Source: https://www.lda.bayern.de/de/kontrollen.html
Timestamp: 2018-12-10 10:54:08
Document Index: 89332549

Matched Legal Cases: ['Art. 33', 'Art. 5', 'Art 13', 'Art 33', 'Art 34', 'Art. 5', '§ 9']

Themen Datenschutzprüfungen
Die DS-GVO hat die Meldeschwelle für sogenannte "Datenpannen" an das Risiko für die natürlichen Personen angepasst, das sich aus einer Verletzung der Sicherheit ergibt. Dies führte zu einer deutlichen Zunahme der Meldungen nach Art. 33/34 DS-GVO beim BayLDA. Auffallend bei den Meldungen ist bislang, dass die Ursache des Risikos fast ausschließlich beim Verantwortlichen in Bayern liegt. Da nach der DS-GVO allerdings auch Verletzungen der Sicherheit bei Dienstleistern (sogar bei weiterer Unterauftragvergabe) für die Verantwortlichen eine Meldeverpflichtung auslöst, stellt sich dem BayLDA die Frage, wieso es kaum Meldungen gibt, die von (internationalen) Dienstleistern ausgelöst werden. Die Prüfung soll diese Fragestellung erhellen und beschäftigt sich mit dem "Incident Response" bei den größeren und datengetriebenen Unternehmen.
Größere und Datengetriebene Unternehmen mit (vermutlich) vielen Dienstleistern im internationalen Umfeld
Manuelle Auswahl von Unternehmen, bei denen von einer größeren Anzahl (internationaler) Auftragsverarbeitungen auszugehen ist.
Ende: Geplant bis 21.12.2018
Prüfungsgegenstand dieser Kontrolle ist der sichere Einsatz von WordPress als CMS. Anfang November 2018 wurde eine sehr kritische Sicherheitslücke in einer Erweiterung für WordPress-Installationen bekannt. Das WP GDPR Compliance Plugin besitzt bis einschließlich Version 1.4.2 eine kritische Schwachstelle, durch die die Angreifer problemlos die Website übernehmen können.
32 DS-GVO
Alle dem BayLDA bekannten bayerischen Websites wurden hinsichtlich dieses Plugins untersucht.
Die DS-GVO verlangt vom Verantwortlichen, dass die Einhaltung der DS-GVO nachgewiesen wird (Art. 5 Abs. 2 DS-GVO). Diese "Rechenschaftspflicht" stellt vom Grundsatz her eine "Nachweislast-Umkehr" dar, was bedeutet, dass die Einhaltung der gesetzlichen Anforderungen der Aufsichtsbehörde bei einer Kontrolle dargestellt werden muss. Während dies bei großen Unternehmen in der Regel nur anhand einer systematischen Ausgestaltung der Geschäftsprozesse erreicht werden kann, skaliert die DS-GVO bei KMUs (Kleineren und mittelständischen Unternehmen) recht gut. Die Einhaltung der datenschutzrechtlichen Anforderungen kann deutlich weniger formal erreicht werden – viele wichtige Punkte werden im Rahmen dieser Prüfung abgefragt.
Kleine Unternehmen (ab 100 Mitarbeiter) und mittelständische Unternehmen (ab 500 Mitarbeiter)
Es wurden 7 Unternehmen ausgewählt, zu denen es seit in letzter Zeit gehäuft Datenschutzbeschwerden bei BayLDA gab. Die anderen 8 Unternehmen wurden zufällig ausgewählt.
Prüfungsgegenstand dieser Kontrolle ist der sichere Einsatz von Online-Shop-Systemen. Magento-Shop-Installationen werden dahingehend untersucht, ob bei den betroffenen Systemen alle verfügbaren wichtigen Sicherheitspatches eingespielt und bekannte kritische Schwachstellen behoben wurden. Des Weiteren wird überprüft, ob die verantwortlichen Websitebetreiber über einen geregelten Prozess zum Patch Management verfügen sowie die datenschutzrechtlichen Verpflichtungen im Umgang mit Sicherheitsverletzungen im Bedarfs-fall umsetzen können (Incident Response).
Verantwortliche im eCommerce-Umfeld: Online-Shops mit Magento-Software
Bei zufällig ausgewählten Verantwortlichen wird die Verarbeitung von personenbezogenen Daten in Bewerbungsverfahren untersucht. Schwerpunkt ist korrekte Umsetzung der Informationspflicht gegenüber Bewerbern, wodurch jeder Bewerber letztendlich auch erfahren sollte, wie mit seinen Daten umgegangen wird.
Art 13 DS-GVO
Die Auswahl der geprüften Unternehmen erfolgte zufällig, jedoch wurde darauf geachtet, dass es sich um große Organisationen handelt.
Ein Verschlüsselungstrojaner (auch Ransomware genannt), ist eine Schadsoftware, durch die der Zugriff auf Daten gesperrt und anschließend ein Lösegeld gefordert wird, um die Daten wieder im ursprünglichen Zustand verfügbar zu machen. Gerade im medizinischen Bereich sind Angriffe mittels Verschlüsselungstrojaner oft besonders kritisch, weil bei einem fehlenden Zugriff auf Patienten- und Behandlungsdaten beispielsweise Behandlungen nicht mehr garantiert werden können. Es besteht also gerade in diesem Bereich eine hohe Dringlichkeit, die Daten schnell wiederherzustellen. Das BayLDA hat sich deshalb entschieden, Ärzte mit Fragestellungen zum Umgang und zur Prävention von Angriffen mittels Verschlüsselungstrojaner zu kontrollieren. Ziel ist es dabei, dass Patientendaten angemessen vor der Gefahr durch Verschlüsselungstrojaner geschützt werden.
Art 33 DS-GVO
Art 34 DS-GVO
Bei der Auswahl der Arztpraxen wurde darauf geachtet, medizinische Fachbereiche zu wählen, bei denen ein Angriff mittels eines Verschlüsselungstrojaners besonders kritisch ist und es deshalb wahrscheinlich ist, dass das geforderte Lösegeld schnell gezahlt wird. Die abschließende Auswahl wurde nach dann dem Zufallsprinzip getroffen.
Die DS-GVO verlangt vom Verantwortlichen, dass die Einhaltung der DS-GVO nachgewiesen wird (Art. 5 Abs. 2 DS-GVO). Diese "Rechenschaftspflicht" stellt vom Grundsatz her eine "Nachweislast-Umkehr" dar, was bedeutet, dass die Einhaltung der gesetzlichen Anforderungen der Aufsichtsbehörde bei einer Kontrolle dargestellt werden muss. Konkret bedeutet dies, dass sowohl die Aufbauorganisation bei großen Unternehmen so gestaltet ist, dass neben dem betrieblichen Datenschutzbeauftragten weitere Akteure (z.B. Rechts-/Complianceabteilung oder IT-Sicherheit) sich mit datenschutzrechtlichen Anforderungen beschäftigen. Des Weiteren müssen in der sogenannten Ablauforganisation drei Kernprozesse im Unternehmen wirksam ausgestaltet sein:
Ziel der Prüfung ist vereinfacht gesprochen, die Einhaltung der Datenschutzgrundverordnung im Unternehmensalltag bei großen Unternehmen, festzustellen.
(Groß-)Konzerne und Datengetriebene Unternehmen
Es wurden Unternehmen ausgewählt, bei denen das BayLDA davon ausgeht, dass diese die DS-GVO schon bestmöglich umgesetzt haben. Die Ergebnisse dieser Prüfung definiert bei zukünftigen Prüfungen anderer großer Unternehmen dann die zu erreichende "Messlatte".
Patch Management Content Management Systeme (WordPress)
Prüfungsgegenstand ist der sichere Einsatz sog. Content-Management-Systeme (CMS). Mit diesen Systemen lässt sich der Inhalt von Webseiten erstellen, bearbeiten und verwalten. Viele der weitverbreiteten Systeme, die meist als Open-Source kostenfrei genutzt werden können, verfügen jedoch über Sicherheitslücken, die je nach Grad der Ausprägung als kritisch einzustufen sind und dadurch den Schutz personenbezogener Daten gefährden. Aus diesem Grund ist es notwendig, durch gezieltes Patch Management vorhandene Lücken zu schließen und die vom Hersteller bereitgestellten neuesten Versionen einzuspielen, um so den vielfältigen Angriffsmöglichkeiten von Cyberkriminellen präventiv entgegenzutreten. Im Rahmen der Prüfung wird bei ausgewählten Websites, die ein potentiell attraktives Angriffsziel bieten, das CMS "WordPress" hinsichtlich der eingespielten Sicherheitspatches untersucht.
§ 9 BDSG-alt
Die untersuchten Verantwortlichen wurden nach zwei Kriterien ausgewählt:
Der Webauftritt stellt auf Grund seiner Art ein attraktives Angriffsziel für Cyberkriminelle dar.
Es gab bereits Sicherheitsvorfälle in der jüngeren Vergangenheit bezüglich des eingesetzten CMS bei dem Verantwortlichen oder ähnlichen Verantwortlichen in der Zielgruppe.