Unser Blog
Notfallmanagement als Teil von technische-organisatorische-Maßnahmen in unruhigen Zeiten
6. April 2020Die letzten Jahre waren geprägt von großen Herausforderungen für Unternehmen. Nehmen wir die lange und starke Hitze im Sommer 2018. Diese führte zu starken Belastungen bei den Mitarbeitern und bei der IT. Während die Klimageräte der Serverräume wahre Höchstleistungen vollbrachten, waren kreative Ideen für die Büros der Mitarbeiter gefragt. Eins haben Mitarbeiter und IT-Geräte nämlich gemeinsam. Bei zu großer Hitze können sie nicht mehr ordentlich arbeiten. Hier kam es immer wieder zu Ausfällen, sowohl bei überlasteten Klimaanlagen als auch bei Mitarbeitern aufgrund von zu stark erhitzten Büros. Dann der Winter 2018/19, welcher ganz Süddeutschland mit extremen Schneeverhältnissen über Wochen hinweg belastete. Hier konnten, aufgrund der Straßenverhältnisse und der immer neuen Lawinenabgänge, Mitarbeiter und Logistik nicht immer zeitgerecht das Unternehmen erreichen. Hierdurch entstanden oft Verzögerungen in verschiedenen Unternehmensprozessen. Und dann die Corona-Pandemie 2020. Aktuell gibt es noch keine gesicherten Erkenntnisse, wie lange die Einschränkungen in den sozialen Kontakten und die empfohlenen Verhaltensweisen bei zwischenmenschlichen Kontakten noch aufrechterhalten werden sollen. Die drastisch erhöhte Anzahl an Homeoffice-Arbeitsplätzen stellt für viele Unternehmen vollkommen neue Herausforderungen bezüglich der Ausgestaltung der Arbeitsplätze und der Anbindung an das Unternehmensnetzwerk dar. Häufig sind zu wenig Laptops im Unternehmen vorhanden und die Anbindung des Unternehmens an das Internet mit den vielen Verbindungen von außen aus den Homeoffice-Arbeitsplätzen überlastet. Eins haben alle Fallbeispiele gemeinsam. Sie stellen die Unternehmen in sehr kurzer Zeit vor große, z.T. schwer bewältigbare Herausforderungen. Die Ressourcen des Unternehmens werden knapp und die Geschäftsprozesse kommen ins Stocken oder im schlimmsten Fall zum Erliegen. Nun ist nicht jeder Geschäftsprozess eines Unternehmens gleich wichtig. Es gibt solche, die…
WeiterlesenDatenschutz in Zeiten von Corona
30. März 2020Die Welt steht vor einer der größten Herausforderungen unserer Zeit. Sowohl die Datenschutzbehörden in Deutschland, als auch der Europäische Datenschutzausschuss (EDSA) haben sich zum Thema Datenverarbeitung in Zeiten von Corona geäußert. Die Grundätze der Datenverarbeitung in der Datenschutzgrundverordnung (DSGVO) bleiben unberührt, jedoch müssen auch andere nationale Rechtsvorschriften mit in die Betrachtung einfließen. Zu der Rechtmäßigkeit der Datenverarbeitung deutet der EDSA an, dass die DSGVO Regeln vorsieht, die auch für die Verarbeitung von personenbezogenen Daten im Rahmen von COVID-19 gelten. Die DSGVO ermöglicht Gesundheitsbehörden und Arbeitgebern, im Einklang des jeweiligen nationalen Rechtes, personenbezogene Daten zu verarbeiten, . Somit besteht unter Umständen keine Notwendigkeit, sich auf die Einwilligung (Art. 6 Abs. 1 lit. a) DSGVO) von Einzelpersonen zu verlassen. In seiner Stellungnahme führt der EDSA auf, dass in Bezug auf die Verarbeitung von Telekommunikationsdaten (z.B. Standortdaten) geltende nationale Bestimmungen zur Umsetzung der (Datenschutzrichtlinie für elektronische Kommunikation 2002/58E/G, später 2009/136/EC) eingehalten werden müssen. Die Richtlinie ermöglicht es den Mitgliedstaaten, gesetzgeberische Maßnahmen zur Wahrung der öffentlichen Sicherheit einzuführen. Eine solche außergewöhnliche Gesetzgebung ist nur möglich, wenn sie eine notwendige, angemessene und verhältnismäßige Maßnahme innerhalb einer demokratischen Gesellschaft darstellt. Diese Maßnahmen müssen im Einklang mit der Charta der Grundrechte und der Europäischen Konvention zum Schutz der Menschenrechte und der grundlegenden Freiheit sein. Darüber hinaus unterliegt dieses der gerichtlichen Kontrolle des Europäischen Gerichtshofs und dem Europäischen Gerichtshof für Menschenrechte. Diese Stellung ist wichtig im Zusammenhang mit der Frage, ob Regierungen personenbezogene Daten verarbeiten dürfen, die sich auf den Handystandort (Tracking) von Einzelpersonen beziehen, damit die Verbreitung…
WeiterlesenDatenschutz im Home-Office
23. März 2020In unserer heutigen Zeit gewinnt Home-Office zunehmend an Bedeutung. Es gibt verschiedene Gründe, weshalb Unternehmen Home-Office anbieten: sei es die Flexibilität der Mitarbeiter, Reduktion der Wegzeiten zur Arbeit oder aber auch durch das Coronavirus Covid ‑19 verursacht. Aufgrund des Coronavirus steht das Home-Office mehr denn je im Fokus. Zahlreiche Unternehmen haben den Entschluss gefasst mehr und mehr Mitarbeitern das Arbeiten im Home-Office zu ermöglichen. Nur was ändert sich jetzt aus datenschutzrechtlicher Sicht im Home-Office? Die gesetzlichen Bestimmungen der DSGVO sowie die internen Regelungen zur Umsetzung des Datenschutzes welche im Unternehmen gelten, gelten auch im Home-Office. Daher möchten wir Ihnen einen kurzen Überblick darüber verschaffen, was zu beachten ist. 1. Zugriff auf dienstliche Unterlagen in Papier- und elektronischer Form Die dienstlich genutzten Unterlagen (in Papier- und elektronischer Form) dürfen nur dem betreffenden Arbeitnehmer zugänglich sein. Der Betroffene ist verpflichtet, dafür zu sorgen, dass kein Dritter Einsicht auf seinen Rechner oder auf seine dienstlichen Unterlagen hat. Auch die mit dem in Home-Office Arbeitenden in häuslicher Gemeinschaft lebenden Personen dürfen keinen Zugriff auf dienstliche Unterlagen haben. Der Mitarbeiter muss daher alle sensiblen und vertraulichen Unterlagen in einem abschließbaren Schrank aufbewahren. Dazu gehören alle mobilen Massenspeichergeräte wie CDs, DVDs, USB-Laufwerke, Harddisks‑, NAS-Storages etc. Des Weiteren ist er dazu verpflichtet beim Verlassen seines Arbeitsplatzes seinen Bildschirm zu sperren, auch wenn sein Verlassen nur von kurzzeitiger Dauer ist. Die nötigen Maßnahmen hat der Arbeitnehmer zu treffen. 2. Software Damit eine umfassende Datensicherheit gewährleistet werden kann müssen Firewall, Virenschutz auch im Home-Office aktiv auf dem neuesten Stand sein. Ferner müssen Arbeitnehmer sichere Passwörter (mind. 8 Zeichen lang, Groß ‑und Kleinbuchstaben sowie Sonderzeichen) benutzen und darauf achten, dass keine private Hard- und Software…
WeiterlesenDer Umgang mit der Anonymisierung von personenbezogenen Daten
16. März 2020Vor einem Monat hat der Bundesbeauftragte für Datenschutz und Informationssicherheit (BfDI) ein Positionspapier zum Thema Anonymisierung personenbezogener Daten veröffentlicht, um den Verantwortlichen eine Orientierungshilfe zu geben. In der Vorgehensweise des BfDI ist die Anonymisierung als eine Verarbeitungstätigkeit gem. der DSGVO zu sehen. Aus diesem Grund muss sie auch rechtmäßig sein, d.h. es müsste eine rechtliche Grundlage vorliegen, die uns erlaubt die personenbezogenen Daten zu verarbeiten. Ziel der Anonymisierung ist es, dass keine Rückschlüsse auf die betroffene Person entstehen können, so dass keine Re-Identifizierung möglich ist. Um das zu ermöglichen werden zuerst Elemente von den Daten entfernt und dadurch wird der Inhalt der Daten verändert. Die Anonymisierung als Verarbeitungstätigkeit bedarf einer Rechtsgrundlage aus Art. 6, Abs. 1 DSGVO. Welche Rechtsgrundlage zutrifft, ist von der konkreten Konstellation abhängig. An erster Stelle kann die Anonymisierung auf eine wirksam erteilte Einwilligung gestützt werden. Das birgt aber folgendes Risiko: die betroffene Person kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Als nächste mögliche Rechtsgrundlage kommt Art. 6, Abs. 4 DSGVO, der die Voraussetzung der Vereinbarkeit setzt, in Betracht. Hier ist folgendes zu berücksichtigen: in der Regel wurden die personenbezogenen Daten, die anonymisiert werden müssen, ursprünglich zu einem anderen Zweck erhoben. Damit die Anonymisierung gem. Art. 6, Abs. 4 DSGVO rechtmäßig sein kann, muss der Zweck für den die Daten weiterverarbeitet werden mit dem ursprünglichen Erhebungszweck vereinbar sein. Bei der Beurteilung, ob eine Vereinbarkeit möglich ist, gibt Art. 6, Abs. 4 DSGVO folgende Kriterien, die berücksichtigt werden müssen: jede Verbindung zwischen den Zwecken, für…
WeiterlesenAuskunftsersuchen Schritt 3 – Form und Folgen
9. März 2020Fraglich ist, wie lange das Unternehmen Zeit hat, um dem Auskunftsersuchen des Herrn M. nachzukommen. Das Unternehmen müsste dem Auskunftsersuchen des Herrn M. spätestens innerhalb eines Monats nachkommen. Nur in begründeten Ausnahmefällen kann die Monatsfrist überschritten werden, worüber dann auch Herr M. zu informieren wäre. Vorliegend wurde die Auskunft innerhalb von zwei Wochen ab Zugang des Auskunftsantrages an Herrn M. erteilt. Damit erfolgte dies noch im Rahmen der einmonatigen Frist und kostenlos. Wäre das Unternehmen dem Auskunftsersuchen des Herrn M. nicht oder nicht vollständig nachgekommen, wäre es mit einem Bußgeld bedroht. Das Bußgeld kann bis zu 20 Mio. Euro oder 4% des weltweiten Jahresumsatzes ausmachen. Dieser Fall zeigt deutlich, dass es bei der Erteilung eines Auskunftsersuchens wesentliche Schritte zu beachten gibt. Bis dato wurden bereits mehrere Bußgelder wegen fehlender oder fehlerhafter Auskunftserteilung verhängt. Dadurch ist zu sehen, dass die Betroffenenrechte ein wichtiges Thema für die Aufsichtsbehörden darstellen und somit ernst zu nehmen sind. Falls Sie bei Erteilung eines Auskunftsersuchens oder den anderen Betroffenenrechten Hilfe brauchen, wenden Sie sich bitte an uns. Wir zeigen Ihnen wie Sie Ihren Pflichten rechtskonform nachkommen.
WeiterlesenAuskunftsersuchen Schritt 2- Inhaltliche Anforderungen
2. März 2020Nachdem die Identität von Herrn M. festgestellt wurde, hat dieser eine E‑Mail von seinem beschäftigten Unternehmen erhalten. Darin waren folgende Informationen enthalten: zu welchem Zweck die Daten des Herrn M. verarbeitet wurden Welche Kategorien von personenbezogenen Daten über ihn verarbeitet wurden an wen seine Daten übermittelt wurden die geplante Speicherdauer seiner personenbezogenen Daten Hinweis auf die Betroffenenrechte des Herrn M. die Herkunft seiner personenbezogenen Daten, falls diese nicht bei Ihm direkt erhoben wurden und schließlich ob seine Daten einer automatisierten Entscheidung, einschließlich Profiling, unterworfen sind. Bis wann die Auskunftserteilung erfolgen muss erfahren Sie nächste Woche in unserem Blogbeitrag.
WeiterlesenAuskunftsersuchen Schritt 1 – Identifizierung der betroffenen Person
25. Februar 2020Bevor überhaupt einem Auskunftsersuchen nachgekommen werden kann, muss der Verantwortliche vergewissern, dass der Anfragende auch der Betroffene ist. Je nachdem, auf welchem Wege die Auskunftsanfrage nach Artikel 15 DSGVO erfolgt, gibt es verschiedene Möglichkeiten der Identitätsprüfung. Vorliegend schrieb Herr M. eine E‑Mail an das Unternehmen. Da Herr M. bereits zuvor Kontakt per E‑Mail hatte, kann die E‑Mail-Adresse einen Hinweis auf die Identität von Herrn M. geben. Sofern die E‑Mail-Adresse nicht bekannt gewesen wäre, ließe sich daraus auch nicht die wahre Identität der betroffenen Person schließen. Um sich zu vergewissern, ruft das Unternehmen, die von Herrn M. hinterlegte Telefonnummer an. Zum Abgleich, ob auch Herr M. die E‑Mail geschrieben hat, fordert das Unternehmen zusätzliche Informationen, wie z.B. die Postanschrift und das Geburtsdatum des Betroffenen. Nachdem Herr M. die richtigen Angaben erteilt hatte, bestanden keine Zweifel daran, dass der Anfragende auch der Auskunftsberechtigte ist. Somit wurde die Identität des Herrn M. sichergestellt. Wie das Unternehmen nach der Identifizierung von Herrn M. vorzugehen hat, erfahren Sie nächste Woche in unserem Blogbeitrag.
WeiterlesenVerstöße gegen das Auskunftsersuchen nach Artikel 15 DSGVO können teuer werden
18. Februar 2020In den letzten Monaten haben sich Bußgelder wegen fehlender Auskunftserteilung gehäuft. Aber nicht nur eine fehlende Auskunftserteilung, sondern auch eine ungenau erteilte Auskunft kann ein Bußgeld mit sich bringen. Dies wurde durch das Amtsgericht Wertheim bestätigt, welches einem Unternehmen ein Bußgeld in Höhe von 15.000 Euro aufgrund ungenauer Auskunftserteilung verhängt hat. Aus diesem Grunde möchten wir Ihnen am Fallbeispiel von Herrn M. aufführen, wie bei einem Auskunftsersuchen nach Artikel 15 DSGVO richtig vorzugehen ist. Herr M. ist seit Jahren Angestellter in einem Unternehmen. Überall sei es beim Arzt, im Internet unter Kollegen geht es um die Datenschutzgrundverordnung (DSGVO). Als dieser mitbekommen hat, dass es die Möglichkeit eines Auskunftsersuchens nach Artikel 15 DSGVO gibt, möchte er diese Gelegenheit ausnutzen. Somit schreibt er eine E‑Mail an das Postfach für Datenschutz seines beschäftigten Unternehmens und möchte von seinem Auskunftsrecht nach Artikel 15 DSGVO Gebrauch machen. Wie hat das Unternehmen bei einem Auskunftsersuchen nach Artikel 15 DSGVO vorzugehen? Mehr über die einzelnen Schritte erfahren Sie nächste Woche in unserem Blogbeitrag.
WeiterlesenDie digitalen Bewerbermanagement-Plattformen
10. Februar 2020In der digitalisierten Welt von heutzutage Bewerbungsunterlagen per Post zu schicken fühlt sich schon altmodisch an. Auf dem Markt gibt es genug Bewerber-Tools, die sowohl die Beseitigung der Papierdokumentation und des begleitenden Chaos abschaffen, als auch Geschwindigkeit und Effektivität anbieten und zudem preiswerter sind. Was ist vor der Umsetzung einer Bewerberplattform zu berücksichtigen? Das hört sich schon wunderschön an, birgt aber Gefahren die aus datenschutzrechtlicher Sicht besondere Risiken für beide Seiten (Verantwortlicher und Betroffene) darstellen. Vom Prinzip der Datenminimierung (Art. 5, Abs. 1, Buchstabe c DSGVO) und der sog. Rechenschaftspflicht (Art.5, Abs.2 DSGVO) bis zur Auswahl eines konformen Bewerbertools gibt es vieles zu berücksichtigen. Der Rechenschaftspflicht ist erst dann nachgekommen, wenn die Prozesse, in denen personenbezogene Daten verarbeitet werden transparent und übersichtlich angelegt sind (dokumentiert sind). Das natürlich liegt in engerem Zusammenhang mit der Art des Bewerbertools (z.B. Cloud-basiert). Aufgrund der Anzahl der personenbezogenen Daten, die im Bewerbungsprozess bearbeitet werden müssen (von Kontaktdaten bis zu sensiblen Daten) fällt es den Unternehmen schwer den Überblick zu behalten. Deswegen sind vor der Umsetzung des Bewerber-Tools u.a. folgende Fragen zu beantworten: Handelt es sich um eine Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder unabhängig von einem anderen Verantwortlichen? Wer ist berechtigt Zugriff auf die Daten zu haben? Welche Fristen müssen bei der Speicherung von Daten berücksichtigt werden? Darf ich Social-Media Accounts von Bewerbern verknüpfen? und viele andere. Die Einfachheit birgt Gefahren. Definitiv als positiv zu sehen ist, das Einsetzen eines Löschkonzepts, da viele Bewerberplattformen automatische Erinnerungs- oder Löschoptionen enthalten. Ein weiterer Grund warum solche Tools immer…
WeiterlesenDer Gesetzesentwurf zur Bekämpfung des Rechtsextremismus und der Hasskriminalität – Auswirkungen für Unternehmen
3. Februar 2020Der Entwurf des Gesetzes zur Bekämpfung des Rechtsextremismus und der Hasskriminalität verpflichtet alle Internetdienstleister zur umfassenden Kooperation mit den Ermittlungsbehörden und Geheimdiensten. Somit haben alle Telemediendienstanbieter auf Verlangen die Bestands- und Nutzungsdaten ihrer Nutzer herauszugeben. Welche Neuerungen beinhaltet der Gesetzesentwurf? Eine der wichtigsten Neuerungen ist die Verpflichtung sozialer Netzwerke dem Bundeskriminalamt als Zentralstelle bestimmte strafbare Inhalte zu melden, die dem sozialen Netzwerk durch eine Beschwerde bekannt und von ihnen entfernt oder gesperrt wurden. Dies wird nicht nur von Datenschutzbeauftragten kritisiert, sondern auch von der Digitalen Gesellschaft. In dem Gesetzesentwurf heißt es, dass Anbieter von Telemediendiensten dazu verpflichtet werden sollen auf Verlangen die Bestands- und Nutzungsdaten ihrer Nutzer herauszugeben. Die Problematik betrifft nicht nur die Bekämpfung der Hasskriminalität, sondern auch die Erschaffung von umfassenden Überwachungsrechten für Staat und Behörde. Schon bisher bestand die Möglichkeit für Staatsanwaltschaften auf Basis des TMG Bestandsdaten inklusive Zugangsinformationen zu verlangen. Die Bundesregierung begründet die Änderungen mit der Aussage, dass bislang das Auskunftsverfahren im TMG nur „rudimentär“ geregelt sei. Aus Datenschutzsicht sind Passwörter besonders zu schützen und deren Herausgabe wäre ein Verstoß gegen die datenschutzrechtlichen Vorschriften. Aus Datenschutzgründen dürfen Passwörter nicht im Klartext gespeichert werden, sondern als Hashwert. Die Digitale Gesellschaft kritisiert die vorgesehenen Änderungen, weil das Ausprobieren der Passwörter für andere Accounts des Betroffenen eine denkbare verfassungswidrige Verwendung darstellen kann. Zudem ist es problematisch, dass künftig kein rechtlicher Beschluss nötig wird, sondern die Aufforderung einer Behörde oder Polizeidineststelle ausreichend ist. Hinzu kommt, dass der Nutzer von der Herausgabe seiner Daten an erster Stelle nicht durch den…
Weiterlesen2. DSAnpUG – Änderung der Benennungspflicht eines DSB bei nicht-öffentlichen Stellen und deren Auswirkung auf die Arztpraxen
20. Januar 2020Mit der Mehrheit der Stimmen durch die Fraktionen von CDU, CSU und SPD beschloss der Bundestag am 28.08.2019 das 2. DSAnpUG-EU ( Zweites Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680). Das 2. DSAnpUG ist von Seiten des Bundesrates zustimmungsbedürftig und tritt am Tag nach der Verkündigung im Bundesgesetzblatt in Kraft. Durch die Änderungen sind mehr als 150 Gesetze betroffen, insbesondere das BDSG. Durch das 2. DSAnpUG sind sowohl Begriffsbestimmungen und Rechtsgrundlagen für die Datenverarbeitung als auch Regelungen zu den Betroffenenrechten angepasst. Eine der wichtigsten Änderungen betrifft die Benennungspflicht eines Datenschutzbeauftragten (§ 38 BDSG). Bislang bestand nach § 38, Abs. 1, S. 1 BDSG die Benennungspflicht eines Datenschutzbeauftragten, wenn in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Nach der vorgenommenen Änderung lautet dieser folgenderweise: “Ergänzend zu Artikel 38 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.“ Ziel dieser Änderung ist der sog. ‘‘Bürokratieabbau‘‘, damit kleinere Betriebe und Vereine nicht unverhältnismäßig belastet sind. Diese Erleichterung bedeutet jedoch nicht, dass auch andere Datenschutzpflichten komplett wegfallen. Unabhängig von der Personenanzahl sind solche Verantwortliche und Auftragsverarbeiter zur Bestellung eines Datenschutzbeauftragten verpflichtet, die nach Art. 35 DSGVO einer Datenschutz-Folgeabschätzung unterliegen, oder wenn sie für Zwecke der Markt- oder Meinungsforschung oder geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung personenbezogene Daten verarbeiten.…
WeiterlesenFacebook Pixel: Ist das Tracking per Pixel erlaubt?
16. Dezember 2019Der Bayerische Blutspendedienst kämpft mit der Anschuldigung einer massiven Datenpanne, nachdem er sensible Daten von Blutspendern an Facebook übermittelt hat, darunter auch Angaben zu Schwangerschaften, Drogenkonsum, HIV-Infektionen oder Diabetes. Interessenten konnten sich durch Beantwortung von Fragen in Form eines Spende-Checks auf der Webseite des Bayerischen Roten Kreuzes (BRK) vorab informieren, ob Sie überhaupt als Spender in Frage kommen. Dieser Test war Anlass eines Verfahrens des Landesamtes für Datenschutzaufsicht gegen das BRK gewesen. Denn zu Analysezwecken wurde das Trackingtool Facebook Pixel installiert, welches durch seine falsche Konfiguration sensible Daten an Facebook übermittelt hat. Konkret wurden die beantworteten Fragen mit Ja und Nein mit dem sozialen Netzwerk geteilt. Dadurch ist es Facebook möglich, Rückschlüsse auf Erkrankungen der Betroffenen zu ziehen. Ob der Einsatz des Facebook-Pixels rechtmäßig war ist zurzeit Gegenstand des Prüfverfahrens. Bei Einsatz eines Tracking-Tools übermittelt nicht der Webseitenbetreiber, die Daten an den Anbieter des Tracking-Tools, sondern der Anbieter selbst erhebt die Daten direkt vom Nutzer. Nichtdestotrotz wird dies erst durch die Einbindung auf der Website ermöglicht. Auch Facebook verbietet explizit die Nutzung von Pixel in dieser Form. In seiner Stellungnahme heißt es: ‘‘Für die Verwendung des Pixels haben wir klare Regeln für Werbetreibende: Es dürfen keine sensiblen Nutzerdaten wie Informationen zu Gesundheit oder Finanzen an uns geschickt werden.‘‘ Dieser Fall zeigt deutlich, dass mit wenig Aufwand über den Browser nicht nur die Aufsichtsbehörden Websites prüfen, sondern jedermann testen kann, welche Tracking-Tools auf einer Website eingebunden sind. Das Risiko, dass Nutzer auf einen Verstoß aufmerksam werden und dieses der Aufsichtsbehörde…
WeiterlesenWindows 10 datenschutzkonform einsetzen.
2. Dezember 2019Das Betriebssystem Windows 10 ist schon länger im Visier der deutschen und europäischen Datenschutzbehörden. Es geht hierbei um den nicht offensichtlichen Datenversand vom Betriebssystem an den Softwarehersteller. Auch wenn Microsoft bestrebt war in der Vergangenheit diese Problematik nachzubessern, hat der Konzern bis heute noch keine Lösung vorgelegt, die die Datenschutzbehörden zufrieden stellt. Dieses ist der Grund dafür, dass die deutschen Datenschutzbehörden ein Prüfungsschema erstellt haben, welches durch jeden Verantwortlichen im Unternehmen umgesetzt und abgearbeitet werden muss. Die Anwendungshinweise der DSK, welche das Prüfschema zu Windows 10 enthalten, sind in zwei Dokumente untergliedert. Das erste Dokument enthält das eigentliche Prüfschema und dient als Leitfaden für den Verantwortlichen, den Datenschutzbeauftragten und den IT-Verantwortlichen/ IT-Dienstleister zur datenschutzkonformen Verwendung von Windows 10. Diese Prüfschema muss für jede eingesetzte Windows 10 Version durchlaufen werden. Das bedeutet auch, dass jedes Funktionsupdate (1809, 1903, 1909 usw.), welches im Unternehmen eingespielt werden soll, eine erneute Prüfung anstößt. Das zweite Dokument enthält weitergehende Informationen zu Windows 10 und die Konfigurationsmöglichkeiten. Diese können die IT-Verantwortlichen / IT-Dienstleister nutzen, um die Konfiguration im Unternehmen datenschutzkonform umzusetzen. Die beiden Anwendungshinweise finden sie hier auf der Seite der Datenschutzkonferenz: Prüfschema Windows 10: https://www.datenschutzkonferenz-online.de/media/ah/20191106_win10_pruefschema_dsk.pdf Anlage 1 zum Prüfschema Windows 10: https://www.datenschutzkonferenz-online.de/media/ah/20191106_win10_pr%C3%BCfschema_hinweise_dsk.pdf
WeiterlesenBenötige ich als Verantwortlicher ein Consent-Banner beim Tracking (Cookie-Banner)?
28. November 2019In der Regel benötigt jeder ein Consent-Banner, der Trackingtools (Third-Party-Cookies) auf seiner Webseite verwendet. Es gibt jedoch Trackingtools (First-Party-Cookies), bei denen Sie kein Consent-Banner benötigen. Wir möchten Ihnen daher eine kurze Hilfestellung mit auf dem Weg geben. Stellen Sie sich als Verantwortlicher einfach folgende Fragen: Verknüpfe ich als Verantwortlicher Nutzungsdaten der Webseite mit anderen Daten des einzelnen Nutzers? Verwendet der Anbieter die erhobenen Daten auch für seine eigenen Zwecke? Benötige ich die Daten des Nutzers nicht nur für die statistische Analyse der Webseite (Zweck der Verarbeitung)? Ist die Speicherung der Daten begrenzt und definiert? Gebe ich dem Betroffenen eine Möglichkeit des Widerspruches (Opt-Out-Verfahren)? Erfolgt eine Profilbildung, damit ich dem Nutzer seine Merkmale sowie seine Interessen zuordne? Wenn Sie als Verantwortlicher alle Fragen mit „Nein“ beantworten können, dann können Sie sich auf das berechtigte Interesse gem. Art. 6 Abs. 1 f) DSGVO berufen und müssen kein Consent-Banner für das Tracking zur Verfügung stellen. Sehr gerne beraten wir Sie zu diesem Thema – rufen Sie uns einfach an. Ihr Datenschutzteam der blu Systems
WeiterlesenMesse und Kongress für IT-Sicherheit
4. Oktober 2019Besuchen Sie uns beim Stand der Secure.Bayern auf der diesjährigen Messe und Konferenz für IT-Sicherheit it-sa in Nürnberg vom 8. bis 10. Oktober. https://www.it-sa.de/ Wir freuen uns auf den fachlichen Austausch mit Ihnen!
WeiterlesenEUGH hat entschieden: Cookies erfordern aktive Einwilligung
2. Oktober 2019In seinem Urteil (Rechtssache C‑673/17 ‚1. Oktober 2019, Urteil in der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. / Planet49 GmbH) entschied der EUGH, „dass die für die Speicherung aber auch den Abruf von Cookies auf dem Gerät des Besuchers einer Website erforderliche Einwilligung durch ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, nicht wirksam erteilt wird.“ Besonders erwähnenswert ist, dass der EUGH hierbei explizit keine Unterscheidung zwischen personenbezogenen und sonstigen Daten macht. Begründet wird dies mit dem im Recht der EU verankerten Prinzip, den Nutzer vor jedem Eingriff in seine Privatsphäre zu schützen. Der EUGH setzt damit nochmal ein deutliches Zeichen. Bemerkenswert ist dies auch, weil Deutschland in der Umsetzung der EU-Privacy Richtlinie bisher einen Sonderweg beschritten hat. Aus Sicht der Regierung- und entgegen der Auffassung der Aufsichtsbehörden- entspricht das deutsche Telemediengesetz nämlich dieser Umsetzung. Im Rahmen des TMG wäre eine Opt-Out-Lösung für Cookies möglich. Das Urteil muss deshalb auch dahingehend gewertet werden, dass diese Ansicht (spätestens jetzt) nicht mehr haltbar ist. Da die Einführung der EU-Privacy Verordnung wohl noch länger dauern wird, muss sich der Gesetzgeber überlegen, ob eine EU-rechtskonforme Umsetzung der Richtlinie nicht doch noch notwendig ist. Geklagt hatte der Bundesverband der Verbraucherzentralen und Verbraucherverbände gegen das Unternehmen Planet49 GmbH. Was bedeutet dies für Unternehmen und Websitebetreiber? Wir hatten schon mehrmals darauf hingewiesen, dass eine rechtskonforme Einwilligung ein aktives Handeln des Nutzers erforderlich macht. Auch die Cookie-Banner müssen den, nunmehr durch das Urteil des EUGH bestätigten Anforderungen angepasst werden. Denn…
WeiterlesenBundesgesundheitsminister fordert Nachbesserungen beim Datenschutz im Gesundheitswesen
19. September 2019In den letzten zwei Wochen waren mehrere Datenpannen bzw. vermeintliche Datenpannen im Gesundheitswesen publik geworden. Das BayLDA überprüft nach eigenen Angaben derzeit die (eventuell erfolgte) Weitergabe von Gesundheitsdaten eines Blutspendedienstes an Facebook. Nun berichten einige Medien, gemeinsame Recherchen des Bayrischen Rundfunks und von ProPublica hätten ergeben, dass sensible Gesundheitsdaten von Millionen Nutzern auf ungesicherten Servern gelegen hätten. Jens Spahn nimmt dies zum Anlass, für Patientendaten höchste Datenschutzstandards einzufordern. Er wird mit den Worten zitiert, dass „viele das Thema noch zu sehr auf die leichte Schulter nehmen würden“. Sicherlich lässt sich nicht pauschalisieren, dass Dienstleister oder Unternehmen aus dem Gesundheitswesen besonders nachlässig mit dem Thema Datenschutz umgehen würden. Der Bundesgesundheitsminister mag aber mit seiner Einschätzung dahingehend durchaus richtig liegen, dass das Bewusstsein für die besondere Sensibilität von Gesundheitsdaten noch nicht bei allen Marktteilnehmern ausreichend vorhanden ist. Der Verlust bzw. die unbefugte Einsichtnahme dieser Daten, etwa durch Versicherungen oder Arbeitgeber, hat aber für die betroffene Person unter Umständen weitreichende negative Konsequenzen. Die blu Systems GmbH wird deshalb aus (leider) aktuellem Anlass gegen Ende des Jahres eine Konferenz für das Thema „Healthcare-Datenschutz“ ausrichten. Wir informieren Sie rechtzeitig.
WeiterlesenUS-amerikanisches Datenschutzgesetz?
19. September 2019Der Austausch personenbezogener Daten mit US-amerikanischen Unternehmen wird für viele deutsche Unternehmen Alltag sein. Nicht zuletzt stehen viele Server auf US-amerikanischem Boden. Für die USA hat die Europäische Kommission per Angemessenheitsbeschluss ein angemessenes Datenschutzniveau bestätigt, unter der Voraussetzung dass der Empfänger dem so bezeichneten US-Privacy Shield angehört. Viele Datenschützer stellen jedoch in Frage, ob man das US-amerikanische Datenschutzniveau guten Gewissens dem Europäischen gleichsetzen kann. Nicht zuletzt die in den letzten Monaten häufig aufgetretenen Datenpannen großer amerikanischer Konzerne lassen Zweifel aufkommen. Und nicht wenige äußern, dass es sich von Seiten der Europäischen Kommission wohl eher um eine politische, denn eine aus Sicht des Datenschutzes fundierte Entscheidung handelt, den USA die Angemessenheit des Niveaus zu bestätigen. Die Gruppe der „Zweifler“ wird sich seit letzter Woche eher bestätigt sehen. Über 50 Schwergewichte der US-amerikanischen Wirtschaft haben in einem offenen Brief an den US-Kongress ein Bundesweites Datenschutzgesetz gefordert. Begründet wird dies unter anderem mit wirtschaftlichen Argumenten (fehlende Wettbewerbsfähigkeit amerikanischer Unternehmen durch die Erschwernisse des Datenschutzes). Hintergrund ist, dass zuletzt einige Bundesstaaten Datenschutzgesetze erlassen hatten, teilweise mit dem Vorbild DSGVO, weil eine bundesweite Regelung bisher fehlt. Der Vorschlag der Unternehmen, „Framework for Consumer Privacy Legislation“ liest sich oberflächlich betrachtet zunächst so, als hätten die Unternehmen begriffen, dass die Sensibilität für den Schutz personenbezogener Daten vornehmlich im letzten Jahr deutlich zugenommen hat. Fast wöchentlich erscheinende Pressenachrichten von großen Datenpannen amerikanischer Konzerne dürften den jeweiligen Public Affairs Abteilungen nicht gefallen haben. Wer genauer hinsieht wird jedoch schnell eines Besseren belehrt. Im letzten Satz des Dokumentes heißt es…
WeiterlesenSchwere Datenpannen und Kopplungsverbot
5. September 2019Schwere Datenpannen In der vergangenen Woche, so berichten mehrere Medien übereinstimmend, gab es wieder mehrere große Datenpannen. Einerseits fällt sicher der Vorfall beim Mastercard-Bonusprogramm in diese Kategorie, da von bis zu 90.000 Datensätzen die Rede ist, die teilweise sogar Kreditkartendaten enthalten sollen. Fast schon als „normal“ zu bezeichnen ist die gerade eben veröffentlichte Meldung, bei Facebook hätte es eine weitere Datenpanne gegeben, diesmal sind (vermutlich) über 400 Millionen Telefonnummern von Facebook-Nutzern in die falschen Hände gelangt. Zunehmend höhere Bußgelder durch deutsche Aufsichtsbehörden? In diesem Kontext scheint es erwähnenswert, dass die deutschen Aufsichtsbehörden die bisher gepflegte Zurückhaltung bei der Verhängung hoher Bußgelder immer mehr ablegen. Wie aus einer Meldung der Berliner Beauftragten für Datenschutz und Informationsfreiheit hervorgeht, wird demnächst von der Behörde ein Bußgeld „in bis zu zweistelliger Millionenhöhe“ verhängt, nachdem zuvor bereits zwei hohe Bußgelder im sechsstelligen Bereich verhängt wurden. Entscheidung des OLG Frankfurt zum Kopplungsverbot Von eher praktischer Relevanz aus Sicht der Unternehmen dürfte es sich bei einer kürzlich ergangenen Entscheidung des OLG Frankfurt (6 U 6/19 v. 27.06.2019) handeln. Im entschiedenen Rechtsstreit ging es um die bislang häufig diskutierte Fragestellung, ob eine Einwilligung (in diesem Fall für den Empfang des Newsletters des Unternehmens) mit einer Teilnahme an einem Gewinnspiel verknüpft werden kann. Nach überwiegend vertretener Meinung widersprach dies dem in der DSGVO verankerten Kopplungsverbot. In der Überzeugung der Frankfurter Richter überwiegt der Ansatz der Freiwilligkeit der Einwilligung. Der Verbraucher, so die Urteilsbegründung, könne und müsse selbst entscheiden, ob ihm die Teilnahme an einem Gewinnspiel unter der Bedingung einer…
WeiterlesenEuGH-Urteil zum Datenschutz: die Verantwortung für Seitenbetreiber wächst
8. August 2019Es ist ein bekanntes Bild: auf einer Unternehmenswebsite befindet sich ein Facebook „Like“-Button. Viele Unternehmen nutzen dieses Mittel, aus unterschiedlichen, meist marketingstrategischen Gründen. Bisher allerdings, ohne dafür eine gesonderte Einwilligung des Websitenutzers einzuholen. Dieses Vorgehen könnte zukünftig mit einem erhöhten Bußgeldrisiko behaftet sein. Durch die Einbindung des Facebook „Like“-Buttons werden nämlich personenbezogene Daten des Nutzers verarbeitet und an Facebook weitergeleitet und zwar unabhängig davon, ob der Button betätigt wird oder nicht. Der EuGH, der in seiner Entscheidung den Ausführungen des Generalanwalts gefolgt ist, erkennt darin eine (gemeinsame) Verantwortlichkeit des Websitebetreibers mit der Konsequenz, für diese Datenverarbeitung eine rechtliche Grundlage liefern zu müssen, in aller Regel eine Einwilligung. Zudem müssen die Informationspflichten und/oder die Datenschutzerklärung dementsprechend angepasst werden. In der Praxis wird der Nutzer nun sehr häufig noch nach einer zusätzlichen Einwilligung gefragt werden. Fraglich ist noch, welche Ausstrahlwirkung das EuGH-Urteil entfalten wird. Es ist aber zu erwarten, dass sich die Verwendung von Social-Media-Plugins auf Websiten grundlegend ändern wird.
WeiterlesenNo-Deal-Brexit- welche Auswirkungen hat dies auf den Datenschutz?
23. Juli 2019Übereinstimmend melden mehrere Medien, dass die neue britische Regierung an einer „No-Deal-Brexit“-Lösung arbeiten würde. Staatsminister Michael Gove wird mit den Worten zitiert, „…ein No Deal ist jetzt eine realistische Annahme und darauf müssen wir vorbereitet sein. Die gesamte Maschinerie der Regierung wird auf Hochtouren arbeiten“. Unternehmen ist deshalb dringend zu empfehlen, sich auf diese Situation auch unter datenschutzrechtlichen Gesichtspunkten vorzubereiten. Sollte das Vereinigte Königreich ohne eine Vereinbarung mit der EU austreten, würde dies bedeuten, dass es zum Drittland i.S.d. der DSGVO werden würde, mit allen drastischen Konsequenzen. Auch eine Übergangsfrist für die Geltung der DSGVO im VK wäre unter diesen Voraussetzungen nicht anzunehmen. In ihrem Beschluss vom 8. März 2019 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder bereits klargestellt, dass eine Datenübermittlung personenbezogener Daten in das VK dann nur noch unter Maßgabe der für Drittländer in der DSGVO vorgesehen Mechanismen möglich sei, zumal ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO derzeit für das VK nicht existiert. Der Europäische Datenschutzausschuss (EDSA) veröffentlichte eine Information , die von allen datenübermittelnden Stellen unbedingt zu beachten ist. Zur Sicherstellung der Einhaltung eines angemessenen Datenschutzniveaus muss demnach eine der folgenden Garantien die Grundlage der Datenverarbeitung bzw. –übertragung bilden: Standarddatenschutzklauseln (Art. 46 Abs. 2 lit. c) und d) DSGVO) Unternehmen können hierfür die drei durch die Europäische Kommission bereits veröffentlichten Standarddatenschutzklauseln (Dokument 32001D0497, Dokument 32004D0915, Dokument 32010D0087) verwenden. Allerdings muss darauf hingewiesen werden, dass der Europäische Gerichtshof (EuGH) aktuell die Rechtmäßigkeit der EU-Standardvertragsklauseln immer noch überprüft. Die Verwendung der Klauseln ist bis zu einer Entscheidung…
WeiterlesenDas Zweite Datenschutzanpassungsgesetz- was ändert sich für Unternehmen?
14. Juli 2019Am 27.06.2019 beschloss der deutsche Bundestag mit der Mehrheit der Stimmen durch die Fraktionen von CDU, CSU und SPD das zweite deutsche Datenschutzanpassungsgesetz.Über hundert Gesetze sind durch die geplante Änderung betroffen, vielfach diskutiert wird aber eine (mögliche) Aufweichung der Benennungspflicht eines DSB von Unternehmen. Die DSGVO als Bürokratiemonster? In der öffentlichen Wahrnehmung wird die DSGVO, die nun seit etwas über einem Jahr gültig ist, als bürokratisches Hindernis wahrgenommen. Insbesondere Vereine und KMU haben im letzten Jahr medial ihren Unmut über die Anforderungen der DSGVO kundgetan, die als zu umständlich und aufwendig empfunden werden. So verwundert es denn auch nicht, dass besonders Wirtschaftsverbände oder etwa die CDU-Mittelstandsvereinigung die als zu hoch wahrgenommene Belastung für kleine und mittelständische Unternehmen reduzieren wollen. 10 oder 20? Gewissermaßen symbolisch entzündete sich diese Diskussion an der Frage, ab wie vielen (personenbezogene Daten verarbeitenden) Mitarbeitern von Seiten des Unternehmens ein DSB zu bestellen ist. Bisher, so ist es im BDSG-neu festgehalten, sind dies zehn Mitarbeiter. Dort lässt sich in § 38 BDSG-neu nachlesen: „Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.“ Diese Personengrenze von zehn Mitarbeitern, so die Mittelstandsvertreter, sei deutlich zu niedrig angesetzt und belaste daher kleine Unternehmen unverhältnismäßig. Gleiches Recht für alle? Tatsächlich ist es der Ansatz der DSGVO, im Prinzip, von einigen Ausnahmen wie etwa die Verhältnismäßigkeit bei TOMs abgesehen, keinen Unterschied zwischen…
WeiterlesenUnser wöchentlicher Datenschutzblog
14. Juli 2019
In unserem Blog wollen wir Ihnen wöchentlich aktuelle Entwicklungen, Fragestellungen aber auch Handlungsempfehlungen aus dem Bereich Datenschutz vorstellen und mit Ihnen diskutieren.