Dienstag, 20. Juli 2021

Datentransfers in die USA – Was bringt die Verschlüsselung?

Datentransfers in einen Drittstaat wie die USA sind nur zulässig, wenn dort ein angemessenes Datenschutzniveau sichergestellt ist. Reicht es dazu, die personenbezogenen Daten zu verschlüsseln? Oder ist die Verschlüsselung nur eine Maßnahme von vielen? 

Handlungsbedarf bei der Nutzung von Online-Diensten aus den USA

Drei von vier Unternehmen (76 Prozent) nutzten im Jahr 2019 Rechenleistungen aus der Cloud, so die Studie „Cloud-Monitor 2020“ des Digitalverbands Bitkom und der Wirtschaftsprüfungsgesellschaft KPMG. 

76 Prozent der Unternehmen setzen bereits auf Cloud-Computing
Drei Viertel der Unternehmen setzen auf Cloud Computing

Dienstag, 13. Juli 2021

In der Cloud ist alles besser? Eine Geschichte über E-Mail-Server nach dem HAFNIUM-Angriff

Die Erkenntnis, dass mindestens seit Dezember letzten Jahres Schwachstellen in den lokalen Microsoft Exchange Servern in bis dato undenkbarem Umfang von Hackern ausgenutzt wurden, hat viele Unternehmen tief getroffen. Nicht nur die großen, professionellen Hackergruppen waren hier tätig, sondern Kriminelle jeder Art, vom Profiteam bis zum Skript-Kiddy. Und sie alle waren erfolgreich. Überall! Bei großen Konzernen und kleinen Mittelständlern.

In der Cloud ist alles besser? Eine Geschichte über E-Mail-Server nach dem HAFNIUM-Angriff
In der Cloud ist alles besser? Eine Geschichte über E-Mail-Server nach dem HAFNIUM-Angriff

Dienstag, 6. Juli 2021

Internationale Datentransfers - Das How-To

In den vergangenen Wochen haben wir uns am Datenschutz-Dienstag immer wieder mit internationalen Datentransfers befasst - was das ist, wer betroffen ist und was die betroffenen Unternehmen nun tun sollten. Erläutert an bekannten und weit verbreiteten Beispielen wie Microsoft365 und Mailchimp. Heute wollen wir etwas genereller an die Sache herangehen - in Form eines How-To's. Schritt für Schritt erklären wir Ihnen, wie Sie internationale Datentransfers im Unternehmen finden, analysieren und dokumentieren. Und was es auf dem Weg alles zu beachten und zu entscheiden gibt.

Internationale Datentransfers

Dienstag, 29. Juni 2021

Internationale Datentransfers - Dokumentieren statt abschaffen! Am Beispiel Mailchimp

Bereits am Datenschutz-Dienstag letzte Woche haben wir  über die derzeit laufende bundesweite Überprüfung internationaler Datentransfers am Beispiel Microsoft 365 berichtet. Heute möchten wir nochmal darauf eingehen, dass das radikale Abschaffen aller internationalen Dienste weder praktikabel noch notwendig ist. In vielen Fällen kann die Zusammenarbeit mit dem bewährten Partner fortgeführt werden - wenn die Datenverarbeitungsprozesse rechtskonform gestaltet und vollständig dokumentiert sind.


Werbeversprechen: "Mit Mailchimp ist DSGVO‑Konformität einfach" - Laut BayLDA eher nein?!
Werbeversprechen: "Mit Mailchimp ist DSGVO‑Konformität einfach" - Laut BayLDA eher nein?!

Im Folgenden erläutern wir nochmals, worauf es bei der Gestaltung und Dokumentation internationaler Datentransfers ankommt:

Dienstag, 22. Juni 2021

Microsoft 365 rechtskonform einsetzen - Auf die Konfiguration kommt es an!

Seit dem Fall des "Privacy Shield" im vergangenen Sommer geistern viele Gerüchte durch die Datenschutzwelt: Die Einen behaupten, eine Zusammenarbeit mit US-Anbietern wie z.B. Microsoft sei jetzt komplett rechtswidrig und müsse sofort gestoppt werden. Die Anderen sagen, es gäbe überhaupt kein Problem. Man könne ja nicht einfach den Betrieb einstellen". Was ist wirklich Sache? Was müssen gerade mittelständische Unternehmen tun, um weiter Microsoft 365 einsetzen zu können?


Microsoft 365 rechtskonform einsetzen - Auf die Konfiguration kommt es an

Auf diese Fragen soll unser Blogbeitrag knappe und verständliche Antworten geben. Nicht theoretisch, sondern ganz praktisch anhand der Fragen, die uns unsere vielen Kunden aus dem Mittelstand in den letzten Wochen und Monaten gestellt haben. Eben Datenschutz von Praktikern für Praktiker.

Dienstag, 15. Juni 2021

Datentransfer in die USA – Eine Dauerbaustelle? Oder ein akuter Flächenbrand?!

Die EU-DSGVO gilt seit nunmehr drei Jahren. Ihr wesentlicher Zweck besteht darin, Rechtssicherheit im Datenschutz zu bewirken. Für Datentransfers in die USA ist dies bisher nicht gelungen. Hier liegt aktuell große Herausforderung für deutsche Unternehmen.


Datenschutz-Aufsichtsbehörden kontrollieren den Datentransfer in die USA
Datenschutz-Aufsichtsbehörden kontrollieren den Datentransfer in die USA

Ohne Übermittlungen in die USA geht kaum etwas

Die meisten Unternehmen können gar nicht anders, als personenbezogene Daten in die USA zu übermitteln. Manche gehören zu einem Konzern mit einer Konzernmutter in den USA und müssen deshalb dorthin berichten...

Freitag, 4. Juni 2021

Achtung Kontrolle - Landesdatenschutzbeauftragte verschicken Fragebögen zu internationalen Datentransfers

Anfang Juni 2021 haben die Datenschutzaufsichtsbehörden länderübergreifend koordiniert mit der Kontrolle der internationalen Datentransfers bei deutschen Unternehmen begonnen. Überprüft werden Datenübermittlungen durch Unternehmen in sogenannte "Drittstaaten" außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Es drohen Untersagungsverfügungen und Bußgelder.

Ziel dieser koordinierten Prüfung ist die breite Durchsetzung der Anforderungen des Europäischen Gerichtshofs EuGH in dessen Schrems-II-Entscheidung vom 16. Juli 2020. Darin hatte das Gericht festgestellt, dass Übermittlungen in die USA nicht länger auf Basis des sogenannten "Privacy Shields" erfolgen können (Wir berichteten hier).

Achtung Kontrolle - Landesdatenschutzbeauftragte verschicken Fragebögen zu internationalen Datentransfers
Achtung Kontrolle - Landesdatenschutzbeauftragte verschicken Fragebögen zu internationalen Datentransfers

Mittwoch, 2. Juni 2021

Phishing-Mails erkennen und damit umgehen

Phishing-Mails sind ein beliebtes Mittel von Cyber-Kriminellen. Phishing-Mail zu erkennen ist nicht immer einfach. Wir zeigen auf wie Sie sich Verhalten sollten - auch im Ernstfall. 

Gerade in der aktuellen Lage, sind viele Phishing-Mails im Umlauf. Die Menschen werden mit Themen rund um Corona auf Fake-Seiten gelockt oder es werden Schadsoftware auf den Rechner installiert.


Die Prüfung der E-Mail

Oft lassen sich die Phishing-Mails an mangelnder Grammatik- und Orthografie erkennen. Der fehlende Name in der Ansprache kann ein Hinweis sein, denn Geschäftskontakte oder auch Ihre Bank würde Sie vermutlich niemals mit "Sehr geehrter Kunde/Nutzer" anschreiben. Doch oft helfen diese kleinen Mittel nicht, daher haben wir Ihnen hier ein kurzes Prüf-Schema:


Fahrradpark  Phishing E-Mail
Phishing-Mails müssen erkannt werden
- anderenfalls muss entsprechen gehandelt werden


Montag, 10. Mai 2021

Weitergabe von Mitarbeiterdaten wegen Corona

Die erste Corona-Welle ist Mitte 2020 wieder abgeebbt. Wir befinden und mittlerweile bereits in der x-ten Welle. Umso mehr sind die Gesundheitsbehörden hinter jedem „Verdachtsfall“ her. Schließlich will man alles, bloß keine weitere
Krankheitswelle. Welche Auskünfte müssen Arbeitgeber den Gesundheitsbehörden über Mitarbeiter geben?

Infektionsverfolgung und Datenschutz

In der ersten, teils schlimmen Corona-Phase dachten eher wenige über Fragen des Datenschutzes nach. Das ändert sich nun, und das ist gut so. Denn bei der „Infektionsverfolgung“ geht es um viele Daten. Dabei gibt es rechtlich gesehen zwei Aspekte: Welche Fragen darf ein Gesundheitsamt stellen? Und welche Antworten darf ein Unternehmen geben? 

Weitergabe von Gesundheitsdaten


Samstag, 24. April 2021

Datenschutz-Verletzung aus dem Verbandskasten - Jetzt Verbandbuch austauschen!

Ein "Verbandbuch" ist bis heute in den orangefarbenen Verbandskästen der meisten Unternehmen auffindbar. Es sieht aus wie ein typisches Fahrtenbuch. Darin sind Arbeits- und Wegeunfälle zu dokumentieren und es enthält damit zwangsläufig Gesundheitsdaten der Mitarbeiter - oft aus mehreren Jahren. Weshalb dieses Verbandsbuch regelmäßig die nach EU-DSGVO und BDSG-neu geltenden Datenschutzvorgaben verletzt und wie Sie dies heilen können, lesen Sie in diesem Beitrag.


Ihr Verbandsbuch verletzt den Datenschutz - Jetzt austauschen!
Ihr Verbandsbuch verletzt den Datenschutz - Jetzt austauschen!

Einmal kurz nicht aufgepasst - und schon ist es passiert: Ein Unfall im Betrieb. Ein Unfall ist versicherungstechnisch definiert als ein Plötzlich von Außen Unfreiwillig auf den Körper Einwirkendes Ereignis, das zur Gesundheitsschädigung führt (kurz "PAUKE"). Laut dem Bundesministerium für Arbeit und Soziales (BMAS) gilt grundsätzlich: „Arbeitsunfälle sind die Unfälle, die versicherte Personen infolge einer versicherten Tätigkeit erleiden.“

Freitag, 26. März 2021

Geldbußen nach der EU-DSGVO

Der Begriff „Geldbuße“ klingt so, als ginge es um ein paar Euro. Bei den Geldbußen nach der Datenschutz-Grundverordnung (EU-DSGVO) sieht das allerdings etwas anders aus. Und auch sonst weisen sie einige Besonderheiten auf, die man kennen sollte.


Geldbußen in maßloser Höhe?


„Irrsinn“ war ein Begriff, den man anfangs häufig hören konnte, wenn es um die mögliche Höhe von Geldbußen nach der EU-DSGVO ging. Und tatsächlich: Eine maximale Höhe von 20 Millionen Euro bzw. 4% des gesamten weltweit erzielten Konzern-Jahresumsatzes des vorangegangenen Geschäftsjahrs ist eine echte Ansage.

Bußgelder nach EU-DSGVO
Geldbußen nach EU-DSGVO

Doch wie so oft im Leben sollte man auch hier genauer hinsehen, um was es eigentlich geht...

Mittwoch, 24. Februar 2021

Externer Datenschutzbeauftragter und interner Datenschutzkoordinator - ein unschlagbares Team

Die EU-Datenschutzgrundverordnung (EU-DSGVO) und das neue Bundesdatenschutzgesetz (BDSG-neu) verpflichten viele Unternehmen zur Bestellung eines Datenschutzbeauftragten. Es lässt Ihnen dabei die Wahlfreiheit, Ihren Datenschutzbeauftragten entweder intern oder extern zu bestellen. Optimal erweist sich die Kombination aus einem internen Datenschutz-Team aus einem oder mehreren Koordinatoren sowie einem externen Datenschutz-Team rund um den externen Datenschutzbeauftragten.


Betrachtet man die hohen Anforderungen an einen internen betrieblichen Datenschutzbeauftragten (bDSB) und insbesondere dessen Sonderkündigungsschutz realistisch, bietet sich die Bestellung eines externen Datenschutzbeauftragten geradezu an:

Vergleich interner vs. externer Datenschutzbeauftragter (DSB)

interner DSB externer DSB
unternehmerisches Risiko hoch - nur Arbeitnehmerhaftung gering - Beraterhaftung - auf Versicherungsschutz achten
Start später - erst notwendige Fachkunde aufbauen sofort - Knowhow und Erfahrung aus unterschiedlichen Projekten vorhanden
Kosten hoch - Achtung "eh da"-Kosten gering - nur tatsächlicher Aufwand wird bezahlt
Schulungskosten hoch - mind. jährliche Fortbildung ist Pflicht gering - auf mehrere Schultern (= Kunden) verteilt
Sonderkündigungsschutz ja nein
Betriebsblindheit möglich keine
Interessenskonflikte möglich keine
Ausfallrisiko hoch - da keine Vertretung bei Krankheit, Elternzeit, ... gering, da Vertretung geregelt

Wer darf eigentlich zum Datenschutzbeauftragten bestellt werden?


Firmeninhaber/innen kamen in der Vergangenheit häufig zum Entschluss, den Lebenspartner zum internen Datenschutzbeauftragten zu bestellen, da dieser sich ja eh um die Beschäftigten-Daten und die Gehaltsabrechnung kümmert und die Kunden- und Lieferanten-Kontaktdaten pflegt. Solche Konstellationen schließt der Gesetzgeber in Art. 38 Abs. 6 EU-DSGVO aber aus. Es darf bei der Bestellung nicht zu einem Interessenkonflikt kommen.

Wichtige Info hierzu: Falsch bestellt ist nicht bestellt!

Interessenskonflikte können auch bei weiteren Konstellationen von Tätigkeit und Position unterstellt werden:
  • Geschäftsführer, Vorstand
  • Unternehmensinhaber, Gesellschafter
  • direkte Familiengehörige
  • alle Positionen des leitenden Managements wie
    • IT-Leiter
    • Marketing-Leiter
    • Leiter Rechtsabteilung
    • Personal-Leiter
    • Verkaufs-Leiter
    • Einkaufs-Leiter

Klarstellung: Diese Positionen dürfen nicht gleichzeitig die Position des Datenschutzbeauftragten begleiten, sehr wohl aber die Position eines internen Datenschutzkoordinators.

Stellt man der obigen "Ausschlussliste" die in Art. 37 Abs. 5 EU-DSGVO genannten Anforderungen "berufliche Qualifikation und Fachwissen auf dem gebiet des Datenschutzrechts und der Datenschutzpraxis" gegenüber, bleiben bei vielen Unternehmen kaum Mitarbeiter übrig, die für die Tätigkeit als interner Datenschutzbeauftragter in Frage kommen.

Betrachtet man dazu noch die weiteren Vorteile, welche die Bestellung eines externen Datenschutzbeauftragten mit sich bringt, wird klar:

In den meisten Unternehmen wird heute eine Kombination aus internem Datenschutz-Team von einem oder besser mehreren Datenschutz-Koordinatoren und einem externen Datenschutz-Team rund um einen externen Datenschutzbeauftragten gewählt.

Zusammenfassung Vorteile eines externen Datenschutzbeauftragten:


Freitag, 5. Februar 2021

Die yourIT-Academy für Weiterbildungen zum Thema Datenschutz & Informationssicherheit - jetzt mit Fördermittel!

Nicht verpassen: Bis zu 50% Fördermittel für die Teilnehmergebühr. Wir präsentieren Ihnen die yourIT-Academy in Balingen. Mit vielen spannenden Schulungen / Seminaren zum Thema Datenschutz & Informationssicherheit, Software-Entwicklung und IT-Technik.


Mit dem erfolgreichen Umzug in unsere neue Firmenzentrale in Balingen bietet sich uns jetzt die Möglichkeit, Schulungen zu unseren Fachbereichen 

im eigenen Haus anzubieten. Diese Fachbereiche und das darin enthaltene Fachwissen wollen wir mit unserer Academy an Kunden und Interessenten bringen.


yourIT Academy Schulungen Datenschutz Datenschutzbeauftragter Hechingen Balingen Zollernalbkreis Datenschutzschulung IT-Sicherheit Weiterbildung
Moderne gut ausgestattete Schulungsräume erwarten Sie in der yourIT Academy


Mittwoch, 3. Februar 2021

Wechsel des Datenschutzbeauftragten - Gründe und Checkliste

Seit einigen Wochen erhält unser yourIT-Datenschutz-Team vermehrt Anfragen von Unternehmen, die Ihren bisherigen Datenschutzbeauftragten (DSB) austauschen möchten. Unseren Recherchen zufolge hatten viele der Anfrager den DSB etwa Mitte 2018 bestellt - also rund um den EU-DSGVO-Start. Aufgrund der Eile erfolgten damals viele DSB-Bestellungen unter Zeitdruck und Angebotsknappheit - erfahrungsgemäß keine optimalen Voraussetzungen für langfristig tragfähige unternehmerische Entscheidungen. Jetzt folgt oft die Ernüchterung. Falls es Ihnen auch so geht: Achten Sie auf die Kündigungsfristen...


Einige wichtige Hinweise vorneweg:

  • Wenn Sie Ihren Datenschutzbeauftragten von seinen Aufgaben entbinden wollen, müssen Sie diesen abberufen...
Wechsel des Datenschutzbeauftragten - yourIT zeigt wie es geht

Montag, 4. Januar 2021

Weshalb Ihr Unternehmen eine Social Media Policy braucht - Filmempfehlung für die ARD-Mediathek

Der Film "Eine Hochzeit platzt selten allein" soll eigentlich die Bankenkrise thematisieren - zumindest in der Wahrnehmung der meisten Fernsehzuschauer. Falls Sie schon immer mal wissen wollten, was ein Berater für Datenschutz & Informationssicherheit mit seiner Spezialbrille wahrnimmt: Für uns geht es um die "Vertraulichkeit" und wie leicht diese in Zeiten der Sozialen Medien" verloren gehen kann...


Das Fazit vorab


Kein Unternehmen kann sich den Sozialen Medien entziehen. Wenn das Unternehmen nicht selbst regelt, wie das Unternehmen von seinen Mitarbeitern auf Facebook, XING, LinkedIn, Twitter, Instagram, etc. dargestellt werden möchte, dann kann dies jederzeit aus dem Ruder laufen. Was hilft? Die Leitungsebene sollte rechtzeitig und regelmäßig die Mitarbeiter auf die Vertraulichkeit und deren Bedeutung für das Unternehmen hinweisen, unterstützt durch eine Vertraulichkeits-Richtlinie zur Festlegung der Vertraulichkeits-Kriterien. Und nicht zu vergessen: Schulung, Schulung, Schulung, ...


300 Millionen Klicks - Das Video einer Praktikantin geht "viral"


Filmszene aus "Eine Hochzeit platzt selten allein"
Filmszene aus "Eine Hochzeit platzt selten allein"


Der Film "Eine Hochzeit platzt selten allein" ist noch bis zum 03.04.2021 in der ARD Mediathek verfügbar. Unser Tipp: Unbedingt ansehen!