Source: https://www.comdatis.de/blog.php/whatsapp-im-unternehmen-und-verein/
Timestamp: 2019-09-22 04:17:51
Document Index: 111572432

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'Art. 26', '§ 630', '§147', '§146', '§146', '§ 146', '§ 146', 'Art. 30', 'Art. 12', 'Art. 6', 'Art. 6', 'Art. 6', '§ 5', '§ 17', '§ 203']

Nach Tags filtern: informationssicherheitdatenschutzinformationssicherheitverfahrensdokumentation
02.09.2019 08:07
Apps und der Datenschutz
Eine App zur Erhöhung des mobilen Komforts oder des Spiel-Spaßes ist schnell installiert. Kurz noch alle Berechtigungsanfragen mit OK bestätigen und los geht’s.
Halt, Stop! Warum brauchen die Apps die Berechtigungen und warum sind wir so sorglos im Umgang mit Apps?
Kurz informiert: Aktuelles zum Datenschutz
Heute gibt es einmal einen Blog-Betrag mit mehreren Themen, über die wir kurz informieren möchten, da diese an anderen Stellen umfangreich erläutert sind.
Die folgenden Themen werden wir aufgreifen:
- EuGH: Einwilligung für Social Plugins und Tracking erforderlich
- OLG Frankfurt a.M.: Urteil zur Kopplung von Einwilligung mit Teilnahme an Gewinnspiel
- LfD Niedersachsen: Querschnittsprüfung in der Wirtschaft - Kriterienkatalog
Ohne Frage ist die im Gesundheitssektor stattfindende Digitalisierung eine Zeit- und auch Arbeitsersparnis für viele Ärzte und auch Krankenversicherte. Aber ist sie auch immer so sicher, wie sie von einigen Anbietern beschrieben wird?
Podcast: Neue GoBD
In unserem 3. Podcast haben wir für Sie die wichtigsten Neuerungen der GoBD zusammengefasst. Außerdem gehen wir zum Thema Datenschutz auf Google Analytics ein.
Hier können Sie den Podcast abrufen.
Notfallkonzept? Brauche ich nicht! Oder doch?
Beim Thema Notfallkonzept denkt jeder schnell an die EDV im Unternehmen, von der man irgendwie abhängig ist. Seit Mai 2018 wird das Thema Notfallkonzept auch gerne im Zusammenhang mit der Datenschutzgrundverordnung (DSGVO) genannt.
Aber ist das wirklich das, was ein Notfallkonzept ist? Ich sage: Jeder Unternehmer und Unternehmerin braucht ein Notfallkonzept!
GoBD - neue Fassung im Juli 2019
Am 11. Juli kam die neue Fassung der GoBD heraus. Die Abkürzung steht für:
"Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff". Wir haben uns mit den Änderungen beschäftigt und haben die grundlegenden Änderungen nachfolgend zusammengefasst. Vorab muss man sagen, dass sich die Anzahl der Randziffern (184) und die Anordnung der Randziffern unverändert geblieben ist.
Ähnlich wie bei der Impressumspflicht ist es erforderlich, in den unterschiedlichen sozialen Netzwerken die Nutzer über die Datenverarbeitung zu unterrichten. Dazu ist die Datenschutzerklärung /-information zugänglich zu machen. Dies stellt Unternehmen, die soziale Netzwerke einsetzen, vor neuerliche Herausforderungen. Für jedes eingesetzte Netzwerk ist eine eigene Erklärung oder mindestens ein eigener Abschnitt in der Datenschutzerklärung zu erstellen. Ist diese Hürde gemeistert und die entsprechenden Informationen liegen vor, stellt sich die Frage, wie diese in den einzelnen Netzwerken zugänglich gemacht werden können. Antworten auf diese Frage haben wir bereits häufiger gesucht und folgende Umsetzungshilfe soll Ihnen bei der datenschutzkonformen Umsetzung helfen. Wir haben die gängigen sozialen Netzwerke näher betrachtet und für jedes eine Möglichkeit der Umsetzung erläutert.
Grundsätze der Datenverarbeitung nach DSGVO
Zwar bedarf es für jede Verarbeitung von personenbezogenen Daten aufgrund des Verbots mit Erlaubnisvorbehalt einer Rechtsgrundlage nach Datenschutzgrundverordnung (DSGVO) wie zum Beispiel der Erfüllung eines Vertrags oder einer rechtlichen Verpflichtung, allerdings müssen auch gemäß Artikel 5 DSGVO die Grundsätze für die Verarbeitung personenbezogener Daten stets gewahrt werden.
Wieder neuer Datenschutz: Endlich Bürokratieabbau oder Fake-News?
Am 28. Juni 2019 hat der Bundestag eine erneute Anpassung des Bundesdatenschutzgesetzes (BDSG) beschlossen. Eine Zustimmung des Bundesrates könnte bereits am 5. Juli 2019 erfolgen, so dass die Änderungen zeitnah im Bundesgesetzblatt veröffentlicht werden könnten.
Faraz Afscharian, Sven Schüldink
Die comdatis-Mitarbeiter Faraz Afscharian und Sven Schüldink unterhalten sich in diesem Podcast über das erste Jahr der Datenschutzgrundverordnung (DSGVO).
Unter anderem wird über die Themen Aufsichtsbehörden, Bußgelder, Abmahnrisiken und dem Wahnsinn der Einwilligungen gesprochen.
Hier können Sie Folge 01 unseres Podcasts abrufen.
Nie war Verfahrensdokumentation einfacher!
einfach/mittelständisch/pragmatisch zur GoBD-Verfahrensdokumentation!
In unserem neuen Coaching-Programm für Steuerberater können Sie sich als Steuerberater das Wissen aneignen, um Ihren Mandanten die Erstellung einer Verfahrensdokumentation anzubieten. Die notwendigen Vorlagen erhalten Sie einschl. Video-Erläuterung im Rahmen unseres Coachings.
Hier erfahren Sie mehr: www.verfahrensdokumentation.jetzt
#verfahrensdokumentation #gobd #Digitalisierung #einfachmittelständischpragmatisch
In der von der Datenschutzkonferenz veröffentlichen Orientierungshilfe für Anbieter von Telemedien (Vgl. https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf) werden Tipps und Hinweise zum datenschutzkonformen Einsatz von Cookies und Analyse-Tools auf Webseiten gegeben. Anhand dieser Orientierungshilfe haben wir uns näher mit der Thematik „Einsatz von (Drittanbieter-)Cookies und Analyse Tools“ auseinandergesetzt und folgende Handlungsempfehlungen für den datenschutzkonformen Einsatz von Cookies erarbeitet.
In Zeiten in denen Speicherplatz immer günstiger wird, verwundert es nicht, dass Unternehmen personenbezogene Daten ungerne löschen oder adäquat anonymisieren möchten. Die 2016 geschaffene EU-Datenschutzgrundverordnung gibt allerdings an vielen prominenten Stellen ein ganz klares Gebot zur Löschung vor.
Webcast-Aufzeichnung: GoBD-Verfahrensdokumentation
einfach/mittelständisch/pragmatisch zur GoBD-Verfahrensdokumentation. In unserem Webcast am 14. Mai 2019 hat unser Mitarbeiter Markus Olbring dargestellt, wie einfach die Umsetzung der Anforderungen an eine Verfahrensdokumentation zur Erfüllung der Anforderungen der GoBD sein kann.
Die Aufzeichnung kann bei YouTube angeschaut werden.
EMM - eine Möglichkeit zum datenschutzkonformen Einsatz von WhatsApp?
Wir berichteten bereits häufiger über den datenschutzkonformen Einsatz von WhatsApp in Unternehmen. Und über die Problematiken, die entstehen, wenn WhatsApp auf Firmen Smartphones eingesetzt werden soll und den fehlenden Lösungsansatz zum datenschutzkonformen Einsatz.
Wer ist von den GoBD betroffen?
Von den GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind alle Steuerpflichtigen mit Gewinneinkünften betroffen, die ihre unternehmerischen Abläufe mit Hilfe von IT-Systemen abbilden und die den GoB (Grundsätze ordnungsmäßiger Buchführung) in elektronischer Form nachkommen. Die GoBD gelten also für alle Buchführungs- und Aufzeichnungspflichtigen Unternehmen.
Am 21.03.2019 hat der Bundestag beschlossen die EU-Richtlinie "EU 2016/943" mit dem "Gesetz zum Schutz von Geschäftsgeheimnissen" (GeschGehG) umzusetzen, welches am 26.04.2019 in Kraft getreten ist.
Tags: datenschutzinformationssicherheit
Grundsätzlich gilt, dass eine kostenlose App in den meisten Fällen nicht umsonst ist. Es wird halt mit Daten bezahlt, um z.B. gezielt Werbeanzeigen zu schalten. Das könnte auch der Grund dafür sein, dass die hierfür notwendigen Berechtigungen und noch mehr von der App abgefragt werden.
Folgende Fragen helfen bei der Bewertung der Vertrauenswürdigkeit von Apps:
Benötigt die App tatsächlich die angefragten Berechtigungen?
Stammt die App aus einem der offiziellen App-Stores, also aus einer vertrauenswürdige Quelle?
Verwendet die App sichere Verbindungen für einen etwaigen Datentransfer?
Synchronisiert die App Daten mit einem Cloud-Speicher?
Erfolgt durch die App-Nutzung ein Transfer personenbezogener Daten in ein Land außerhalb der EU? Im Unternehmenseinsatz bedarf es hierfür einer Rechtsgrundlage.
Welche Informationen können aus der Datenschutzerklärung der App gewonnen werden?
#datenschutz #dsgvo #bdsg #comdatis #einfachmittelständischpragmatisch
EuGH: Einwilligung für Social Plugins und Tracking erforderlich
Die gerichtlichen Vorgaben, die sich aus der Entscheidung des EuGHs ergeben, gelten für Websites und Apps sowie für fast alle Social Plugins und Trackingtools. Bereits am 21.06.19 haben eine allgemeine Handlungsempfehlung zum Einsatz von Cookies und Analysetools im Blog veröffentlicht. Neben der dort erläuterten Einholung der erforderlichen Einwilligung zum Einsatz von Plugins / Tools (durch Cookie-Banner oder möglicherweise alternativ einer 2-Klick-Lösung) ergibt sich durch das Urteil ggf. weiterer Handlungsbedarf. So kann es notwendig sein, dass mit dem Anbieter des Plugins / Tools eine Vereinbarung über die gemeinsame Verantwortlichkeit gem. Art. 26 DSGVO abgeschlossen werden muss und der Nutzer über die gemeinsame Verantwortlichkeit zu informieren ist. Dies sollten Sie beim Einsatz von Plugins / Tools beachten, da eine fehlende Vereinbarung aus datenschutzrechtlicher Sicht einen Verstoß darstellt.
OLG Frankfurt a.M.: Urteil zur Kopplung von Einwilligung mit Teilnahme an Gewinnspiel
Ein weiteres Urteil, welches wir kurz erläutern möchten wurde vom OLG Frankfurt a. M. getroffen. Dabei ging es unter anderem um die Kopplung der Teilnahme an einem Gewinnspiel mit der Einholung einer Werbeeinwilligung. Der Leitsatz der Entscheidung lautet:
„1. Wird die Teilnahme an einem Gewinnspiel von der Einwilligung in zukünftige E-Mail-Werbung abhängig gemacht, handelt es sich um eine DSGVO-konforme Einwilligungserklärung.
3. Für die hinreichende Bestimmtheit der Einwilligungserklärung reicht es aus, wenn die sachliche Reichweite mit "Strom & Gas“ angegeben wird. Die Angabe "Marketing und Werbung" dürfte eher unwirksam sein, da sie nicht ausreichend bestimmt ist.“
Das bedeutet kurz gesagt, dass es datenschutzrechtlich konform ist, wenn mit der Teilnahme an einem Gewinnspiel in bestimmte Werbemaßnahmen eingewilligt wird und daraufhin bis zu acht Sponsoren / Unternehmen Werbung in dem bestimmten Bereich betreiben. Der Teilnehmer hat selbst (frei) zu entscheiden, ob ihm die Teilnahme an dem Gewinnspiel die Bekanntgabe / Weitergabe seiner Daten an bis zu acht Werbende wert ist.
LfD Niedersachsen: Querschnittsprüfung in der Wirtschaft – Kriterienkatalog
Die LfD Niedersachsen hat im letzten Jahr eine Querschnittsprüfung zur Umsetzung der DSGVO durchgeführt. Geprüft wurden 50 große und mittelgroße Unternehmen anhand eines Kriterienkatalogs mit 10 Themenbereichen mit circa 200 Einzelkriterien. Die Fragen umfassen u.a. die allgemeine Herangehensweise an die Umsetzung der DSGVO aber auch spezifische Bereiche wie das Verzeichnis von Verarbeitungstätigkeiten. Im Vordergrund der Überprüfung stand die Erlangung eines allgemeinen Umsetzungsstandes und nicht das Auffinden von Fehlern, jedoch wurden und werden aufgedeckte Mängel weiterverfolgt und möglicherweise auch Bußgelder verhängt.
Zukünftige Überprüfungen, die nicht auf Grund von Beschwerden oder konkreten Vorfällen durchgeführt werden, könnten einen ähnlichen Umfang besitzen. Durch die jetzige Veröffentlichung des Fragenkatalogs inklusiv der Einzelkriterien wird den Unternehmen eine Möglichkeit geboten, den eigenen Umsetzungsstand bewerten zu können und mögliche offene Aufgaben zu identifizieren. (https://lfd.niedersachsen.de/startseite/datenschutzreform/ds_gvo/kriterien-querschnittspruefung-179455.html)
Durch Gesundheits-Apps und Webportale kann der Krankenversicherte nun seine Gesundheitsdaten selbst in der Hand halten und muss nicht mühselig bei verschiedensten Ärzten eine Einsichtnahme (§ 630g BGB) verlangen. Ärzte haben durch diesen Einsatz unter Anderem weniger Bürokratieaufwand. Allerdings kann dies auch – gerade, wenn die Datensicherheit nicht vollumfänglich gewährleistet wird – Schwachstellen haben.
Seit Herbst 2018 gibt es bereits eine private Anbieterin für eine digitale Gesundheitsakte unter Anderem in Form einer Smartphone-App und eines Webportals mit Login. Diese soll laut Anbieterangaben an Impfauffrischungen erinnern, bei Medikamenteneinnahme unterstützen und über Wechselwirkungen aufklären. Ferner soll sie bei der Arztsuche helfen und alle Notfalldaten enthalten. Durch Funktionen eines „Gesundheits-Checks“ und individuelle Tipps soll sie dem Smartphone-Besitzer helfen, die Gesundheit aktiv mitzugestalten. Eine Partnerschaft besteht zu vierzehn gesetzlichen und zwei privaten Krankenkassen. Eine Übermittlung von ärztlichen Dokumenten kann mittels Schnittstelle von den Behandelnden vom Arzt angefordert werden.
Personenbezogene Gesundheitsdaten sind je nach Umfang und Art die wohl mit sensibelsten Daten und zu Recht durch den Artikel 9 der Datenschutzgrundverordnung (DSGVO) vom EU-Gesetzgeber besonders geschützt worden. Sie vor einer Datenschutzverletzung zu schützen sollte stets oberstes Ziel von Verantwortlichen und Betroffenen sein.
Keine Frage, dass sich der Verantwortung dieser sogenannten besonderen Kategorie personenbezogener Daten, die Anbieter bewusst sind. Allerdings wurden im September 2018 bei einer privaten Anbieterin bereits vierzehn Sicherheitslücken bekannt, die teilweise auch mit einem hohen Risiko klassifiziert wurden.
Ein unabhängiges Sicherheitsunternehmen hat Schwachstellen identifiziert, sodass personenbezogene Daten teils mit relativ geringem, mittlerem oder auch hohem Aufwand unbefugt verfügbar gemacht werden konnte. Zum Beispiel waren Informationen wer wann mit welchem Arzt Gesundheitsdaten geteilt hat ungeschützt und für jeden einseh- und lesbar im Internet, sog. Session-ID waren nur fünfstellig und bestanden nur aus Kleinbuchstaben, sodass diese innerhalb von 24 Stunden leicht zu „knacken“ sind und sich Zugang zu einer Schnittstelle Patient-Arzt verschafft werden könnte, Metadaten konnten durch unbefugte Dritte eingesehen werden, Angreifer konnten sich als authentischem Nutzer ausgeben und so Dokumente vom Arzt anfordern und einsehen, eine Pseudonymisierung der Anwender konnte umgehen werden, sodass der Anbieter eine Zuordnung von Nutzer zu Pseudonym vornehmen kann, im Systemlog für Fehlermeldungen des Smartphones wurden teilweise Daten geloggt, aus denen Krankheitsbilder hervorgehen.
Auch eine gesetzliche Krankenkasse hat bereits eine Gesundheits-App auf den Markt gebracht, diese soll es ermöglichen die Gesundheits- und Krankheitsdaten strukturiert und übersichtlich an einem Ort zu speichern und selbst zu managen. Dort können Informationen wie beispielsweise die verordneten Medikamente, Impfungen, Diagnosen oder Röntgenbilder eingesehen werden.
Eine andere privater Anbieterin von digitaler synchronisierter Healthcare plante unterdes bereits in ihrem Finanzreport laut Medienberichten eine fünfprozentige Wahrscheinlichkeit von Schäden durch Datenverarbeitungsrisiken ein.
Dies Beispiel zeigt, dass neben allen Vorteilen, die eine Digitalisierung im Gesundheitswesen haben kann, auch immer ein Risiko einhergehen kann und eine IT-Sicherheit stets laufend unabhängig überprüft werden muss. Ferner sollte jeder Betroffene genau abzuwägen, welche Risiken eine eventuelle Datenschutzverletzung für die eigenen persönlichen Rechte und Freiheiten bedeuten kann.
Dabei geht es keineswegs nur um das Unternehmern oder deren IT. Es gilt: Der Blick über den Tellerrand und die Einbeziehung von Vertrauenspersonen ist wesentlicher Bestandteil eines übergreifenden Notfallkonzeptes.
Folgende Frage ist die Grundlage für das Notfallkonzept: Was müssen meine Mitarbeiter und Kollegen sowie mein persönliches Umfeld bei einem Ausfall meiner Person wissen, damit es im beruflichen und privaten Umfeld weiterlaufen kann?
Zugegebenermaßen hatte ich große Probleme damit, mich zu überwinden, ein Notfallkonzept zu erstellen. Irgendwie musste ich mich mit einem Thema auseinandersetzen, welches so weit entfernt zu sein scheint. Trotzdem ist es sinnvoll und wohl auch notwendig, sich mit dem schlimmsten aller Fälle auseinanderzusetzen.
Ich habe nun also ein Notfallkonzept erstellt, dabei habe ich unterschieden zwischen dem beruflichen und privaten Umfeld.
Zunächst möchte ich das betriebliche Umfeld betrachten, hier der Einfachheit halber als Checkliste zusammengefasst:
Wer kann mich als Geschäftsführer im Unternehmen vertreten? (z.B. Gibt es einen weiteren Geschäftsführer oder ist jemand als Prokurist bestellt, der die Geschäftsführung übernehmen könnte)
Wer kann mich als Gesellschafter im Unternehmen vertreten?
Ist so etwas wie ein Krisenstab notwendig? (in Kleinstunternehmern vielleicht etwas übertrieben, aber immer doch sinnvoll: Mitglieder aus dem familiären Umfeld und wichtige Mitarbeiter im Unternehmen sollten den Krisenstab bilden)
Wer kann die wesentlichen Prozesse im Unternehmen abwickeln (z.B. Zahlungsverkehr, Dienstleistungserbringung an Kunden, Personalthemen usw.)?
Wer entscheidet über eine Benachrichtigung von Geschäftspartnern über einen Krisenfall und wer übernimmt die Benachrichtigung?
Wo sind wichtige Kontaktdaten hinterlegt?
Gibt es externe Vertrauenspersonen, die einzubeziehen sind? (z.B. Steuerberater, Rechtsanwalt, Versicherungsmakler, Bank/Sparkasse, IT-Dienstleister)
Worst Case: Wie sieht es mit einer Nachfolge- / Erbregelung aus?
Gibt es eine Übersicht betrieblicher Bankkonten und gibt es eine Vollmacht für Vertretungsregelungen?
Gibt es ein Bankschließfach mit wichtigen Informationen und ist sichergestellt, dass auch eine Vertretung darauf Zugriff hat?
Welche wesentlichen Schuldverhältnisse gibt es evt. im Unternehmen? (z.B. Darlehen, Leasingverträge)
Was sind die wesentlichen Zahlungsverpflichtungen des Unternehmens?
Gibt es Unternehmensbeteiligungen?
Gibt es eine Übersicht der betrieblichen Versicherungen? Hierzu bietet sich eine Tabelle an: Art der Versicherung, Versicherer, Ansprechpartner, Kontaktdaten, Versicherungsnummer, Beitrag, Zahlungsweise des Beitrags, Fälligkeit, Zahlungsart, Aufbewahrungsort der Police.
Der Unternehmer selber ist häufig nicht über die Berufsgenossenschaft unfallversichert: Es muss also bekannt sein, wo der Unternehmer selber unfallversichert ist.
Gibt es ein zentrales Vertragsmanagement im Unternehmen? Dies kann softwaregestützt erfolgen, papierbasiert oder auf andere Weise. Vertragliche Verpflichtungen sollten auf jeden Fall festgehalten werden
Wo befinden sich Handelsregisterauszüge?
Wo befinden sich Grundbuchauszüge?
Gibt es ein Verzeichnis von Patenten, Markenrechten?
Wo werden die KFZ-Briefe des Firmenfuhrparks aufbewahrt?
Gibt es wichtige und im Notfallkonzept erwähnenswerte Rechtsstreitigkeiten?
Sind wichtige Kennwörter irgendwo sicher hinterlegt?
Hier eine Checkliste für das private Umfeld:
Wer sind die Vertrauenspersonen im privaten Umfeld, die zu benachrichtigen sind? (z.B. Ehe-/Lebenspartner, Kinder)
Gibt es eine Übersicht privater Bankkonten (einschl. Wertpapierdepots) und ist über eine Vollmacht eine Vertretungsregelung sichergestellt?
Welche wesentlichen privaten Vermögenswerte gibt es? (z.B. Immobilien, Sparverträge)
Gibt es ein Bankschließfach (oder anderen Ablageort z.B. Tresor) mit wichtigen Informationen und ist sichergestellt, dass auch eine Vertretung darauf Zugriff hat?
Welche wesentlichen privaten Zahlungsverpflichtungen gibt es?
Welche wesentlichen Schuldverhältnisse bestehen? (z.B. Darlehen)
Gibt es eine Übersicht der privaten Versicherungen? Eine Tabellenform, wie oben beschrieben, ist empfehlenswert. Besonders bedeutsam ist hier meines Erachtens: Krankenversicherung (gesetzliche, privat, privat zusatzversichert), Unfallversicherung, Risikoleben, Berufsunfähigkeit
Gibt es externe Vertrauenspersonen, die einzubeziehen sind? (z.B. Steuerberater, Rechtsanwalt/Notat, …)
Wo sind Verträge, Urkunden und Vollmachten abgelegt (z.B. Testament, Ehevertrag, Heiratsurkunde, eigene Geburtsurkunde, Vorsorgevollmacht, Patientenverfügung usw.)
Wo befinden sich Grundbuchauszüge von z.B. privatem Wohneigentum?
Es macht keinen Spaß, sich mit diesem Thema auseinanderzusetzen. Vermutlich ist aber für jeden Unternehmer nachvollziehbar, dass ein Notfallkonzept Pflicht ist! Ich habe ein Notfallkonzept erstellt, hoffe aber, dass es nie gebraucht wird. Außerdem habe ich mir vorgenommen, das Notfallkonzept jährlich zu überprüfen.
Sehr hilfreich war für mich übrigens eine Vorlage der IHK Nord-Westfalen: https://www.ihk-nordwestfalen.de/blob/msihk24/IHK-Service/Nachfolge/downloads/3569858/098154c4eb087276cd4aa89cb800a4bd/IHK-NW_Notfallhandbuch-data.pdf
Wann kommt die neue Fassung der GoBD zum Einsatz?
Es ist auf Besteuerungszeiträume anzuwenden, die nach dem 31. Dezember 2019 beginnen. Es wird selbstverständlich nicht beanstandet, wenn Änderungen nun bereits zeitnah umgesetzt werden.
Doch was hat sich den geändert? Müssen konforme Unternehmen sich nun erneut damit befassen?
Ein klares Jaein. Selbstverständlich muss die neue GoBD herangezogen werden, um zu analysieren, ob die Änderungen die internen Prozesse betreffen. Ganz interessant ist die Änderung in der Randziffer 154. Hier nun ein Ausschnitt aus der alten Version: Die Verfahrensdokumentation ist bei Änderungen zu versionieren und eine nachvollziehbare Änderungshistorie vorzuhalten.
In der neuen Fassung wird diese Anforderung nun konkretisiert. Nachfolgend ein Ausschnitt aus der neuen Fassung: Änderungen einer Verfahrensdokumentation müssen historisch nachvollziehbar sein. Dem wird genügt, wenn die Änderungen versionisiert sind und eine nachvollziehbare Änderungshistorie vorgehalten wird.
Leider hat sich das BMF selbst nicht dran gehalten. So ist es eine sehr müheselige Aufgabe die Änderungen heraus zu filtern.
Eine weitere Sache fällt dem Leser direkt auf. Es wird nicht mehr von Scannung, sondern von der "bildlichen Erfassung" gesprochen. Gemäß der Randziffer 130 ist die bildliche Erfassung gleichzusetzen mit einer Scannung und/ oder das Fotografieren eines Beleges mit dem Smartphone. Und damit kommen wir nun zu der Änderung in der Randziffer 130.
Werden Handels- oder Geschäftsbriefe und Buchungsbelege in Papierform empfangen und danach elektronisch bildlich erfasst (z. B.gescannt oder fotografiert), ist das hierdurch entstandene elektronische Dokument so aufzubewahren, dass die Wiedergabe mit dem Original bildlich übereinstimmt, wenn es lesbar gemacht wird (§147 Absatz 2 AO). Eine Erfassung kann hierbei mit den verschiedensten Arten von Geräten (z.B. Smartphones, Multifunktionsgeräten oder Scan-Straßen) erfolgen, wenn die Anforderungen dieses Schreibens erfüllt sind. Werden bildlich erfasste Dokumente per Optical-Character-Recognition-Verfahren (OCR-Verfahren) um Volltextinformationen angereichert (zum Beispiel volltextrecherchierbare PDFs), so ist dieser Volltext nach Verifikation und Korrektur über die Dauer der Aufbewahrungsfrist aufzubewahren und auch für Prüfzwecke verfügbar zu machen. §146 Absatz 2 AO steht einer bildlichen Erfassung durch mobile Geräte (z. B. Smartphones) im Ausland nicht entgegen, wenn die Belege im Ausland entstanden sind bzw. empfangen wurden und dort direkt erfasst werden (z.B. bei Belegen über eine Dienstreise im Ausland).
Die OCR Anforderung gab es bereits in der ersten Fassung. Nun wird jedoch explizit erlaubt, mobile Endgeräte für die Digitalisierung der Belege zu verwenden. Neben der Randziffer 130 wird unter der Randziffer 136 die Scannung bzw. die bildliche Erfassung von Belegen im Ausland als zulässig erklärt. Dies betrifft im Ausland entstandene Belege, die direkt verarbeitet werden, aber auch die Scannung von Belegen durch einen Outsourcing Partner im Ausland. Dazu benötigt es jedoch die explizite Genehmigung (siehe §146 Abs. 2a Abgabenordnung).
Zu einer der größten Änderungen / Erleichterungen gehört die Erlaubnis zur Nutzung von Cloud-Systemen. Dies wird unter der Randziffer 20 der GoBD beschrieben. Und zwar wird unter der Randziffer 20 erläutert was unter einem DV-System verstanden wird. Es werden hier einige Beispiele genannt, die wir explizit nun auch aufführen möchten:
Finanzbuchführungssystem
Cloud-Systeme (ergänzt in der neuen Fassung)
Die explizite Erlaubnis zur Nutzung von Cloud-Systemen gehört sicherlich zu den größten Neuerungen bzw. Erleichterungen. Dies betrifft vor allen kleineren Unternehmen, die nun nicht mehr alle Server und Anwendungen intern betreiben müssen. Neben dem erhöhten Cash-Flow werden Administrationsarbeiten massiv minimiert. Leider haben wir keine konkreten Anforderungen dazu gefunden, wie die Dienste einzusetzen sind, wie bspw. in welchem Land das System betrieben wird und welche Standards einzuhalten sind.
Eine weitere Erleichterung findet sich unter Randziffer 135 wieder. Dies betrifft die Konvertierung, also die Umwandlung der Aufbewahrungspflichtigen Unterlagen. Bisher mussten, soweit Umwandlungen stattfanden sowohl die Originaldatei, als auch die konvertierte Version unter derselben Index aufbewahrt werden. In der neuen Fassung wird jedoch beschrieben, dass die Aufbewahrung beider Versionen nicht erforderlich ist. Demnach muss lediglich die konvertierte Version aufbewahrt werden, wenn:
Keine bildlichen oder inhaltlichen Veränderungen vorgenommen worden sind.
Durch die Konvertierung keine Aufbewahrungspflichtigen Informationen verloren gehen.
Die ordnungsgemäße und verlustfreie Konvertierung in der Verfahrensdokumentation beschrieben wird
Die Maschinelle Auswertbarkeit und der Datenzugriff durch die Finanzbehörde nicht eingeschränkt wird.
Darüber hinaus wurden einige Aussagen konkretisiert so Beispielsweise unter der Randziffer 48. In der ersten Fassung lautete die Formulierung "Kasseneinnahmen und Kassenausgaben sollen nach § 146 Absatz 1 Satz 2 AO täglich festgehalten werden.". In der neuen Fassung wurde diese Aussage wie folgt konkretisiert: "Kasseneinnahmen und Kassenausgaben sind nach § 146 Absatz 1 Satz 2 AO täglich festzuhalten.". Die überarbeitete Version lässt weniger Spielraum für Interpretationen zu.
Als Fazit kann gesagt werden, dass die Änderungen den steuerpflichtigen Unternehmen einen kleinen Schritt entgegenkommen, um Bürokratieabbau zu schaffen.
Zunächst ist es notwendig, dass Sie eine Datenschutzerklärung für alle eingesetzten soziale Netzwerke erstellen und diese (beispielsweise als PDF-Datei oder in HTML) auf Ihren Webserver hochladen. Die Datenschutzerklärung für die sozialen Netzwerke muss nicht im Menü der Webseite bereitgestellt werden, sondern lediglich per (sprechenden) Link aufzurufen sein. Bei einem „sprechenden Link“ enthält der Link das Wort „Datenschutzerklärung“ oder „Datenschutz“. Des Weiteren ist es ebenfalls möglich, dass Sie die Informationen der Datenschutzerklärung der Webseite hinzufügen. Den entsprechenden Link fügen Sie beispielsweise wie folgt bei den einzelnen Netzwerken ein:
Nach dem Einloggen gehen Sie in den „Info-Bereich“. Im unteren rechten Bereich der Seite befindet sich der Punkt „Bearbeiten Datenrichtlinie“. Es öffnet sich ein kleines Fenster, in welchem der Link zu der Datenschutzerklärung eingefügt werden kann.
Bei LinkedIn klicken Sie, nach dem Einloggen, auf die Schaltfläche „Sie“. Dort navigieren Sie zu dem Punkt „Kontaktdaten“. Unter dem Punkt „URL der Website“ fügen Sie den Link zu der Datenschutzerklärung ein und geben bei der „Art“ an, dass es eine Datenschutzerklärung ist. In der Zusammenfassung („Über Uns“) geben Sie den Text „Die Datenschutzerklärung finden Sie unter „Kontaktdaten“.“ ein. Dadurch können Sie an dieser Stelle jedoch nicht mehr auf die eigentliche Unternehmenswebseite verweisen. Sie können auch in der Zusammenfassung („Über uns“) auf die Datenschutzerklärung mit Einbindung des Links verweisen.
Zunächst loggen Sie sich bei Xing in das Unternehmensprofil ein. Im unteren rechten Bereich finden Sie die Kontaktbox und den Bereich „Kontaktdaten hinzufügen“. In der Rubrik „Unternehmenswebseite“ kann der Link zur Datenschutzerklärung eingefügt werden. Dadurch können Sie an dieser Stelle jedoch nicht mehr auf die eigentliche Unternehmenswebseite verweisen. Der Verweis auf die Datenschutzerklärung kann ebenso im Bereich „Über uns“ erfolgen. Dort beispielsweise mit dem Hinweis „Die Datenschutzerklärung finden Sie unter folgendem Link: “ und an dieser Stelle fügen Sie den entsprechenden Link ein.
Öffnen Sie den Bearbeitungsmodus und klicken Sie unterhalb des Profilbildes auf „Website-URL“ und fügen dort den Link zur Datenschutzerklärung ein. Sollten Sie an dieser Stelle die Unternehmenswebseite verlinkt haben, können Sie den Link zur Datenschutzerklärung ebenso in der Profilbeschreibung unterbringen. Dort ist dieser Link z.B. mit dem Beisatz „Unsere Datenschutzerklärung finden Sie unter:“ einzubinden.
Bei Instagram klicken Sie auf die Schaltfläche „Profil bearbeiten“ und fügen im unteren Bereich unter „Website“ den Link zur Datenschutzerklärung ein. Ist an dieser Stelle ebenfalls die Unternehmenswebseite verlinkt, sollte der Link zur Datenschutzerklärung in der Beschreibung eingefügt werden.
Die Möglichkeit den Link einzufügen finden Sie bei Google+ nach dem Sie die Schaltfläche „Profil bearbeiten“ ausgewählt haben und dort in dem Bereich „Kurzinfo“.
Nach dem Anmelden bei YouTube wählen Sie das „Profil-Menü“ und anschließend „Mein Kanal“ aus. Dort müssen Sie auf „Kanal anpassen“ klicken und bei den „Kanaleinstellungen“ das „Kanallayout anpassen“ auswählen. Speichern Sie dies. Danach wählen sie im Titelbild oben rechts das Stiftsymbol „Links bearbeiten“. Im unteren Bereich wählen Sie „+ Links“ aus und fügen den Link und die Bezeichnung ein. Anschließend beenden Sie die Bearbeitung durch Auswahl von „Fertig“.
Beachten Sie, dass durch diese Möglichkeit zwar die Datenschutzerklärung rechtskonform eingebunden ist, Sie jedoch möglicherweise nicht der Impressumspflicht nachkommen. Eventuell ist in den einzelnen Netzwerken eine separate Möglichkeit zur Einbindung des Impressums gegeben (z.B. bei Facebook). Sollte dies nicht möglich sein, ist zu überlegen, die Datenschutzerklärung und das Impressum zu kombinieren und somit mit einem sprechenden Link auf Beides hinzuweisen. Dabei ist darauf zu achten, dass klar ersichtlich ist, dass der Link neben der Datenschutzerklärung auch auf das Impressum verweist.
Bitte bedenken Sie, dass dies lediglich einige Möglichkeiten aufzeigt, wie Sie (neben der Impressumspflicht) auch der Pflicht zur Einbindung einer Datenschutzerklärung nachkommen könnten. In welcher Weise Sie der Impressums- und Informationspflicht nachkommen, ist individuell von Ihnen zu überlegen. Ein wichtiger Hinweis ist zudem, dass sowohl Impressum als auch Datenschutzerklärung mit lediglich 2-Klicks von der Webseite oder dem Profil des sozialen Netzwerkes aus erreichbar sein müssen und der Besucher die entsprechenden Informationen erhält.
Diese grundlegenden Prinzipien muss jeder Verantwortliche (Unternehmen, Vereine etc) einhalten und Rechenschaft über die Einhaltung ablegen können. Konkrete Beispiele wie einer Rechenschaft- und Nachweispflicht nachgekommen werden kann, beschreibt die DSGVO nicht konkret. Allerdings lohnt sich hier ein Blick in die Erwägungsgründe: in der Nr. 82 wird zum Nachweis der Einhaltung der DSGVO das Führen eines Verzeichnisses der Verarbeitungstätigkeiten geboten. Die in Art. 30 DSGVO beschriebenen vorausgesetzten Angaben in einem Verzeichnissen der Verarbeitungstätigkeiten könnten somit praxisnah mit Nachweisen der Einhaltung der Grundsätze erweitert werden.
Die mitunter ungegenständlich beschriebenen Grundsätze sind unter Umständen nicht für jeden Verantwortlichen einfach zu interpretieren. Aus diesem Grund möchten wir Ihnen in diesem Blogbeitrag die obengenannten Grundsätze vorstellen und kurz erläutern.
Die hiergenannte Rechtmäßigkeit bezieht sich auf die in Artikel 6 DSGVO beschriebenen Rechtsgrundlagen. Der Begriff des Treu und Glauben ist nicht neu und besteht auch im deutschen BGB und in der EU-Grundrechte-Charta. Er beschreibt abstrakt die Fairness, die eingehalten werden muss. Die letzte Anforderung der Transparenz ist vielen Verantwortlichen auch durch die Datenschutzinformationen gem. Art. 12 ff. DSGVO bekannt.
Bereits die Erhebung des personenbezogenen Datums muss für ein oder auch mehrere festgelegte, eindeutige und legitime Zwecke durch den Verantwortlichen geschehen. Die starre Bindung an einen oder mehrere Zweck(e) wird allerdings wiederrum durch den Art. 6 Abs. 4 DSGVO und den Erwägungsgrund Nr. 50 abgeschwächt. Zweckänderungen müssen daher immer vereinbar mit dem ursprünglichen Zweck sein.
Die Datenminimierung bezeichnet, dass die Verarbeitung (als kompletter Lebenszyklus der personenbezogenen Daten) und auch Weiterverarbeitungen auf ein verhältnismäßiges Minimum reduziert sein muss. Dies schließt die Erhebung, aber auch das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung ein. Ein besonderes Augenmerk hat die DSGVO bei der Minimierung der Speicherfrist gelegt, diese ist explizit im Erwägungsgrund Nr. 39 Satz 8 nochmals erwähnt
Es sind vom Verantwortlichen alle vertretbaren Schritte zu unternehmen, unrichtige oder unzutreffende personenbezogenen Daten zu korrigieren oder zu löschen. Es sollte daher stets vom Verantwortlichen geprüft und bewertet werden, inwieweit er vertretbar eine Berichtigung oder Löschung umsetzen kann.
Der Verantwortliche hat auf Grund dieses Abschnittes die personenbezogenen Daten in einer Form zu speichern und identifizierbar zu halten, wie es für die Zweckerfüllung erforderlich ist. Mit Hintergrund auf die mögliche Zweckänderung, kann durch diese auch eine längere Speicherdauer unter Umständen erwirkt werden.
Dieser Absatz verpflichtet den Verantwortlichen auf die Einhaltung von Informationssicherheit durch technische und organisatorische Maßnahmen – sogenannte TOMs. Unbeabsichtigter Verlust lässt sich in der Regel nur mit Sicherungskopien von Datenbeständen erreichen, die wiederum scheinbar gegen die Grundsätze der Speicherdauer und der Zweckbindung verstoßen. Nach herrschender Meinung ist allerdings eine durch Buchstabe f) geforderte Datensicherheit wiederum ein legitimer Zweck.
Ein Ziel der Änderung waren notwendig geglaubte Erleichterungen insbesondere für kleine und mittlere Unternehmen. Dem wurde jedoch lediglich dadurch Rechnung getragen, dass die Notwendigkeit zur Ernennung eines Datenschutzbeauftragten nicht schon ab 10, sondern erst ab 20 Mitarbeitern erfolgen muss.
Ok, und das war’s dann auch schon mit den Erleichterungen.
Nehmen wir mal an, in Ihrem Unternehmen muss durch die Änderung kein Datenschutzbeauftragter bestellt werden. Mindestens die folgenden Pflichten aus der Datenschutzgrundverordnung bleiben weiterhin bestehen:
Vereinbarungen zur Auftragsverarbeitung
Es stellt sich nun die Frage, wer den vielfältigen Pflichten aus der DSGVO im Unternehmen nachkommt. Diese bestehen ja weiterhin, aber es muss kein Datenschutzbeauftragter ernannt sein. Es kommt das Risiko auf, dass den Pflichten nur unzureichend nachgegangen wird mit der Folge eines Qualitätsverlustes für den Datenschutz.
Bei dieser Gesetzesänderung kann leider nicht von Erleichterungen gesprochen werden. Wenn dies getan würde, wären es wohl fake news.
Eine echte Erleichterung bezogen auf die Dokumentationspflichten wäre, insbesondere für KMU, sicherlich wünschenswert. Leider wurde dem aber nicht nachgegangen.
#datenschutz #dsgvo #bdsg #comdatis #einfachmittelständischpragmatisch #bürokratieabbau
Drittanbieter-Cookies (wie Google Analytics oder Facebook Plugins) sind nur mit ausdrücklicher Einwilligung einsetzbar. Um dies zu gewährleisten sind die folgenden Punkte zu erfüllen:
Beim erstmaligen Besuch der Webseite ist ein Cookie-Banner einzusetzen.
Der Cookie-Banner muss eine Übersicht über die einwilligungsbedürftigen Verarbeitungsvorgänge (Cookies) unter Nennung der beteiligten Akteure und deren Funktion enthalten.
Der Cookie-Banner darf die Verlinkung zur Datenschutzerklärung und zum Impressum nicht verdecken.
Die Einwilligung des Besuchers ist durch „Opt-in“ für jeden Drittanbieter-Cookie einzuholen (dabei darf „aktiviert“ nicht voreingestellt sein, d.h. es ist eine aktive Handlung des Besuchers nötig [z.B. Haken setzen oder Klick auf Schaltfläche, etc.]).
Es muss eine Möglichkeit zum Widerruf / zur nachträglichen Deaktivierung gegeben werden.
Bevor eine freiwillige Einwilligung abgegeben wurde müssen die Cookies gesperrt / blockiert sein. Erst mit der Einwilligung des Besuchers ist die Aktivierung der Cookies rechtskonform.
Das Ergebnis der Auswahl / Einwilligung / Widerspruchs ist ohne Verwendung einer User-ID o.ä. vom Verantwortlichen auf dem Endgerät des Benutzers zu speichern.
Die Webseite sollte ohne Einwilligung oder lediglich teilweise Einwilligung in Drittanbieter-Cookies vollumfänglich besuchbar / abrufbar sein.
Zu beachten / prüfen ist die angegebene Rechtsgrundlage zur Verarbeitung in der Datenschutzerklärung. Die Rechtsgrundlage lautet in diesem Fall „Art. 6 Abs. 1 lit. a DSGVO“.
Lokal betriebene Cookies, die keine Daten an Dritte übermitteln, können weiterhin ohne Einwilligung eingesetzt werden. Diese können mit der Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO berechtigtes Interesse begründet werden. Dies gilt beispielsweise dann, wenn eine lokale Installation eines Webanalysedienstes verwendet wird (z.B. Matomo).
Ähnlich wie bei Drittanbieter-Cookies ist die Verwendung von Drittanbieter-Schriftarten (z.B. Google Fonts) durch Herunterladen vom Drittanbieter-Server datenschutzrechtlich fragwürdig. Hier empfehlen wir dringend, dass die Schriftarten lokal auf dem eigenen Server eingebunden werden sollten.
Bei diesen Punkten handelt es sich um Handlungsempfehlung auf Grundlage der aktuellen Bekanntmachungen und Gesetzesauslegungen. Mögliche Rechtsprechungen und klare Stellungnahmen der Aufsichtsbehörden zur Thematik werden von uns weiter verfolgt und bei Bedarf eine Anpassung solcher Handlungsempfehlungen vorgenommen.
Die Flut an und die Dezentralisierung von Dateien und Dokumenten - ob elektronisch oder papierbasiert - ist in der Regel so umfassend, dass ein Unternehmen nicht um ein Löschkonzept herumkommt. Der Umstand das Unternehmen ein gelebtes Löschkonzept benötigen, wird auch seitens der herrschenden Meinung immer wieder betont, aber in der Praxis selten implementiert.
Ein aktuelles Bußgeldverfahren der Datenschutzaufsichtsbehörde "Datatilsynet" in Dänemark zeigt nun wieder einmal, wie wichtig ein Konzept für das Löschen in Unternehmen ist. Ein dänisches Unternehmen hatte personenbezogene Daten nicht nur viel zu lange und viel zu umfangreich aufbewahrt, sondern konnte auch kein adäquates Löschkonzept vorlegen. Dieser Tatsache war es dann wohl auch geschuldet, dass die Höhe des Bußgeldes (bzw. die Empfehlung eines Bußgeldes an das Gericht) auf 160.000 € angehoben wurde.
Auch in Deutschland wird das Thema des Löschens in naher Zukunft mehr in den Fokus rücken. Die bayrische Datenschutzaufsichtsbehörde teilte online mit, dass sie anstehend Unternehmen auf Löschroutinen in ERP-Systemen kontrollieren wird; Ergebnisse dazu gibt es noch nicht.
Nun könnte ein Unternehmen sich die DSGVO zu Nutze machen und die personenbezogenen Daten in einer Weise anonymisieren, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Somit würden diese Daten dann nicht mehr in den Schutzbereich der Datenschutzgesetze fallen. Allerdings ist eine rechtskonforme und allumfassende Anonymisierung sehr schwierig und auch praxisfern.
Müssen nun alle Daten sofort gelöscht werden? Nein! Für viele personenbezogene Daten im Unternehmen bestehen gesetzliche Aufbewahrungspflichten oder starke berechtigte Interessen des Unternehmens, diese personenbezogene Daten bis zum Entfall dieser Zwecke vorzuhalten. Diese gesetzlichen Aufbewahrungspflichten überwiegen zum Beispiel auch ein Löschbegehren eines Betroffenen. Daher sollten Sie nie personenbezogene Daten im Zuge eines Löschbegehrens einfach unüberlegt löschen.
Welche personenbezogene Daten aufbewahrungspflichtig sind und/oder einer geschäftsprozessbedingten Vorhaltefrist bedürfen, die noch mit der DSGVO in Einklang steht, ist mitunter nicht leicht zu bestimmen und immer differenziert zu betrachten. Im Laufe einer (ehem.) Geschäftsbeziehung können sich diese Aufbewahrungsfristen auch verändern - z. B. wenn es zu einem Rechtsstreit kommt.
Daher ist es für ein Unternehmen wichtig, sehr sorgfältig über alle Verfahren in denen personenbezogene Daten verarbeitet werden buchzuhalten - dies geschieht im Verzeichnis der Verarbeitungstätigkeiten. In diesem werden dann auch die Rechtsgrundlagen bestimmt, von denen wiederrum Aufbewahrungsfristen abgeleitet werden. Das Verzeichnis der Verarbeitungstätigkeiten ist somit auch der Ausgangspunkt des Löschkonzeptes. Zudem ist ein wichtiger aber oft vergessener Aspekt eines Löschkonzeptes der Startzeitpunkt, an dem die Aufbewahrungsfrist beginnt. Vereinfacht gesagt werden dann aus diesen beiden Werten sog. Löschklassen gebildet, denen wiederrum eine Löschfrist zugeordnet und in einer Löschmatrix abgebildet werden.
In der Regel fehlt es aber Unternehmen an Praxiserfahrung und Zeit eine Implementierung eines rechtskonformen Löschkonzeptes inkl. der Rechenschaftspflichten allein umzusetzen. Daher sollten sich Unternehmen bei der Schaffung eines Löschkonzeptes immer beraten lassen.
Fehler in der Darstellung? Das Video kannst du auch über diesen Link aufrufen.
Ein Problem bei WhatsApp ist die benötigte Freigabe der Kontaktliste. Dabei werden personenbezogene Daten an WhatsApp übermittelt. Diese Übermittlung ist für Firmenkontakte lediglich möglich, wenn eine Einwilligung vorliegt. Dabei ist zu beachten, dass für jeden einzelnen Kontakt der Kontaktliste eine gültige Einwilligung für die WhatsApp-Nutzung vorliegt. Sobald ein Kontakt nicht zustimmt, ist eine datenschutzkonforme Nutzung nicht ohne weiteres möglich.
Für Unternehmen und Mitarbeiter, die das Smartphone lediglich im beruflichen Umfeld nutzen gibt es zur Kommunikation einige Alternativen zu WhatsApp. Diese haben wir bereits im Blogbeitrag vom 26.02.19 näher beschrieben. Die Kommunikation mit Kunden / Geschäftspartnern sollte immer unter Beachtung der Datenschutzkonformität ablaufen.
Im privaten Umfeld ist die Nutzung von WhatsApp an der Tagesordnung. Somit tritt bei erlaubter Privatnutzung des Firmen Smartphones eher der Wunsch auf, WhatsApp nutzen zu können. Da WhatsApp lediglich die Freigabe der gesamten Kontaktliste (private wie betriebliche Kontakte) erlaubt, entsteht hier ein Konflikt. Ebenso entsteht bei BYOD (Bring your own Device) ein Konflikt zwischen Unternehmens- und Privatdaten.
Für diese Problematik existiert ein Lösungsansatz, den wir folgend kurz vorstellen wollen. Der Einsatz eines EMM (Enterprise-Mobility-Management-Systems) kann dabei helfen, die Zugriffe der geschäftlichen Apps auf die Kontakte und Daten auf den Mitarbeiter-Smartphones zentral zu verwalten.
Bei iOS (ab Version 11.3) läuft dieser kontrollierte Zugriff wie folgt ab:
- Es wird zwischen gemanagten Apps und nicht-gemanagten Apps unterschieden.
- Zudem können gemanagte Accounts angelegt werden.
- Die Definition von Regeln erfolgt zentral im EMM-System.
- Der geschäftliche Account sollte als gemanagt definiert werden.
- Vornehmen der Einstellung, dass ein Austausch von Daten zwischen den gemanagten und nicht-gemanagten Apps und Accounts nicht stattfinden soll.
- Nicht-gemanagte (private) Apps haben somit lediglich Zugriff auf den nicht-gemanagten Account mit den privaten Kontakten.
- Gemanagte Apps haben sowohl Zugriff auf gemanagte (geschäftliche) als auch auf nicht-gemanagte (private) Accounts mit sämtlichen Kontakten.
Android Enterprise / for Work verfolgt eine etwas andere Vorgehensweise. Es wird ab Android 5.0 ermöglicht eine Container-Technologie einzusetzen, wodurch das Betriebssystem persönliche und geschäftliche Daten trennt. Kurz gesagt wird ein zweites Betriebssystem mit eigenen Apps und Kontaktlisten verwendet. Dieses kann durch ein EMM über das Unternehmen verwaltet werden, es können spezielle Richtlinien und Regeln erstellt werden und somit können die geschäftlichen Zugriffe kontrolliert werden. Dadurch entsteht ein Schutz sowohl der geschäftlichen als auch der privaten Daten, da eine Übertragung zwischen den „Betriebssystemen“ nicht zulässig ist.
Wie Sie sehen, gibt es verschiedene Möglichkeiten, die EMM-Technologie umzusetzen. Eine konkrete Empfehlung zum Einsatz sprechen wir an dieser Stelle nicht aus. Schlussendlich müsste die Einsatzfähigkeit für Ihr Unternehmen ausgiebig durch die IT Verantwortlichen geprüft werden und die Umsetzung auf den Mitarbeiter-Smartphones überwacht und geregelt werden. Zudem sind die Anforderungen der DS-GVO gesondert zu beachten und ein, dem Stand der Technik entsprechendes, Sicherheitsniveau eingehalten werden. Hierfür ist eine Absprache mit Ihrem Datenschutzbeauftragten zu empfehlen.
https://www.computerwoche.de/a/apple-loest-facebook-datenschutzproblem-fuer-unternehmen,3544716
https://blog.cortado.com/de/android-for-work-fragmentierung/
https://www.bechtle-blog.com/it-loesungen/mobile-solutions/apple-is-native-apps-und-whatsapp-im-unternehmen-dank-managed-contacts
https://www.it-administrator.de/themen/sicherheit/fachartikel/256660.html
Die GoBD gelten seit dem 1. Januar 2015 und haben die GDPdU (Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen) sowie die GoBS (Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme) abgelöst bzw. vereinheitlicht. Mit der Einführung gab es keine Gesetzänderung o.ä., die Anforderungen wurden lediglich an moderne Buchführungssysteme angepasst. Soweit die Vorgaben aus dem 38-seitigen BMF Schreiben nicht eingehalten werden, drohen bei Betriebsprüfungen Steuerschätzungen. In den GoBD Tz. 155 ist beschrieben, dass soweit keine oder eine ungenügende Verfahrensdokumentation die Nachvollziehbarkeit nicht beeinträchtigen, liegt kein formeller Mangel vor, der zum Verwerfen der Buchführung führen kann. Andersherum kann eine fehlende oder ungenügende Verfahrensdokumentation die Nachvollziehbarkeit beeinträchtigen und somit würde ein formeller Mangel mit sachlichem Gewicht vorliegen, der zum Verwerfen der Buchführung führen kann.
Laut GoBD sind die Grundsätze der Nachvollziehbarkeit, Nachprüfbarkeit sowie die Grundsätze der Wahrheit, Klarheit und fortlaufenden Aufzeichnung bei der Vollständigkeit, Richtigkeit, zeitgerechten Buchung und Aufzeichnungen, Ordnung und der Unveränderbarkeit einzuhalten und diese müssen aus der Verfahrensdokumentation hervorgehen.
Die GoBD bezieht sich jedoch nicht ausschließlich auf die Finanzbuchführung, sondern auch auf die vorgelagerten sowie nachgelagerten Systeme. Dabei reicht es auch nicht aus, wenn man ausschließlich GoBD konforme Software verwendet. Auch hier benötigt man eine Verfahrensdokumentation, die neben den innerbetrieblichen Prozessen auch das interne Kontrollsystem beschreibt. Darüber hinaus sollte man wissen, dass Testate keine Wirkung für die Kontrollinstanz (hier Finanzbehörde) haben.
Die GoBD gelten für Buchführungs- und Aufbewahrungspflichtigen
Eine Verfahrensdokumentation ist zu erstellen - die Grundsätze aus der GoBD sind dort abzubilden. Darüber hinaus sind die Prozesse sowie das interne Kontrollsystem dort abzubilden
Die GoBD / Verfahrensdokumentation bezieht sich nicht ausschließlich auf die Finanzbuchhaltung, sondern auch auf Vor- und Nebensysteme
Softwaretestate haben keine besondere Wirkung für die Finanzbehörden
Eine fehlende Verfahrensdokumentation kann zum Verwerfen der Buchführung führen
#comdatis #einfachmittelständischpragmatisch #GOBD #Verfahrensdokumentation #Digitalisierung
Der Zweck dieses neuen Gesetzes ist es, dass Unternehmen Ihre Geschäftsgeheimnisse - also deren Know-How und Informationen - rechtlich schützen können und straf-, sowie zivilrechtlich besser gegen rechtswidrige Erlangungen, Nutzungen und Offenlegungen vorgehen können. Ein Datengeheimnis im Sinne des alten § 5 Bundesdatenschutzgesetz bestand mit Einführung der Datenschutzgrundverordnung nicht mehr. Somit waren nur noch die §§ 17-19 des Gesetzes gegen den unlauteren Wettbewerb (UWG) seit dem 25. Mai 2018 anwendbar.
Geschäftsgeheimnisse spiegeln sich naturgemäß im Datenschutz und der Datensicherheit in Unternehmen wider.
Im Gesetzesentwurf des Bundestages wird ein gewisser Handlungsbedarf für kleine Unternehmen beschrieben, da mit Einführung des GeschGehG erstmals Informationen die nicht geschützt sind, nicht mehr als Geschäftsgeheimnisse gelten und somit nicht in den Wirkungsbereich des neugeschaffenen Gesetzes fallen.
Unternehmer sollten daher nun Voraussetzungen in Form von Geheimhaltungsmaßnahmen schaffen. Welche konkreten Maßnahmen dies sind, lässt der Gesetzgeber allerdings offen. Klar scheint aber zu sein, das diese in etwa analog zu den technischen und organisatorischen Maßnahmen im Sinne des Artikels 32 der Datenschutzgrundverordnung stehen. Wer also heute schon die Sicherheit seiner Verarbeitung unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen durch geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten angepasst hat, kann diese als Grundlage für Geheimhaltungsmaßnahmen verwenden. Eine weiterer Handlungsbedarf ergibt sich aus dem Artikel 5 des neugeschaffenen Gesetzes: dieser bestimmt, dass die o.g. Paragraphen des UWG aufgehoben werden - somit ist eine textliche Anpassung der Mitarbeiterverschwiegenheitsverpflichtungen unausweichlich.
Eine Klassifizierung der Daten nach Geheimhaltungsbedürftigkeit und dazugehöriger Anpassung der Maßnahmen inkl. eines Schutzkonzeptes sollte jedes Unternehmen ferner durchführen.
Auf eine Verschlüsselung von E-Mails und Anhängen mit personenbezogenen Daten bzw. Geschäftsgeheimnissen sei in diesem Kontext ausdrücklich hinzuweisen. Eine unverschlüsselte E-Mail ist mit einer Postkarte vergleichbar und könnte somit nun als eine nicht getroffene Geheimhaltungsmaßnahme gelten. Damit könnte eine richterliche Entscheidung, ob eine unverschlüsselte E-Mail als nicht getroffene Maßnahme gilt, negativ ausfallen und weitere rechtliche Schritte eines Unternehmers erschweren.
Sogenannte berufsrechtliche Schweigepflichten nach § 203 StGB bleiben von dem Gesetz zum Schutz von Geschäftsgeheimnissen unberührt.