergelder des Europäischen Sozialfonds bereit. Handeln Sie jetzt! Nähere Infos hierzu finden Sie hier.
Labels: Pentest, Schwachstellenanalyse, Schwachstellenmanagement
Ist mit einem Pentester eine Vereinbarung zur Auft...