Nur noch 72 Stunden - EU-DSGVO bringt neue Spielregeln für den Umgang mit Datenpannen

Eine Verletzung des Datenschutzes "beichten" zu müssen, ist immer unangenehm. Jeder weiß, dass es Folgen haben kann, im schlimmsten Fall auch arbeitsrechtliche. Deshalb schweigen manche lieber. Doch Vorsicht! Ab 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO). Dann kann das Verschweigen einer Datenpanne alles noch viel schlimmer machen.

Update: Lesen Sie hierzu auch unseren neuen Blogbeitrag "Nur noch 72 Stunden - Meldung von Datenpannen nach EU-DSGVO (2)" vom 01.03.2019.

Das verschwundene Laptop

Datenpannen nach EU-DSGVO - Was tun, wenn das Laptop weg ist?

Ein Laptop mit Kundendaten ist weg. Wahrscheinlich blieb er vor ein paar Tagen schlicht im Zug liegen. Das Gerät ist schon fünf Jahre alt und wurde nur noch ausnahmsweise benutzt. Also vermisst es niemand wirklich.

Wenn der Lautsprecher zuhört

Ein modernes Webradio in der Teeküche sorgt nicht nur für schöne Musik und aktuelle Wetterdaten, es kann auch zu einem echten Datenrisiko werden. Denn in immer mehr Geräten stecken Assistenten wie Alexa, die dauerhaft lauschen. 

Schlaue Radios mit Nebenwirkung

Gute Musik hebt die Stimmung, aktuelle Wetterinformationen helfen bei der Planung von Dienstreisen und Events. Da macht ein Webradio im Büro oder in der Teeküche schon Sinn. Dank Online-Verbindung bieten die Internetradios zahlreiche Radiosender, ob national oder international.

Datenrisiko - Lauscht Alexa heimlich?

Doch die neuen Webradios können mehr: ...

Optimierung des Fahrverhaltens – oder Kündigung!

Ein Arbeitgeber möchte das Fahrverhalten seiner Berufskraftfahrer optimieren. Deshalb installiert er in den Fahrzeugen ein System namens RIBAS. Ein altgedienter Fahrer hält das alles für Unfug und aktiviert das System nicht. Sage und schreibe drei Mal mahnt ihn der Arbeitgeber ab. Auch das hilft nicht. Da kündigt ihm der Arbeitgeber. Wird die Kündigung vor den Gerichten Bestand haben?

Es geht um Geld und um Fahrkomfort

Ein Nahverkehrsunternehmen will den Fahrkomfort für die Fahrgäste verbessern und außerdem Sprit sparen. Deshalb lässt es in seinen Bussen ein System mit Namen RIBAS installieren. Es ist inzwischen in ganz Deutschland weit verbreitet.

yourIT Datenschutz - Die Überwachung des Fahrverhaltens von Arbeitnehmern kann zulässig sein

Woran erkenne ich den Schutzbedarf personenbezogener Daten?

Personenbezogene Daten sind zu schützen, einige Daten haben sogar einen besonders hohen Schutzbedarf. Kann man das den Daten eigentlich ansehen? 

Was bedeutet Personenbezug?

Im Datenschutz geht es um den Schutz personenbezogener Daten. Das klingt nach einer Binsenweisheit. Doch was hat es mit dem Personenbezug auf sich? Was versteht man unter personenbezogenen Daten? Im bisherigen Bundesdatenschutzgesetz (BDSG-alt) findet man dazu: „Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).“

Woran erkenne ich den Schutzbedarf personenbezogener Daten?

In der EU-Datenschutzgrundverordnung (EU-DSGVO/GDPR), die ab 25. Mai 2018 anzuwenden ist, steht: „Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden betroffene Person) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.“

Urteil des BAG: Überwachung von Mitarbeitern mittels Keylogger ist unzulässig

Ein aktuelles Urteil des Bundesarbeitsgerichts (BAG) vom 27.07.2017 sorgt derzeit für Wirbel im Datenschutz-Universum. Mit diesem Urteil (Az. 2 AZR 681/16) hat das BAG entschieden, dass der Einsatz von Keylogger-Software durch einen Arbeitgeber zur Überwachung seiner Arbeitnehmer unzulässig bzw. nur unter strengen Auflagen möglich ist.

yourIT meldet: Überwachung von Mitarbeitern mittels Keylogger ist unzulässig

Definition "Keylogger"

Als "Keylogger" wird eine Software bezeichnet, welche dazu verwendet wird, Eingaben eines Benutzers an der Tastatur eines Computers zu protokollieren und damit zu überwachen oder zu rekonstruieren.

Was war passiert?

Im vorliegenden Fall hatte der Arbeitgeber in seinem Unternehmen einen sogenannten Keylogger installiert. Einen Grund hierfür konnte der Arbeitgeber in der Verhandlung nicht nachweisen. Nur durch die fragliche Nutzung dieser Tastenprotokollierungs-Software konnte der Arbeitgeber aufdecken, dass einer seiner Mitarbeiter den Dienst-PC während der Arbeit auch privat genutzt hatte. Der Arbeitgeber kündigte dem Arbeitnehmer daraufhin fristlos.

Der gekündigte Mitarbeiter erhob daraufhin Kündigungsschutzklage - mit Erfolg. Denn das BAG hielt die Kündigung für unrechtmäßig und gab dem Mitarbeiter in letzter Instanz Recht..

Begründung: Der Arbeitgeber hatte durch den Einsatz des Keyloggers das allgemeine Persönlichkeitsrecht des Arbeitnehmers verletzt. Die dauerhafte Protokollierung aller Tastatur-Aktivitäten der Mitarbeiter wurde als "unverhältnismäßig" eingeschätzt.

Ausnahmen zum Einsatz-Verbot von Keyloggern

Konkret ist der Einsatz von Keyloggern dann und nur dann zulässig, wenn konkret nachweisbare Tatsachen und eben nicht nur Vermutungen z.B. den Verdacht einer Straftat oder einer schwerwiegenden Pflichtverletzung nachweislich belegen. Dies war hier eben nicht der Fall. Die grundlose Überwachung aller Mitarbeiter wurde vom BAG als Verstoß gegen das "Recht aus informationelle Selbstbestimmung" erachtet. Erkenntnisse aus unerlaubter Überwachung dürfen regelmäßig nicht als Beweismittel in gerichtlichen Verfahren verwendet werden.

Zudem sollten sich Arbeitgeber überlegen, ob eine fristlose Kündigung bei möglichen Pflichtverletzungen im Zusammenhang mit einer unzulässigen Nutzung betrieblicher Arbeitsmittel immer das richtige Mittel darstellen. Zumindest bei geringem Umfang der unzulässigen Nutzung sollte besser eine Abmahnung als milderes Mittel ausgesprochen werden.

Keylogger im Hinblick auf die kommende EU-DSGVO

Erst vor kurzem hat der Zusammenschluss der europäischen Datenschutzbehörden in einer Stellungnahme zum Datenschutz am Arbeitsplatz den Einsatz von Keyloggern und anderer Überwachungssoftware als regelmäßig unzulässig beurteilt. Diese Haltung wird sich auch nach dem 25.05.2018 durchsetzen, wenn die EU-Datenschutzgrundverordnung (EU-DSGVO) und das neue BDSG gelten werden.

Ist Ihr Unternehmen bereit für die EU-DSGVO? jetzt Fördermittel nutzen!

Als Berater in Sachen Datenschutz & Informationssicherheit und mit der Erfahrung als ISO-27001-zertifiziertes Systemhaus analysieren wir gemeinsam mit Ihnen den Reifegrad Ihre Datenschutzkonzeptes im Hinblick auf die EU-DSGVO.

Das erfolgreiche yourIT Beratungskonzept Datenschutz in 4 Phasen

Als Ergebnis erhalten Sie einen ausführlichen Beratungsbericht, in dem wir alle gefundenen Schwachstellen in Ihrem Unternehmen in Bezug auf Datenschutz & Informationssicherheit aufführen, diese bewerten, Belegen, weshalb es sich um eine Schwachstelle handelt, wo wir diese entdeckt haben. Wir nennen diesen Datenschutz-Beratungsbericht auch das "Datenschutz-Pflichtenheft", weil wir Ihnen zu jeder Schwachstelle zudem Handlungsempfehlungen geben, wie Sie diese beheben.

Und jetzt das Beste: Für mittelständische Unternehmen wurde unsere Beratungsleistung in Sachen Datenschutz & Informationssicherheit als förderungswürdig eingestuft. Wenn Ihr Unternehmen die Förderbedingungen einhält, haben Sie Anspruch auf 1.500 EUR Fördermittel.

Gerne prüfen wir mit Ihnen, ob auch Ihrem Unternehmen Fördermittel zustehen. das dauert nur wenige Minuten.

Ich freue mich auf Ihre Anfragen.

Ihr Thomas Ströbele

Fragen / Anregungen

Haben Sie Fragen oder Anregungen zu diesem Beitrag? Dann senden Sie uns diese hier und jetzt:
Name

E-Mail (Pflichtangabe)

Nachricht (Pflichtangabe)

Rufschädigung in Facebook-Nachrichten - Achtung Bußgeld!

In Facebook (aber natürlich auch in anderen sozialen Netzwerken!) schreibt so mancher Nachrichten, die er als Brief nie versenden würde. Wenn die Nachricht einen geschäftlichen Bezug hat, gibt es rasch Ärger. Das ist den meisten klar. Aber wenn es um private Dinge geht? Dass es auch dann Grenzen gibt, hat das Landgericht Düsseldorf kürzlich klargestellt. 

Ein Darlehen unter „Freunden“

Ein Mann und eine Frau lernten sich über Facebook kennen. Rasch freundeten sie sich an. Im Mai/Juni 2016 war die Frau finanziell klamm. Gerne gab ihr der Mann ein Darlehen in Höhe von 3050 Euro. Wie so oft hörte dann leider beim Geld die Freundschaft auf. Es gab Streitereien wegen der Rückzahlung.

Rufschädigung in Facebook-Nachrichten - Achtung Bußgeld!

Die Frau wollte dem Mann ihre finanzielle Lage erklären. Deshalb schickte sie ihm einen Kontoauszug als Screenshot. Der Kontoauszug zeigte einen Kontostand von minus 5.865,70 Euro. Als Dispo-Rahmen waren 6.000 Euro genannt, als noch „frei verfügbar“ 134,30 Euro.

Orientwatz goes Datenschutz - herzlich willkommen bei yourIT

"Datenschutz in Social Media & Co. - Erfahre Tipps und Tricks, die Dich sicher durch die sozialen Medien bringen." So lautete der Eintrag im Sommerprogramm des Ratzgiwatz Jugendprogramms 2017. Interessanterweise hat dies dennoch nicht gereicht, alle Jugendlichen von einem Besuch des Kurses im Hause yourIT abzuhalten...

9 bis 12 Uhr am ersten Tag des Ferienprogramms. Ich wusste was das heißt - immerhin hatte ich bereits Erfahrung aus dem Ratzgiwatz-Programm 2015. 3 Stunden mit wissbegierigen Kids - das will gut vorbereitet sein. Insgesamt 61 (!!!) Folien hatte ich für meinen Vortrag vorbereitet. Rhetorisch ausgefeilt, raffiniert zusammengestellt - ich war selbst total begeistert!

Orientwatz goes Datenschutz - herzlich willkommen bei yourIT

Und dann das: Die Kids hatten so viele Fragen, dass ich nicht eine einzige meiner Folien gebraucht habe. Die 3 Stunden vergingen so schnell - Ich hatte gar keine Chance, den vorbereiteten Rechner samt Beamer zu starten.

Das Ratzgiwatz-Jugendprogramm 2017

Nächstes Jahr kann ich mir die aufwändige nächtelange Vorbereitung wohl sparen...

An die Eltern der lieben Kleinen: Eure Kids haben Fragen zum Umgang mit Social Media. Legt mal bitte Euer Smartphone beiseite und hört Euren Kindern zu. Die Antworten sind gar nicht so schwierig zu finden. Ich schafft das schon!

Auch den Betreuern konnte ich noch den einen oder anderen Tipp mitgeben. Und unser Hacker und das Script-Kid Marc haben denen 'nen ganz schönen Schrecken eingejagt. Künftig werden die ihre Passwörter wohl sorgsamer wählen. Erfolg auf der ganzen Linie!

Übrigens: Herzlichen Dank auch an "Lafer, Licht & Co." für die spontane Einladung zum Mittagessen. Die Pasta-Party habt Ihr gerockt. Like!

Euer Thomas

(Noch) mehr Videoüberwachung?

„Videoüberwachungsverbesserungsgesetz“ – eine solche Bezeichnung kann wohl nur die deutsche Verwaltung erfinden. Es geht jedoch um eine ernste Sache, nämlich um den Schutz vor Terror und Gewalt. Das neue Gesetz ändert im Alltag einiges, ob bei der Busfahrt zur Arbeit oder beim Shoppen im Einkaufszentrum. 

Bisher eher wenige Kameras üblich

Wer schon einmal in London war, weiß davon zu berichten: Videokameras hängen buchstäblich an jeder Ecke, ob im Einkaufszentrum oder im Sportstadion. In Deutschland ist das anders. Natürlich gibt es auch hier Überwachungskameras. Aber längst nicht in dieser Zahl. Das liegt zunächst einmal an unterschiedlichen gesetzlichen Regelungen.

yourIT zu "Videoüberwachungsgesetz & Datenschutz"

Aber in Deutschland legen die Aufsichtsbehörden für den Datenschutz die Regelungen außerdem besonders eng aus. So sieht es jedenfalls die Bundesregierung. Deshalb hat sie wenige Tage vor Weihnachten gehandelt: Ein neues Gesetz soll dafür sorgen, dass Videoüberwachung leichter möglich ist als bisher.

Neuregelung für Orte mit vielen Menschen

Von der neuen Regelung betroffen sind ausschließlich Örtlichkeiten, an denen erfahrungsgemäß viele Menschen zusammenkommen. Gedacht ist an Einkaufszentren, große Sportanlagen, Vergnügungsstätten und Parkplätze.

Außerdem geht es um Verkehrseinrichtungen wie Bahnhöfe und Haltestellen, aber auch um Fahrzeuge des öffentlichen Personenverkehrs (Busse, S- und U-Bahnen).

Vorbeugender Schutz

Der Schutz von Personen, die sich dort aufhalten, gilt künftig als „besonders wichtiges Interesse“. Das bedeutet: Dieser Schutz rechtfertigt es in der Regel, dass solche Örtlichkeiten per Video überwacht werden. Verwundert mag sich nun mancher fragen: War das bisher anders?

Die Antwort lautet schlicht: Ja! Die Regelungen für die Videoüberwachung wurden meistens sehr eng ausgelegt. Eher abstrakte Gefahren hielt die Datenschutzaufsicht nicht für ausreichend, um eine solche Überwachung zu rechtfertigen. Die bloße Möglichkeit, dass es zu üblen Vorfällen kommen könnte (und da und dort auch kam!), genügte nicht.

Hintergrund: Terroranschläge

Das wird sich durch die neuen Regelungen ändern. Der Grund liegt auf der Hand: Terroranschläge wie im Münchner Olympia-Einkaufszentrum oder auf dem Weihnachts-markt neben der Berliner Gedächtniskirche haben zu einem anderen Rechtsempfinden geführt.

Daneben will man aber auch der zunehmenden Gewalt in U-Bahnhöfen und an ähnlichen Orten nicht mehr länger zuschauen. Wunder erwartet sich dabei niemand. Denn mancher Täter wird sich von Kameras abschrecken lassen, mancher Täter nicht.

Keine Änderungen in Unternehmen

Keine Änderungen gibt es übrigens für die Videoüberwachung in den Produktionsbereichen von Unternehmen. Dort bleibt alles bei den bisherigen Regelungen. Sie haben sich bewährt. Und auch an der Supermarktkasse ändert sich nichts. Auf dem Parkplatz vor dem Supermarkt dagegen schon. Hier dürften bald neue Kameras zu sehen sein.

Gerne übernehmen wir auch in Ihrem Unternehmen den Aufbau und die Betreuung des Datenschutz-Managements und stellen den Externen Datenschutzbeauftragten. Vereinbaren Sie jetzt einen kostenloses Vorstellungsgespräch.

Ich freue mich auf Ihre Anfragen. Fordern Sie uns! Wir beraten Sie gerne.

Ihr Thomas Ströbele, Telefon +49 7433 30098-0

Sie möchten bei neuen Entwicklungen im Bereich Datenschutz & IT-Sicherheit informiert werden?

Dann tragen Sie sich einfach hier in unseren Newsletter ein.

Künstliche Intelligenz: Was die schlaue IT über uns wissen könnte

Was früher als Science Fiction galt, wird langsam in der IT Realität: Maschinen, die selbst lernen und immer intelligenter werden. Das bleibt natürlich nicht ohne Folgen für den Menschen.

Natürliche Angst vor Künstlicher Intelligenz

In Kinofilmen gibt es sie schon lange: Maschinen, die ohne Kommando eines Menschen aktiv werden, scheinbar selbst entscheiden, was sie tun, und letztlich zur Gefahr für den Menschen werden. Hollywood zeigt uns in den Filmen Roboter, die sich gegen ihre Erbauer richten und die Weltherrschaft anstreben.

Solche Filme mögen ein Grund dafür sein, dass viele Menschen ein Unwohlsein verspüren, wenn sie an schlaue Maschinen, an sogenannte Künstliche Intelligenz (KI) oder Artificial Intelligence (AI) denken. Denn Intelligente Maschinen scheinen sich nicht von uns Menschen beherrschen zu lassen.

Andere Sorgen gelten zum Beispiel den Arbeitsplätzen: Schlaue IT-Systeme werden Arbeitsplätze kosten. Auch wenn sie an anderer Stelle Arbeitsplätze schaffen, werden bestimmte Arbeiten den Menschen ab- und damit weggenommen. Doch was hat das mit dem Datenschutz zu tun? Eine ganze Menge!

yourIT: Künstliche Intelligenz und Datenschutz

Maschinen lernen von uns Menschen

Basis der Künstlichen Intelligenz und damit schlauer IT-Systeme wie der digitalen Assistenten Alexa, Siri & Co. ist das maschinelle Lernen. Die IT lernt genau wie wir Menschen, indem sie Erfahrungen macht und ihre Regeln auf dieser Basis anpasst.

Dabei spielen wir Menschen die entscheidende Rolle: Programmierer machen die Regeln, nach denen die Maschinen dann lernen. Außerdem soll die schlaue IT vielfach uns Menschen nachahmen. Dazu sammeln solche Systeme dann Informationen über die Nutzer und über andere Personen, die mit ihren Aufgaben zu tun haben.

Wenn also eine Künstliche Intelligenz dem Menschen etwas vorschlägt und dieser es als falsch ablehnt, lernt die Maschine. Sie lernt aber auch etwas über den Menschen: was er für richtig oder falsch hält, wie er das IT-System nutzt, wann er es nutzt, wozu er es nutzt, wo er es nutzt, abhängig davon, welche Sensoren der Maschine zur Verfügung stehen, um diese Daten zu messen.

Maschinen werden so intelligenter und passen sich uns Menschen besser an, auch indem sie Profile der Nutzer erstellen. Damit ist der Datenschutz betroffen.

Künstliche Intelligenz braucht Schranken

Bei IT-Systemen mit Künstlicher Intelligenz besteht die Gefahr, dass sie immer mehr Daten sammeln und auswerten (Big Data) und dass auf der Basis der Datenanalyse dann Entscheidungen vorbereitet oder sogar getroffen werden, die uns als Menschen betreffen. Der einzelne Mensch ist umso mehr betroffen, je persönlicher die Datenanalysen sind.

Der Schlüssel liegt also im Datenschutz. Künstliche Intelligenz, die bald in immer mehr Geräte Einzug hält, gleich ob Auto, Radio oder Kühlschrank, darf nicht unbegrenzt personenbezogene Daten auswerten, um den einzelnen Nutzer möglichst passgenau unterstützen zu können.

Datenschutz hat somit in der Zukunft eine weiterhin große Bedeutung und sorgt mit dafür, dass intelligente Maschinen den Menschen helfen, ohne ihn dafür komplett zu durchleuchten.

Auch wenn die Intelligenz und der Komfort der Maschinen dadurch scheinbar sinken sollten: Die Beschränkung des Zugriffs auf personenbezogene Daten darf bei Maschinen nicht aufgegeben werden, nur um sie so intelligent wie möglich zu machen!

Wie schätzen Sie die Gefahren durch Künstliche Intelligenz (KI) ein?

Frage 1: Maschinen sind dumm, sie können nur das, was man ihnen als Programm mitgibt. Stimmt das?

• a: Ja, woher sollten Maschinen auch mehr wissen und können?
• b: Nein, die Entwicklung hin zur Künstlichen Intelligenz (KI) bedeutet, dass Maschinen selbstlernend werden.

Lösung zu Frage 1: Die Antwort b. ist richtig. Für den Datenschutz bedeutet das, dass die IT-Systeme von den Menschen lernen und dazu möglichst viele Daten sammeln und auswerten sollen. Hier muss Privacy by Design oberstes Gebot sein.

Frage 2: Digitale Assistenten wie Alexa sind Beispiele für die Entwicklung hin zu KI-Systemen. Was sie lernen, bleibt wie beim menschlichen Gehirn innerhalb des Systems. Stimmt das?

• a: Nein, solche Systeme sind mit dem Internet verbunden und speichern vieles in einer Cloud.
• b: Ja, die Daten sind immer innerhalb des Systems geschützt.

Lösung zu Frage 2: Die Antwort a ist richtig. Intelligente Geräte haben ihre KI-Fähigkeiten meist nicht lokal, sondern nutzen Rechenleistungen aus dem Internet und speichern Daten in der Cloud.

Tatsächlich tauschen solche Systeme auch Daten untereinander aus, um so weitere Rückschlüsse zu ziehen. Personenbezogene Daten bleiben deshalb in der Regel nicht in dem jeweiligen System, sondern werden übermittelt. Deshalb sind Datenschutz-Prüfungen vor dem Einsatz intelligenter Systeme so wichtig.

Die Prüfungen sind allerdings nicht leicht, denn die IT-Systeme werden immer komplexer. Aus diesem Grund muss der Zugriff auf die Daten von Beginn an begrenzt werden, nicht erst bei einer späterer Auswertung, die kaum noch nachvollzogen werden kann.

EU-DSGVO - Datenschutzbeauftragte jetzt überall in der EU

In Deutschland ist man Datenschutzbeauftragte in Unternehmen seit Jahrzehnten ganz selbstverständlich gewohnt. Für andere Länder in der Europäischen Union (EU) sind sie dagegen etwas Neues. Die EU-Datenschutz-Grundverordnung (EU-DSGVO) führt sie auch dort ein. Ergänzende nationale Vorschriften sind dabei weiterhin zulässig. Deutschland hat sie Mitte Mai 2017 eingeführt. Diese Kombination stellt sicher, dass im Ergebnis alles so bleibt, wie es sich bewährt hat.

Die bisherige Situation

Bisher - vor der EU-DSGVO - war es so: Besondere EU-Regelungen für Datenschutzbeauftragte gibt es nicht. Jeder Mitgliedstaat kann selbst entscheiden, ob er Datenschutzbeauftragte im Unternehmen vorschreibt.

Deutschland hat dies schon vor Jahrzehnten getan. Im Ergebnis müssen lediglich kleine Unternehmen mit weniger als zehn Beschäftigten keinen Datenschutzbeauftragten haben.

yourIT: Datenschutzbeauftragte jetzt überall in der EU

Neuerungen durch die EU-Datenschutz-Grundverordnung

Eine bange Frage: Bin ich ein Innentäter?

Innentäter gelten als eines der größten Risiken für die Datensicherheit in Unternehmen. Nicht die Hacker von außen verursachen die meisten Vorfälle, sondern die sogenannten Insider. Gehören Sie auch dazu?

Insider gibt es nicht nur an der Börse

yourIT, Innentäter, Datenschutz

Sicherlich haben Sie in den Nachrichten schon einmal den Begriff "Insider-Handel" gehört. Bei diesem Vergehen geht es darum, dass jemand sein internes Wissen dazu missbraucht, um Vorteile beim Kauf oder Verkauf von Wertpapieren zu erzielen. Auch im Datenschutz gibt es Insider-Wissen, im Prinzip hat dies jede Mitarbeiterin und jeder Mitarbeiter, der mit personenbezogenen Daten umgeht, also zum Beispiel mit Kundendaten.

Zusätzlich haben Insider Berechtigungen, Daten zu lesen, zu ändern oder zu löschen. Werden diese Berechtigungen missbraucht, spricht man von einer Insider-Attacke.

Keine Sorge, niemand will Ihnen nachsagen, dass Sie eine Insider-Attacke planen oder so etwas jemals getan hätten. Doch vielleicht sind Sie trotzdem ein Innentäter, ohne es zu wissen oder zu ahnen.

EU-DSGVO-Halbzeit! Nur noch 365 Tage

In genau 365 Tagen ist es soweit: Ab dem 25. Mai 2018 gilt die EU-Datenschutzgrundverordnung (EU-DSGVO). Auch wenn viele das nicht mitbekommen haben: Bereits vor einem Jahr ist diese wichtige Änderung zum BDSG in Kraft getreten. Die Hälfte der 2-jährigen Übergangsfrist ist nun schon vorbei. Trotzdem verharrt eine Vielzahl mittelständischer Unternehmen und Konzerne noch immer in Untätigkeit. Die Datenschutz-Experten von yourIT empfehlen: Es gibt viel zu tun. Packen Sie's an!

yourIT: Halbzeit auf dem Weg zur EU-DSGVO

Wer wie wir von yourIT an IT-Umstellungs-Projekten mitarbeitet, weiß, dass es wichtig ist, frühestmöglich zu starten und dann koordiniert zu arbeiten, um ein von extern festgelegtes Enddatum einhalten zu können.

Betrachten wir die Einführung der EU-DSGVO (manchmal auch als GDPR bezeichnet, die Kurzform für General Data Protection Regulation) einmal als ein solches IT-Umstellungs-Projekt, ergeben sich folgende externe Vorgaben:

EU-Datenschutz-Experten empfehlen: Raus aus den US-Clouds!

US-Präsident Donald Trump war kaum im Amt, als er am 25. Januar 2017 direkt den Datenschutz für Europäer in Frage gestellt. Datenschutz-Experten aus der EU raten daher Unternehmen aus der EU, Cloud-Produkte nur noch von Europäischen Anbietern zu nutzen.

Deutsche und alle übrigen Europäer sind für den US-Präsidenten ganz offensichtlich Internetnutzer zweiter Klasse. Per Dekret vom 25. Januar erklärte er, dass Nicht-US-Bürger vom US-amerikanischen Datenschutzrecht auszuschließen oder zumindest ihre Rechte diesbezüglich einzuschränken sind, "soweit dies mit geltendem Recht vereinbar ist".

Der Datentransfer zwischen der EU und der USA auf Basis des Privacy Shield steht seither unter europäischem Beschuss. Das Privacy Shield ist als Nachfolger des Vorgängers Safe Harbor seit dem 12. Juli 2016 in Kraft und war von Anfang an umstritten. Es sollte eigentlich den EU-US-Datenaustausch für europäische Unternehmen mit US-Dienstleistern vereinfachen, die sich zu den darin notierten Prinzipien und organisatorischen Vorgaben bekennen. Ob sich damit aber tatsächlich ein "angemessenes Datenschutzniveau" sicherstellen lässt, das die Grundvoraussetzung für einen Datenaustausch mit anderen Unternehmen darstellt, gilt als unsicher.

EU-Datenschutz-Experten empfehlen: Raus aus den US-Clouds!

EU-Datenschützer befürchten nun , dass der Privacy Shield unter Trump von den USA gekündigt oder zumindest nicht ernst genommen werden könnte. Wieder einmal steht der Datenaustausch europäischer Unternehmen mit Dienstleistern aus den USA unter Kritik.

Wie die Deutsche IT-Branche von diesem Streit profitieren wird

Viele deutsche Unternehmen stehen derzeit vor der Entscheidung, ob sie die nächste Server-Generation noch im eigenen Serverraum betreiben wollen oder direkt in die Cloud wechseln. Zur Zeit-Überbrückung sollen aus dem Service laufende Server länger betrieben werden. Dies zeigen z.B. die seit November 2014 stark gestiegenen Zugriffsraten auf den Blogbeitrag zum Thema "Lebensdauer Server" des IT-Dienstleister yourIT aus Hechingen.

Zusätzlich sind deutsche Unternehmen derzeit dabei, die Vorbereitung für die EU-Datenschutzgrundverordnung zu treffen, die ab dem 25. Mai 2018 gelten wird.

Unternehmen, die künftigen Ärger mit dem Datenschutz vermeiden möchte, tun gut daran, sich jetzt ausschließlich auf europäische oder noch besser deutsche Cloud-Dienstleister einzulassen, die direkt der EU-DSGVO unterliegen. Mit diesen ist relativ einfach eine Vereinbarung zur Auftragsverarbeitung machbar. Außerdem setzt die EU-DSGVO auf eine Zertifizierung der Auftragsverarbeiter.

Für Online-Backup, Cloud-Speicher, E-Mail, Kalender, Messaging und viele andere Dienste gibt es inzwischen gute Alternativen europäischer Dienstleister zu Dropbox, Google & Co. Sprechen Sie mit den Cloud- und Datenschutz-Experten von yourIT. Wir empfehlen Ihnen gerne datenschutzkonforme Produkte deutscher und europäischer Anbieter.

Das könnte Sie auch interessieren:

Datenschutz-Dienstag, 13. Juli 2021

In der Cloud ist alles besser? Eine Geschichte über E-Mail-Server nach dem HAFNIUM-Angriff

Datenschutz-Dienstag, 06. Juli 2021

Internationale Datentransfers - Das How-To

Datenschutz-Dienstag, 29. Juni 2021

Internationale Datentransfers - Dokumentieren statt abschaffen! Am Beispiel Mailchimp

Datenschutz-Dienstag, 22. Juni 2021

Microsoft 365 rechtskonform einsetzen - auf die Konfiguration kommt es an!

Datenschutz-Dienstag, 15. Juni 2021

Datentransfer in die USA – eine Dauerbaustelle? Oder ein akuter Flächenbrand?!

Freitag, 4. Juni 2021

Achtung Kontrolle - Landesdatenschutzbeauftragte verschicken Fragebögen zu internationalen Datentransfers

Donnerstag, 8. April 2021

Office 365: Was sagt der Datenschutz?

Montag, 3. August 2020

Was sagen die Aufsichtsbehörden zum Aus für das Privacy Shield? Ein erster Überblick...

Samstag, 18. Juli 2020

Unternehmer-Tipps nach dem Aus für das "Privacy Shield" zwischen der EU und den USA

Freitag, 14. Juni 2019

EU-DSGVO - Das sollten Unternehmen bei der Nutzung von Public-Cloud-Diensten aus den USA beachten

Donnerstag, 9. Februar 2017

Was ist der Privacy Shield?

Google Analytics als Auftragsdatenverarbeiter - Was Unternehmen als Nutzer jetzt beachten sollten

Der Einsatz von Google Analytics durch deutsche Unternehmen befindet sich derzeit erneut im Focus des Hamburgischen Beauftragten für Datenschutz und Informationssicherheit (HmbBfDI) und anderer Landesdatenschutzbeauftragter. Das kostenlose Analyse-Produkt des amerikanischen Software-Herstellers Google findet sich massenhaft im Einsatz - auch auf den Websites und Blogs vieler deutscher Unternehmen.

Wieso ist Google Analytics im Datenschutz-Focus?

Da IP-Adressen in Deutschland als personenbezogene Daten gelten und Google beim Einsatz von Google Analytics auf den Websites und Blogs Ihres Unternehmens mit den IP-Adressen der Besucher eben dieser Seiten in Kontakt kommt und diese verarbeitet, handelt es sich hierbei um eine Auftragsdatenverarbeitung im Sinne von § 11 BDSG.

Der Hamburgische Datenschutzbeauftragte war bereits bisher federführend in Bezug auf erforderliche Regelungen bei Verwendung von Google Analytics. Dieser sah es nun als erforderlich an, sich erneut mit der Prüfung von Google Analytics zu befassen.

Als Ergebnis wurde ein neues Hinweisblatt zur Verwendung von Google Analytics erarbeitet. Dieses kann bei yourIT jetzt kostenlos bezogen werden. Schreiben Sie uns hierzu einfach eine kurze Nachricht mit dem Stichwort "Datenschutz Google Analytics".

Die Überarbeitung bezieht sich in erster Linie auf eine Klausel im bisherigen Vertrag zur Auftragsdatenverarbeitung, die auf das Safe-Harbor-Abkommen verwies, welches bekanntlicherweise bereits am 06.10.2015 durch eine Entscheidung des EuGH außer Kraft gesetzt worden war.

Google hat sich zwischenzeitlich nach dem Privacy Shield zertifizieren lassen und seinen Vertrag zur Auftragsdatenverarbeitung entsprechend angepasst.

Auch andere Landesdatenschutzbeauftragte stellen Anforderungen zu Google Analytics

Briefkopf Der Beauftragte für den Datenschutz Baden-Württemberg

Wie wir aus sicherer Quelle wissen, stellt auch der Landesbeauftragte für den Datenschutz Baden-Württemberg derzeit Unternehmen Fragen zum Einsatz zu Google-Analytics. Wir zitieren aus einem uns vorliegenden Anschreiben:

"[...] Aus der Datenschutzerklärung geht bezüglich der Verwendung von Google Analytics nicht hervor, ob ein Vertrag mit Google nach § 11 BDSG im Sinne der Auftragsdatenverarbeitung besteht und in welcher Art und Weise die IP-Adresse übermittelt wird. Ist dies der Fall und werden die hinteren Ziffern der IP-Adresse anonymisiert? [...]"

Auszug Anschreiben Beauftragte für den Datenschutz Baden-Württemberg zu Google Analytics

Die EU-DSGVO wird vermutlich noch eins drauf setzen...

Es ist zu erwarten, dass sich bei In-Kraft-Treten der EU-Datenschutzgrundverordnung (EU-DSGVO) zum 25.05.2018 erneut Änderungen hinsichtlich der Verwendung von Google Analytics ergeben werden.

Unternehmen, die Google Analytics auf ihren Websites und Blogs einsetzen, sollten

1. jetzt eine Vereinbarung zur Auftragsdatenverarbeitung mit Google abschließen und 
2. die Änderungen durch die kommende EU-DSGVO im Auge behalten.

Nutzen Sie jetzt unsere Erfahrung und unser Knowhow aus 10 Jahren externer Datenschutzberatung.

Fazit: Vereinbarung zur Auftragsdatenverarbeitung mit Google Analytics jetzt!

Holen Sie sich jetzt von uns kostenlos unser Hinweisblatt zu Google Analytics. Schreiben Sie uns hierzu einfach eine kurze Nachricht mit dem Stichwort "Datenschutz Google Analytics". Sie erhalten von uns ein Hinweisblatt zur konkreten Vorgehensweise sowie die aktuelle Version des Vertrages zur Auftragsdatenverarbeitung mit Google Ireland Ltd. in Dublin.

Brief an Google mit Inhalt Vereinbarung zur Auftragsdatenverarbeitung

Sie müssen die Vereinbarung zur Auftragsdatenverarbeitung mit Google dann nur noch kurz ausfüllen, unterschreiben und ab die Post!

Achtung: Neben der Vereinbarung sind weitere Schritte zu unternehmen. Gerne unterstützen wir Sie dabei.

Wie wir von yourIT Sie als Google-Analytics-Anwender unterstützen können

Unser gefördertes Beratungspaket "Datenschutzkonzept" enthält neben einigen anderen Dingen auch die Erhebung der Liste der Auftragsdatenverarbeiter und die Überprüfung der bisherigen Vertragsstände.

yourIT Beratungspaket Datenschutzkonzept für Sie als Auftraggeber

Vorteil für mittelständische Unternehmen: Unser Beratungspaket "Datenschutzkonzept" wird gefördert mit Mitteln aus dem Europäischen Sozialfonds. Sie erhalten bis zu 1.500 EUR Fördermittel.

Worauf warten Sie noch? Vereinbaren Sie jetzt einen kostenlosen Kennenlerntermin.

Ich freue mich auf Ihre Anfragen. Fordern Sie uns! Wir beraten Sie gerne.

Ihr Thomas Ströbele, Telefon 07471/930100

Sie möchten bei neuen Entwicklungen im Bereich Datenschutz & IT-Sicherheit informiert werden?

Dann tragen Sie sich einfach hier in unseren Newsletter ein.

yourIT - Nützliche Sicherheitstipps vom BSI

BSI – bisher noch nie gehört? Das ist schade! Denn das „Bundesamt für Sicherheit in der Informationstechnik“ hilft Unternehmen und Normalbürgern gleichermaßen. Von seinen Sicherheitstipps kann jeder profitieren. Machen Sie einen Versuch!

Scheinbar sichere Internetseiten

„Ich surfe nur auf vertrauenswürdigen Seiten, darum muss ich mich nicht vor Cyber-Angriffen schützen.“

So denkt mehr als einer. Schön wär's, kann man dazu nur sagen.

Natürlich ist es vernünftig und richtig, sich von dubiosen Internetseiten von vornherein fernzuhalten. Das allein reicht aber nicht. Denn, so das BSI: „Leider können auch vertrauenswürdige Seiten hin und wieder von Schadsoftware betroffen sein.

Sie kann sich beispielsweise in Werbebannern verstecken und sich unbemerkt auf dem PC des Nutzers installieren. Sogenannte Drive-by-Downloads, bei denen Inhalte ohne Zutun des Nutzers im Hintergrund heruntergeladen werden, können auch über populäre Internet-Seiten erfolgen.“

yourIT - nützliche Sicherheitstipps vom BSI

Bequeme öffentliche WLANs

„Das Surfen in öffentlichen WLANs spart nicht nur Kosten, sondern ist auch sicher.“ 

Jedenfalls an der Ersparnis ist etwas dran. Doch sollte man auch bedenken, dass die Datenübertragung zwischen dem mobilen Gerät und dem Router, der die Internetverbindung herstellt, meist unverschlüsselt erfolgt.

Deshalb empfiehlt das BSI: „Über öffentliche WLANs sollten nie vertrauliche Daten übertragen werden, es sei denn, sie werden zuvor lokal auf dem eigenen Gerät verschlüsselt oder über ein virtuelles privates Netzwerk (VPN) übertragen. Das gilt vor allem, wenn auf das Heim- oder Firmennetzwerk zugegriffen werden soll.“

Bitte denken Sie dabei daran, die Vorschriften Ihres Unternehmens für externe Zugriffe auf das Firmennetzwerk zu beachten!

Scheinbar uninteressante Daten

„Ich habe nichts zu verbergen und keine wichtigen Daten, also bin ich doch kein Ziel für Cyber-Kriminelle und muss mich deshalb nicht schützen.“

Für Unternehmensdaten gilt das natürlich niemals. Aber vielleicht wenigstens für Ihre privaten Daten?

Das BSI sieht auch das anders: „Diese Ansicht ist grundlegend falsch. Cyber-Kriminelle können alle Daten für ihre Zwecke nutzen. Jeder, der mit einem ungeschützten Gerät im Internet surft, einkauft oder Online-Banking betreibt, hinterlässt eine Vielzahl an Daten, für die sich Cyber-Kriminelle interessieren.

Das sind nicht unbedingt die auf dem Rechner gespeicherten Urlaubsfotos, Korrespondenzen oder andere private Dokumente. Von einem ungeschützten Rechner können Kriminelle dort gespeicherte oder im Internet übertragene Zugangs-, Konto- und Kreditkartendaten leicht stehlen und missbrauchen.“

Wiegen Sie sich also nicht in falscher Sicherheit und achten Sie auch beim privaten Rechner auf einen aktuellen Virenschutz sowie auf regelmäßige Updates aller Programme!

Gelöscht und trotzdem noch vorhanden

„Wenn ich alle Daten von meinem Gerät lösche und anschließend den Papierkorb leere, sind die Daten ein für alle Mal weg.“ 

Sie sind gut mit der EDV vertraut und lächeln über so viel Naivität? Glückwunsch! Aber kennt sich Ihr Kollege genauso gut aus? Man kann über das Thema nicht oft genug sprechen: „Durch das Verschieben von Dateien in den Papierkorb bleiben die Dateien vollständig auf dem Speichermedium erhalten.

Auch nach Leeren des Papierkorbs lassen sich Daten mit wenig Aufwand wiederherstellen, da bei diesem Vorgang lediglich die Verweise auf die Daten im Index, dem Inhaltsverzeichnis der Festplatte, gelöscht werden und der Bereich zum Überschreiben freigegeben wird.“ So der Hinweis des BSI zu diesem Thema.

Ach übrigens: Auch in Scangeräten und Fotokopierern gibt es Datenträger mit großer Kapazität, die alles längerfristig festhalten. Wird das Gerät gestohlen, hat der Dieb Zugriff auf all diese Daten.

Attacke per E-Mail

„Wenn ich eine E-Mail nur anschaue, aber keinen Anhang öffne, kann nichts passieren.“

Klarer Fall: Bevor man einen Anhang öffnet, sollte man immer erst einmal überlegen, ob die Mail vertrauenswürdig ist. Aber für sich allein reicht das nicht als Schutz. Denn, so das BSI: „Viele E-Mails sind farbig, mit verschiedenen Schriften und Grafiken gestaltet.

Dort kann schädlicher Code versteckt sein, der bereits beim Öffnen der Mail ausgeführt wird, ohne dass dafür ein Anhang angeklickt werden muss.“

Empfehlung daher: „Deshalb sollten Nutzer in ihrem E-Mail-Programm die Anzeige von E-Mail im HTML-Format deaktivieren.“

Sie möchten noch mehr Tipps?

Dann geben Sie in einer Suchmaschine einfach „BSI Sicherheitsirrtümer“ ein! Und registrieren Sie sich jetzt für unser Online-Magazin Datenschutz Now!

Locky ist wieder da - und die Version 2.0 der Ransomware ist gefährlicher denn je!

Achtung: Locky ist wieder da!

Falls Sie heute oder in den nächsten Tagen und Wochen eine E-Mail mit einem PDF-Dokument im Anhang erhalten, welches beim Öffnen um die Erlaubnis bittet, ein Zusatzdokument zu öffnen, dann brechen Sie den Vorgang unbedingt sofort ab. Klicken Sie unter keinen Umständen auf „OK“! Schließen Sie die PDF-Datei und informieren Sie sofort Ihren IT-Administrator oder Ihr zuständiges IT-Systemhaus.

Locky 2.0 ist wieder da - yourIT informiert Sie jetzt über die Gefahr

Weitere Informationen zu Locky 2.0 jetzt auf unserem Blog simplify-yourIT...

Bitte informieren Sie jetzt auch Ihre Kollegen und Bekannten, bevor diese den Hackern in die Falle gehen.

Smartwatches: Spione am Handgelenk?

Smartwatches, die intelligenten Armbanduhren, liegen im Trend und gehörten zu den beliebtesten Weihnachtsgeschenken. Um ihre Datensicherheit ist es jedoch nicht gut bestellt.

Technik-Fans aufgepasst!

Als Geschenke sind Mobilgeräte wie Smartphones und Tablet-Computer sehr gefragt. Auch die sogenannten Wearables wie Smartwatches und Fitness-Tracker. Doch leider wird bei aller Begeisterung vergessen, was die vielen neuen Geräte für unsere Privatsphäre bedeuten können.

Gerade die Wearables, also Geräte, die wir als Nutzer am Körper tragen, sind ständig bei uns. Sie müssen den Nutzer nicht verfolgen, sondern sind mit der Person direkt und eng verbunden. Diese Nähe sollte Anlass genug sein, um über die Funktionen der Smartwatches und anderer Wearables genauer nachzudenken.

So sind die Smartwatches nicht einfach nur Armbanduhren, die anstelle eines Zifferblatts ein hübsches buntes Display haben, das neben der Uhrzeit auch Fotos des Nutzers anzeigen kann.

Smartwatch, Datenschutz, yourIT

Smartwatches können mehr, als die Uhrzeit zu verraten

61 Prozent der Personen, die sich für eine Smartwatch interessieren, wünschen sich etwa das Anzeigen der Daten von Fitness-Apps wie der zurückgelegten Strecke beim Joggen. 39 Prozent würden mit ihrer Smartwatch gern Gesundheitsdaten wie Puls oder Blutdruck messen und bei Bedarf automatisch Verwandte oder den Arzt informieren.

Zudem möchten 23 Prozent die Smartwatch als Navigationsgerät einsetzen und 56 Prozent zum Anzeigen eingegangener SMS oder E-Mails, wie eine Bitkom-Umfrage ergab.

Offensichtlich gelangen so vertrauliche Daten wie E-Mails und SMS und sogar hochsensible Gesundheitsdaten auf die intelligenten Armbanduhren. Trotzdem haben lediglich 30 Prozent der Befragten Angst vor Datenmissbrauch.

Nur jeder Vierte hat die Sorge, dass Hacker die Smartwatch angreifen könnten. Da stellt sich die Frage, wie daten-schutzfreundlich und sicher Smartwatches und andere Wearables wirklich sind.

Prüfungen der Aufsichtsbehörden sind alarmierend

Mehrere Aufsichtsbehörden für den Datenschutz haben sich dieser Frage angenommen und verschiedene Wearables sowie die zugehörigen Fitness-Anwendungen überprüft – mit ernüchterndem Ergebnis.

Bereits die Datenschutzerklärungen erfüllen meistens nicht die gesetzlichen Anforderungen. Sie sind in der Regel viele Seiten lang, nur schwer verständlich und enthalten lediglich pauschale Hinweise zu essenziellen Datenschutzfragen, so die Aufsichtsbehörden.

Beunruhigend sind auch die Aussagen zur Datenweitergabe: Der Nutzer erfährt oftmals weder, an wen genau die Daten weitergegeben werden, noch kann er wider-sprechen. Generell sind die Daten aber auch für Werbezwecke und zur Profilbildung äußerst interessant.

Viele Geräte bieten keine Möglichkeit, Daten selbstständig vollständig zu löschen. Weder im Gerät selbst noch im Nutzerkonto gibt es eine Löschfunktion.

Mitunter werden die Fitness-Daten der Nutzer nicht nur von der Smartwatch auf das Smartphone übertragen, sondern direkt an den Anbieter oder an Partnerunternehmen des Anbieters. In der Regel ist dies mit Risiken verbunden, derer sich die Nutzer bewusst sein sollten, so die Datenschützer.

Sicherheitsfunktionen sind bei Smartwatches eine Seltenheit

Im Vergleich zu Smartphones sind die Smartwatches auch kaum mit Sicherheitsfunktionen ausgestattet, obwohl viele Modelle vergleichbare Betriebssysteme und die Möglichkeit haben, Apps zu installieren.

Einen Schutz vor Schadsoftware, eine Verschlüsselung der gespeicherten Daten, eine Verschlüsselung der Datenübertragung und einen Zugangsschutz zumindest über eine Passwortabfrage sucht man in aller Regel vergebens.

Neben der Privatnutzung der Smartwatches nimmt auch der berufliche Einsatz zu. Es gibt inzwischen bereits ausgesprochene Business-Smartwatches. Firmen-Mails landen dann ebenso auf der Smartwatch wie digitale Dokumente.

Denn der Speicherplatz ist dank Erweiterung über Speicherkarten durchaus üppig. Trotzdem haben selbst die Business-Smartwatches kaum Sicherheitsfunktionen zu bieten. Einige bringen einen Passwortschutz mit. Erst wenige Anbieter haben die Möglichkeit geschaffen, dass Sicherheits-Apps entwickelt und später installiert werden.

Vorsicht ist angebracht

Misstrauen Sie also dem geliebten Weihnachtsgeschenk Smartwatch. Machen Sie es nicht einfach zu Ihrem persönlichen Begleiter und Assistenten, der immer dabei ist und alle Termine und E-Mails kennt. Sonst könnten die vertraulichen Daten schneller die Armbanduhr verlassen, als Sie denken, und Sie hätten womöglich einen Spion am Handgelenk.

Nutzen Sie die vielfältigen Funktionen deshalb nur mit Vorsicht. Achten Sie darauf, dass die Verbindungen zwischen Smartwatch und anderen Geräten keinesfalls ständig aktiv sind.

So unterbinden Sie auch eine mögliche Übermittlung der aktuellen Standortdaten und eine dauerhafte Ortung durch Dritte.

Interne Sperrvermerke für gefährdete Kunden?

Bürger, die persönlich gefährdet sind, können von Behörden in manchen Registern „Sperrvermerke“ eintragen lassen. Ihre Daten dürfen dann entweder gar nicht weitergegeben werden oder nur unter besonderen Vorsichtsmaßnahmen. Hat das Auswirkungen darauf, wie ein Unternehmen mit Daten solcher Personen umgehen darf?

Schutz gefährdeter Personen durch Behörden

Jeder, der eine Wohnung bezieht, muss sich beim Einwohnermeldeamt anmelden. Seine Daten kommen ins Melderegister. Normalerweise ist das eine völlig unspektakuläre Angelegenheit.
Es gibt allerdings auch Spezialfälle.

yourIT, Sperrvermerk, Datenschutz

So kann es vorkommen, dass ein Polizist persönlich gefährdet ist, weil sich Kriminelle an ihm rächen wollen. Er kann dann beantragen, dass für ihn im Melderegister eine Auskunftssperre eingetragen wird. Die Sperre soll verhindern, dass seine Adresse den falschen Leuten in die Hände fällt.

Auskünfte über die aktuelle Anschrift sind ohne eine solche Sperre relativ leicht zu erhalten. Zwar muss man dabei zumindest den Namen und den Vornamen der gesuchten Person nennen können. Gerade bei seltenen Namen stellt das aber keine große Hürde dar.

Auswirkungen auch auf Unternehmen?

So weit, so gut. Bis dahin ist das eine behördeninterne Angelegenheit, die Unter-nehmen normalerweise nicht weiter interessiert. Das ändert sich freilich sofort, wenn ein solcher Bürger mit Auskunftssperre von einem Unternehmen verlangt, ihn ebenfalls besonders zu schützen. Solche Forderungen häufen sich inzwischen.

Teils extreme Forderungen von Kunden

Manche Kunden gehen sogar so weit, dass sie verlangen, auch im Unternehmen so etwas wie eine interne Auskunftssperre zu bekommen. Sie soll bewirken, dass normale Unternehmensmitarbeiter keinen Zugriff mehr auf die Daten dieses Kunden haben. Ein Zugriff soll nur noch ausgewählten, besonders vertrauenswürdigen Mitarbeitern möglich sein.

Was auf den ersten Blick durchaus nachvollziehbar wirken mag, behindert bei näherem Hinsehen die Arbeitsabläufe  erheblich. Gäbe es einen solchen Anspruch,  müsste die Datenverarbeitung entsprechend angepasst werden. Außerdem wären besondere Mitarbeiter auszuwählen. Also alles keine Kleinigkeiten!

Position der bayerischen Datenschutzaufsicht

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in seinem Tätigkeitsbericht 2015/2016 klar Position bezogen, wie mit solchen Forderungen umzugehen ist. Es hebt Folgendes hervor:

• Unternehmen dürfen Daten ohnehin nur verarbeiten, wenn dies für die Tätigkeit des Unternehmens erforderlich ist.
• Ist diese Voraussetzung gegeben, dürfen alle Mitarbeiter Zugriff auf die Daten erhalten, die sie für ihre Arbeit brauchen. So muss etwa die Buchhaltung auf die Daten aller Kunden zugreifen können, bei denen noch eine Rechnung offen ist.
• Zugriffsbeschränkungen, die darüber hinausgehen, kann kein Kunde verlangen. In den Datenschutzgesetzen, die für Unternehmen gelten, gibt es keine Regelungen über so etwas wie Sperrvermerke oder Auskunftssperren.
• Ist im Register einer Behörde ein Sperrvermerk, eine Auskunftssperre oder et-was dergleichen eingetragen, dann hat dies nur für die Arbeit dieser Behörde Bedeutung. Auswirkungen auf Unternehmen ergeben sich dagegen nicht.

Vorsicht vor Überinterpretationen!

Dies ist eine wichtige Klarstellung. Sie darf allerdings auch nicht überinterpretiert werden. So kann Folgendes vorkommen:

• In einem Einwohnermelderegister ist für einen Bürger eine Auskunftssperre wegen Gefährdung eingetragen.
• Ein Unternehmen möchte vom Einwohnermeldeamt die aktuelle Anschrift dieses Bürgers erfahren. Der Grund: Es ist noch eine Rechnung offen, und der Bürger ist umgezogen, ohne dem Unternehmen seine neue Anschrift zu melden.
• Nach einigen Wochen teilt die Behörde die aktuelle Anschrift schließlich mit. Dabei macht sie allerdings eine besondere Auflage. Sie legt fest, dass die Anschrift nur für den Zweck verwendet werden darf, um den es bei der Anfrage ging. Das ist gewissermaßen der Preis dafür, dass das Unternehmen die Anschrift erhält, obwohl eine Auskunftssperre eingetragen ist.

Erst denken, dann Daten weitergeben!

Folge für die Praxis: Die Adresse darf nur zu dem Zweck verwendet werden, den Kunden wegen der konkreten Rechnung anzusprechen. Unzulässig wäre es dagegen, ihm beispielsweise Werbung an diese Adresse zu schicken.

Und dass jegliche Weitergabe der Anschrift an Stellen außerhalb des Unternehmens verboten ist, versteht sich von selbst.

Das gilt auch, wenn „befreundete Unternehmen“ anfragen, die ebenfalls nach der aktuellen Anschrift suchen.

Chatbots: hilfreiche Antworten oder neugierige Automaten?

Viele Online-Shops und Support-Seiten bieten Besuchern über Chat-Fenster Unterstützung bei Fragen an. Meist stecken keine Menschen, sondern Maschinen dahinter. Das hat Folgen für den Datenschutz.

„Mein Name ist Peter, wie kann ich Ihnen helfen?“

Im Internet kann man alles finden – wenn man es denn findet. Viele Online-Shops haben ein so umfangreiches Sortiment, dass man sich als Kunde eigentlich eine Beratung wünscht, wie man sie im Geschäft um die Ecke gewöhnt ist. Nur wartet im Internet niemand, um den Kunden zu unterstützen, so scheint es.

Doch plötzlich geht ein Dialog auf der Webseite auf, und es meldet sich ein Berater, der seine Hilfe anbietet. Meist ist es ein kleines Chat-Fenster, mit einem Foto oder einer Zeichnung, die eine Person zeigt. Die Person stellt sich mit einem Satz vor, und man kann seine Fragen stellen.

Solche Fenster findet man nicht nur in Online-Shops, sondern auch auf vielen Support-Webseiten. Neben der altbekannten FAQ-Liste, die Antworten auf die häufigsten Fragen vorhält, trifft man häufig auf diese Art von virtuellem Supportmitarbeiter, mit einer Meldung in einem Chat-Fenster, in das man seine Fragen und Probleme eintragen kann.

Online-Shops, Chatbots, yourIT, Datenschutz

Support und Beratung vom Automaten

Die Antworten und Tipps aus dem Chat-Fenster sind teilweise so gut, dass man eine echte Person dahinter vermuten könnte, jemanden aus einem Callcenter vielleicht. Oftmals sind es aber keine Menschen, die antworten, sondern Automaten, sogenannte Chat-Roboter oder Chatbots.

Nun könnte es einem ja gleichgültig sein, ob es nun ein Chatbot oder ein Callcenter ist, abgesehen von der Frage nach den wegfallenden Arbeitsplätzen.

Doch es ergeben sich weitere Konsequenzen aus der Entwicklung, dass sich die Betreiber von Webseiten in Zukunft vermehrt für Automaten entscheiden werden. Die Chatbots sollen möglichst intelligent sein.

Denn andernfalls sind die Nutzer unzufrieden, und es sind doch Menschen für Beratung und Support nötig. Deshalb werden Chatbots so entwickelt, dass sie den Besucher so weit wie möglich analysieren, um die Antworten persönlich und passend zu gestalten.

Ebenso werden die Fragen der Besucher gespeichert und ausgewertet, um sich auf die Fragen immer besser vorbereiten zu können – automatisiert, versteht sich.

Vorsicht bei der Eingabe persönlicher Informationen

Betrachtet man die Datenschutzerklärungen verschiedener Anbieter von Chatbots, lässt sich feststellen, dass die Anbieter teilweise die IP-Adressen und andere Daten der Besucher speichern, die Rückschlüsse auf die fragenden Personen zulassen.

Wer dann noch in seinen Fragen persönliche Details verrät, kann ungewollt ermöglichen, dass der Anbieter ein detailliertes Besucherprofil erzeugt. Je nach Anbieter und Betreiber lässt sich dieses Besucherprofil auch anders nutzen als dazu, die automatische Kundenbetreuung zu verbessern.

Bevor Sie also im nächsten Online-Shop oder Support-Forum dem virtuellen Berater Ihre Fragen anvertrauen, schauen Sie sich am besten die Datenschutzerklärung der Webseite und zum Chatbot an.

Datensparsamkeit ist Trumpf 

Denken Sie zudem auch hier an die Datensparsamkeit: Es geht weder um Smalltalk noch um einen persönlichen Kontakt, wenn Sie einen Chatbot nutzen, sondern um eine automatische FAQ-Liste, die mitunter sehr neugierig sein kann.

So hilfreich solche Dienste in Online-Shops und auf anderen Webseiten auch erscheinen – es geht eventuell eher um Ihre Daten, nicht nur um eine virtuelle Kundenberatung.

Kennen Sie die Risiken durch Automaten und Chatbots im Internet?
Testen Sie Ihr Wissen!

Frage: Fragefenster bei Online-Shops und Support-Seiten liefern nur Antworten und speichern nichts. Stimmt das?

• a. Ja, denn FAQ-Listen speichern ja auch nichts.
• b. Nein, meine Fragen und Kommentare können gespeichert werden.
• c. Nein, sogenannte Chatbots speichern mitunter sogar die IP-Adressen der Besucher. 

Lösung: Die Antworten b. und c. sind richtig. Nicht jedes Fragefenster führt zur Speicherung der IP-Adresse und anderer personenbezogener Daten, doch manche Chatbots tun dies.
Die Eingaben dagegen werden sogar häufig gespeichert, um zu erfahren, was die Nutzer am meisten interessiert. Zusammen mit den personenbezogenen Daten können dadurch genaue Nutzerprofile entstehen.

Frage: Steht in der Datenschutzerklärung des Online-Shops nichts dazu, speichert der Chatbot auch nichts. Stimmt das?

• a. Nein, denn viele Datenschutzerklärungen im Internet sind unvollständig. Zudem meinen           viele Webseitenbetreiber, der Anbieter der Chatbot-Software sei dafür zuständig.
• b. Ja, dann werden meine Angaben nicht gespeichert und ausgewertet.

Lösung: Die Antwort a. ist richtig. Genau wie beim Einsatz von Webanalyse-Werkzeugen vergessen viele Webseitenbetreiber, dass sie auf die Datenspeicherung und Datenauswertung hinweisen müssen.

Zudem haben viele Hersteller von Chatbot-Software selbst gar keine Datenschutzerklärung, oder der Besucher des Online-Shops findet sie kaum. Beachten Sie in jedem Fall, dass Sie sparsam mit Ihren Daten umgehen und so wenig wie möglich preisgeben, wenn Sie einen Chatbot nutzen.

EU-Datenschutz-Grundverordnung setzt auf Zertifizierung der Auftragsdatenverarbeitung

Unsere Erfahrung als Externe Datenschutzbeauftragte zeigt: Nahezu jedes mittelständische Unternehmen arbeitet heute mit mehreren unterschiedlichen Auftragsdatenverarbeitern gemäß § 11 BDSG zusammen - auch wenn dies und die daraus resultierenden Verpflichtungen den meisten Unternehmen nicht bewußt sind. 

Ein Beispiel: Das Callcenter als Auftrags(daten)verarbeiter gemäß § 11 BDSG (Artikel 28 EU-DSGVO)

Callcenter sind für zahlreiche Unternehmen das Tor zum Kunden. Callcenter verarbeiten Millionen, teilweise sehr sensible Kundendaten für ihre Auftraggeber. Um diese sensiblen Kundendaten zu schützen, sind angemessene Sicherheitsmaßnahmen und klare Abläufe sind notwendig. Für Auftraggeber ist es daher enorm wichtig, schon bei der Auswahl des Auftragnehmers schnell erkennen zu können, ob ein Callcenter vertrauenswürdig ist oder eher nicht.

Eine Zertifizierung bringt Klarheit

Eine Datenschutz-Zertifizierung durch yourIT für Auftragsdatenverarbeiter aller Art schafft die nötige Sicherheit für Auftraggeber und Auftragnehmer.

yourIT - Übersicht der notwendigen Maßnahmen zur Datenschutz-Zertifizierung für Auftragsverarbeiter

Bei einer Datenschutz-Zertifizierung von Auftragsdatenverarbeitern gemäß § 11 BDSG (bzw. Auftragsverarbeitern gemäß Artikel 28 EU-DSGVO) werden in mehreren Schritten Geschäfts- und Datenverarbeitungsprozesse untersucht und falls erforderlich an die datenschutzrechtlichen Anforderungen angepasst. Eine erfolgreich bestandene Zertifizierung eines Auftragnehmers garantiert dadurch gegenüber dem Auftraggeber, dass die von Firmen verarbeiteten personenbezogenen Daten den hohen deutschen Datenschutzstandards entsprechen.

Gleichzeitig garantiert eine Datenschutz-Zertifizierung durch yourIT ein qualifiziertes und standardisiertes Datenschutzniveau, eine sichere Auftragsdatenverarbeitung sowie Kosten- und Zeiteinsparungen unter anderem bei Datenschutzkontrollen durch Auftraggeber oder Aufsichtsbehörden.

Die EU-Datenschutz-Grundverordnung (EU-DSGVO) setzt auf eine Zertifizierung der Auftragsdatenverarbeitung

Die kommende EU-DSGVO setzt ganz offiziell auf eine Zertifizierung von Auftragsverarbeitern gemäß Artikel 28.

Die Durchführung einer Datenschutz-Zertifizierung bereits heute ist deshalb eine gute Vorbereitung auf das neue Datenschutzrecht, das ab dem 25.05.2018 gelten wird. Das neue Recht sieht Anpassungen in den Abläufen, Verträgen und IT-Sicherheitsmaßnahmen vor und erhöht die Bußgelder für Datenschutzverstöße auf bis zu 20 Millionen Euro oder 4% des Jahresumsatzes.

Innovationspreis für die Datenschutz-Zertifizierung der yourIT

Die Initiative Mittelstand hat unsere Datenschutz-Zertifizierung für Auftragsdatenverarbeitung mit dem Innovationspreis-IT "BEST OF 2016" in der Kategorie "Consulting" ausgezeichnet.

Außerdem erhalten kleine und mittelständische Unternehmen gemäß KMU-Definition Fördermittel auf die durch yourIT durchgeführte Beratung.

Unser ESF-gefördertes Beratungspaket §-11-Zertifizierung für Auftragsdatenverarbeiter

Ich freue mich auf Ihre Projektanfragen.

Ihr Thomas Ströbele