Source: http://docplayer.org/18071103-It-datenschutz-2016-was-kommt-auf-die-unternehmen-zu.html
Timestamp: 2018-10-22 06:39:11
Document Index: 191496778

Matched Legal Cases: ['Art. 29', 'EuG', 'EuG', 'Art. 29', 'Art. 30', 'Art. 4', 'Art. 29', 'Art. 32', 'Art. 83', 'Art. 82', 'Art. 82']

IT & Datenschutz Was kommt auf die Unternehmen zu? - PDF
IT & Datenschutz Was kommt auf die Unternehmen zu?
Download "IT & Datenschutz 2016 - Was kommt auf die Unternehmen zu?"
1 IT & Datenschutz Was kommt auf die Unternehmen zu? perspektiveit, Boppard, H. Eiermann Folie 1
2 Agenda Safe Harbor / EU US Privacy Shield - Cloud Computing EU Datenschutzgrundverordnung - Sicherheitsmaßnahmen 2 H. Eiermann Folie 2
3 Pearl Harbor Strategisch wichtiger Pazifikhafen Wendepunkt in den Beziehungen der USA Zerstörung mit weitreichenden Konsequenzen H. Eiermann Folie 3
4 Informationsgesellschaft: Internet - Infrastruktur für Wirtschaft und Gesellschaft H. Eiermann Folie 4
5 Unsicheres Drittland H. Eiermann Folie 5
6 Sicherer Datenschutzhafen USA DV beschränkt auf den Bereich der EU / EWR Unsicheres Drittland! P Safe Harbour-Richtlinien (2000) H. Eiermann Folie 6
7 Safe Harbor Safe Harbour Prinzipien: Informationspflicht Wahlmöglichkeit Weitergabe Zugangsrecht Sicherheit Datenintegrität Durchsetzung Strategisch wichtiges Abkommen für Datenübermittlungen in die USA Wendepunkt in den Beziehungen? Konsequenzen? H. Eiermann Folie 7
8 Was ist geschehen? H. Eiermann Folie 8
9 Compliance / Verantwortlichkeit Untersuchung zur Verlässlichkeit von Safe Harbour Vereinbarungen Safe Harbour Prinzipien: Informationspflicht Wahlmöglichkeit Weitergabe Zugangsrecht Sicherheit Datenintegrität Durchsetzung safe_harbor_fact_or_fiction.pdf H. Eiermann Folie 9
10 Sicherer Datenschutzhafen USA? (2008) Untersuchung zur Verlässlichkeit von Safe Harbour Vereinbarungen Eine Selbsterklärung der Unternehmen ist ausreichend In aller Regel erfolgt keine Überprüfung (z.b. durch die FTC) Lediglich 348 Unternehmen hatten die Mindestvoraussetzungen des Abkommens erfüllt. 206 Unternehmen behaupteten, Mitglied von Safe Harbor zu sein, waren es aber in Wirklichkeit nicht Verstöße werden selten geahndet H. Eiermann Folie 10
11 H. Eiermann Folie 11
13 I0II 0I0I... USA Redmond Great Britain London Patriot Act Foreign Intelligence Surveillance Act (FISA) 1881a H. Eiermann Folie 13
14 Sicherer Datenschutzhafen USA? (2012) LIBE_ET(2012)462509_EN.pdf H. Eiermann Folie 14
15 Art. 29-Gruppe Die von den Zugriffen der ausländischen Behörden betroffenen personenbezogenen Daten unterliegen in den jeweiligen Staaten oft keinen datenschutzrechtlichen Restriktionen, die europäischen Standards auch nur ansatzweise genügen könnten. Die Zweckbindung, die Beachtung des Erforderlichkeitsgrundsatzes, die Datenlöschung nach Zweckerfüllung, die Gewährleistungen der Betroffenenrechte und des Rechtsschutzes in Datenschutzfragen sind unseres Wissens z.b. in den USA nicht gewährleistet. H. Eiermann Folie 15
16 Edward Snowdon (Juni 2013) H. Eiermann Folie 16
17 NSA-Cloud. A free Backup of your Life! H. Eiermann Folie 17
18 Cloud Dienstleister H. Eiermann Folie 18
19 Facebook-Co-EuGH-erklaert-Safe-Harbor-fuerungueltig html H. Eiermann Folie 19
20 Wie ist die aktuelle Situation? H. Eiermann Folie 20
21 Datenübermittlung aufgrund Safe Harbor unzulässig EU-Standard-Vertragsklauseln und BCR fraglich Derzeit keine weiteren Genehmigungen von SCC und BCR Einwilligung nicht widerholt, massenhaft und routinemäßig _Positionspapier_DSK_Safe_Harbor.pdf H. Eiermann Folie 21
22 Prüfungspflicht der Unternehmen Prüfung der Rechtsgrundlage Prüfung der außerordentlichen Kündigung von Verträgen nach EU-Standard-Vertragsklauseln keine neuen Genehmigungen für Binding Corporate Rules Prüfung alternativer Übermittlungsmöglichkeiten Prüfung technischer Lösungsansätze _Folgerungen_des_LfDI_RLP_zum_EuGH-Urteil_Safe_Harbor.pdf H. Eiermann Folie 22
23 Umfrage LfDI Rheinland-Pfalz TOP 120-Unternehmen in Rheinland-Pfalz 47 % mit erheblichen Defiziten 15 % konnten die Fragen nicht innerhalb der Monatsfrist beantworten 15 % mit fehlerhafter Auffassung zum Datenschutzniveau in den USA 17 % mit fehlerhafter Auffassung zu Datenübermittlungen in die USA z.b.: Cloud-Lösungen zur Datenspeicherung (IaaS, PaaS) SaaS-Lösungen (Office 365, Salesforce) Windows 10 / Office365 Online-Shops Dropbox, Onedrive, WeTransfer Virtuelle Telefonanlagen Fernwartung durch US-Stellen... Alltagsdaten / Beschäftigtendaten nicht personebezogen H. Eiermann Folie 23
24 Raider heißt jetzt Twix Safe Harbor 2.0 è EU-US-Privacy Shield H. Eiermann Folie 24
25 Robuste Verpflichtungen für Unternehmen / FTC-Kontrolle Transparenzverpflichtungen für Behördenzugriffe FTC-Beschwerde / Ombudsmann H. Eiermann Folie 25
26 è Keine Anpassung der Rechtslage in den USA è Kein formeller Rechtsbehelf (Gericht) H. Eiermann Folie 26
27 EU-Kommission Entwurf Adäquanzentscheidung H. Eiermann Folie 27
28 Was kann man Unternehmen raten? H. Eiermann Folie 28
29 Was kann man Unternehmen raten? n Situation klären n Übermittlungsgrundlage prüfen / ändern n IT-Strukturen umstellen n Technische Lösungsansätze prüfen H. Eiermann Folie 29
30 Möglichkeit 1: Umstrukturierung / Wechsel von Cloud-Lösungen H. Eiermann Folie 30
31 H. Eiermann Folie 31
32 Was kann man Unternehmen raten? H. Eiermann Folie 32
33 Ménage à Trois Lizenzen Technischer Support Kunden-Support Datenspeicherung IT-Sicherheit WAN-Anbindung USA Redmond Great Britain London H. Eiermann Folie 33
34 Möglichkeit 2: Kryptografische Lösungen H. Eiermann Folie 34
35 Lösungsansatz Verschlüsselung (IaaS) Verfahren Schlüssel unter der Kontrolle des Auftraggebers Krypto-Reglementierung Key Recovery Key Escrowing Kunde H. Eiermann Folie 35
36 Lösungsansatz Verschlüsselung (SaaS, PaaS) Database HTML/XML Kunde Krypto Gateway H. Eiermann Folie 36
37 Lösungsansatz Verschlüsselung (SaaS, PaaS) HTML/XML Database Artikel Preis Datum Krypto Gateway Name Artikel Preis Datum Adresse H. Eiermann Folie 37
38 Lösungsansatz Verschlüsselung (SaaS, PaaS) Artikel Preis Datum HTML/XML Database Krypto Gateway Name Artikel Preis Datum Adresse H. Eiermann Folie 38
39 Was kann man Unternehmen raten? ix 12/2015 H. Eiermann Folie 39
41 Agenda EU Datenschutzgrundverordnung - Sicherheitsmaßnahmen 41 H. Eiermann Folie 41
42 IT-Entwicklung 9 BDSG (Anlage) Zutrittskontrolle Zugangskontrolle Zugriffskontrolle Weitergabekontrolle Eingabekontrolle Auftragskontrolle Verfügbarkeitskontrolle Zweckbindungskontrolle mobile Datenverarbeitung Individuelle Datenverarbeitung + Internet Cloud Computing mobile Datenverarbeitung + Internet Individuelle Datenverarbeitung 70er Jahre H. Eiermann Folie 42
43 9 BDSG (Anlage) Zutrittskontrolle? Zugangskontrolle Zugriffskontrolle? Weitergabekontrolle Eingabekontrolle? Auftragskontrolle? Verfügbarkeitskontrolle Zweckbindungskontrolle mobile Datenverarbeitung Cloud Computing 43 H. Eiermann Folie 43
44 * Eckpunkte der Konferenz der Datenschutzbeauftragten des Bundes und der Länder Ein modernes Datenschutzrecht für das 21. Jahrhundert ( ) H. Eiermann Folie 44
45 Technikregelungen der Datenschutzgesetze Kontrollarten Zutrittskontrolle Zugangskontrolle Zugriffskontrolle Weitergabekontrolle Eingabekontrolle Auftragskontrolle Verfügbarkeitskontrolle zweckbezogene Verarbeitung technikoffene Schutzziele * Verfügbarkeit Integrität Vertraulichkeit Transparenz Authentizität Revisionsfähigkeit Nichtverkettbarkeit Intervenierbarkeit Systemdatenschutz Audit / Zertifizierung Selbstdatenschutz * Eckpunkte der Konferenz der Datenschutzbeauftragten des Bundes und der Länder Ein modernes Datenschutzrecht für das 21. Jahrhundert ( ) H. Eiermann Folie 45
46 Das Standard-Datenschutzmodell (2015) 46 H. Eiermann Folie 46
47 ISO / IEC H. Eiermann Folie 47
48 Datenschutz technisch-organisatorische Maßnahmen IT-Sicherheit H. Eiermann Folie 48
49 9 BDSG (Anlage) Die Datenschutz-Grundverordnung 49 H. Eiermann Folie 49
50 Die Datenschutz-Grundverordnung risk based approach 50 H. Eiermann Folie 50
51 Sicherheit der Verarbeitung Risikoadäquanz Angemessene TOM Vertraulichkeit Integrität Verfügbarkeit Sicherheitsmanagement H. Eiermann Folie 51
52 Sicherheitsnachweis Codes of Conduct (Selbstverpflichtung) Auditierung/Zertifizierung 52 H. Eiermann Folie 52
53 Verhaltensregeln / Codes of Conduct / Selbstverpflichtungen ehem. Art. 29-Gruppe IT-Sicherheit H. Eiermann Folie 53
54 Zertifizierung / Gütesiegel Zertifizierungsverfahren Gütesiegel / Zertifikate 54 H. Eiermann Folie 54
55 EU DSGVO Art. 30 Konkretisierung EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände Zertifizierungen EU-Kommission (delegierte Rechtsakte) 55 H. Eiermann Folie 55
56 EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände z.b.: BSI: BSI Standards bis 4 ISO / IEC H. Eiermann Folie 56
57 EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände 57 z.b.: ENISA: Leitlinien für Sicherheitsmaßnahmen Zu Art. 4/13 der e-privacy-richtlinie (2992/58/EC) EuroPrise: Sichereheitsmaßnahmen nach dem Europäischen Datenschutzsiegel 2013/0027 (COD): Entwurf EU-Richtlinie zur Netzwer- Informationssicherheit H. Eiermann Folie 57
58 EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände z.b.: DSB-Konferenez (D) CNIL (F) [ ] Standard Datenschutzmodell Good Practice Catalogue [ ] 58 Art. 29-Gruppe H. Eiermann Folie 58
59 EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände z.b.: Datenschutzstandard DS-BvD-GDD-01 CoC Versicherungswirtschaft [ ] 59 H. Eiermann Folie 59
60 Zertifizierungen EU-Kommission (delegierte Rechtsakte) 60 H. Eiermann Folie 60
61 EU DSGVO Datenschutzund IT-Sicherheits- Verfügbarkeit Maßnahmen Integrität Vertraulichkeit Authentizität??? Revisionsfähigkeit Systemdatenschutz Audit / Zertifizierung 61 H. Eiermann Folie 61
62 BDSG / LDSG Rechtsanpassung: BDSG-Neu? LDSG-Neu? DS-Regelungen in SpezialG neu? In-Kraft-Treten EU DSGVO Geltung EU DSGVO Technische Datenschutzvorgaben: Codes of Conduct? Best Practice? Audit/Zertifizierung? H. Eiermann Folie 62
63 Neu! Bußgelder. H. Eiermann Folie 63
64 Bußgeld heute 9 BDSG (Anlage) 38 Abs. 5 BDSG n techn./org. Mangel: ê n Anordnung ê n Zwangsgeld è Widerspruch/ Vollziehbarkeit ê n Untersagung/Bußgeld 43 Abs. 1 Nr. 11 BDSG (bis EUR) H. Eiermann Folie 64
65 Bußgeld künftig Technisch-organisatorische Maßnahmen Datenschutzfolgeabschätzung H. Eiermann Folie 65
66 Bußgeld künftig Art. 32 DSGVO Art. 83 DSGVO Bei Verstößen/Mängeln zu: n Risikoanalyse n Sicherheitsmaßnahmen n Notfallmanagement n Sicherheitsmanagement n Dienst-/Arbeitsanweisung ê Bußgeld H. Eiermann Folie 66
67 Art. 82 DSGVO Haftung Auftragsdatenverarbeiter H. Eiermann Folie 67
68 Art. 82 DSGVO Bußgeld Auftragsdatenverarbeiter H. Eiermann Folie 68
69 Vielen Dank! 69 H. Eiermann Folie 69
70 Helmut Eiermann Gruppenleiter Technik Hintere Bleiche Mainz Tel (06131) Fax (06131) H. Eiermann Folie 70
Deutsches Forschungsnetz Föderierte DFN-Dienste Die Wissenschafts-Cloud Michael Röder Berlin, 14. Oktober 2014 61. Betriebstagung Agenda Ressourcen gemeinsam nutzen Föderierte DFN Cloud-Dienste Das Konzept