Was ist der Privacy Shield?

Wer in einem Unternehmen arbeitet, das Daten in die USA übermittelt, muss ihn kennen. Aber auch jeder Normalbürger sollte zumindest einmal davon gehört haben. Die Rede ist vom Privacy Shield, auf Deutsch etwa „Schutzschild für das Persönlichkeitsrecht“. Er kann seit dem 1. August 2016 genutzt werden. Viele Unternehmen hatten dringend darauf gewartet. Lesen Sie hier, weshalb...

Eine Herausforderung: Datenübermittlungen in die USA

Will ein Unternehmen Daten von Kunden oder auch Daten von Mitarbeitern an ein US-Unternehmen übermitteln, geht das nicht „leicht und locker“. Und zwar auch dann nicht, wenn es sich bei dem US-Unternehmen beispielsweise um die „US-Mutter“ handelt.

Bekanntlich gehören die USA nicht zur EU. Deshalb erlauben die EU-Regelungen zum Datenschutz den Transfer von Daten in die USA nur dann, wenn dort ein angemessenes Datenschutzniveau herrscht. Was als angemessen anzusehen ist, bestimmt sich dabei natürlich nach den Vorstellungen der EU.

Datenschutz, yourit, Privacy Shield

Datenschutz in den USA: durchaus, aber ...

Damit beginnen in der Praxis die Probleme. Zwar gibt es in den USA sehr wohl Datenschutzvorschriften. Deshalb sollte man gegenüber Kollegen aus den USA auch nie zu überheblich davon sprechen, die USA würden sowieso keinen Datenschutz kennen.

Nur zu schnell kann es einem sonst passieren, dass diese Kollegen etwa auf Regelungen hinweisen, die die Daten von Kindern ganz besonders schützen. Die Abkürzung hierfür heißt COPPA (Children's Online Privacy Protection Rule) und ist auch den meisten Durchschnitts-Amerikanern bekannt.

Die US-Regelungen setzen die Schwerpunkte aber ganz anders als die Vorschriften der EU. Manche Aspekte des Datenschutzes, die in Europa ganz hoch gehalten werden, gelten in den USA kaum etwas.

Langer Rede kurzer Sinn: Ein Datenschutzniveau, das nach den Vorstellungen der EU generell als angemessen anzusehen wäre, existiert in den USA nicht.

Individuelle Einwilligungen: nur theoretisch denkbar

Wie soll ein Unternehmen damit umgehen? Nun, es könnte beispielsweise jeden einzelnen Betroffenen um seine Einwilligung bitten und seine Daten erst dann übermitteln. Theoretisch wäre das denkbar. In der Praxis funktioniert das aber schon wegen des Aufwands nicht. Deshalb wählt der neue Privacy Shield einen anderen Ansatz.

Der besondere Ansatz von Privacy Shield:

•  Ein US-Unternehmen, das personenbezogene Daten aus der EU erhalten soll, verpflichtet sich dazu, umfangreiche Spielregeln für den Datenschutz einzuhalten. Sie sind unter dem Begriff „Privacy Shield“ zusammengefasst.
• Diese Verpflichtung erfolgt gegenüber den zuständigen US-Behörden. Das ist meist die Federal Trade Commission (FTC), eine Verbraucherschutzbehörde.
• Der Inhalt der Spielregeln ist zwischen dem US-Handelsministerium (Depart-ment of Commerce) und der Europäischen Kommission abgestimmt.
• Ist ein US-Unternehmen eine solche Verpflichtung eingegangen, gilt das Datenschutzniveau in diesem Unternehmen auch seitens der EU als angemessen.
• Die positive Folge für die europäischen Geschäftspartner solcher US-Unternehmen: Sie dürfen personenbezogene Daten an dieses Unternehmen unter denselben Voraussetzungen übermitteln, unter denen dies auch innerhalb der Europäischen Union zulässig wäre.

Keine Einwilligung der Betroffenen nötig

Die Betroffenen müssen nicht gefragt werden, ob sie damit einverstanden sind. Sie müssen aber in geeigneter Weise informiert werden. Dabei sind viele Einzelheiten zu beachten, um die sich die Spezialisten in den Unternehmen kümmern. In Deutschland sind dies die Datenschutzbeauftragten der Unternehmen.

Erinnern Sie sich noch an Safe Harbor? 

Manchem wird dieses Vorgehen irgendwie bekannt vorkommen. Völlig zu Recht! Ziemlich ähnlich lief dies auch schon bei den Safe-Harbor-Regelungen ab. Sie hatten sich über zehn Jahre lang beim Transfer von Daten aus der EU in die USA bewährt, jedenfalls aus der Sicht der meisten Unternehmen.

Allerdings hatte der Europäische Gerichtshof diese Regelungen im Oktober 2015 aus verschiedenen Gründen gekippt. Das geschah gewissermaßen über Nacht, also ohne jede Übergangsfrist. Deshalb waren neue Regelungen, wie sie der Privacy Shield nun vorsieht, dringend erforderlich.
Etwas vereinfacht lässt sich sagen: Der Inhalt des Privacy Shield ist neu und wesentlich ausgefeilter, als es die Regelungen von Safe Harbor waren. Der Verfahrensablauf ist aber ziemlich ähnlich.

Gegen die Spielregeln verstoßen? Lieber nicht!

Wie sieht es übrigens damit aus, dass sich die Unternehmen auch wirklich an die Spielregeln halten, zu denen sie sich verpflichtet haben? Die Chancen dafür stehen gut. Jeder weiß, wie kräftig US-Behörden bei Rechtsverstößen zupacken können. Und das gilt nicht nur, wenn es um Verstöße gegen Abgasregelungen geht. Auch Datenschutzverstöße von US-Unternehmen haben die amerikanischen Behörden schon schwer geahndet. Gehen Sie also davon aus: Privacy Shield ist ernst gemeint!

Als Experten im Bereich Datenschutz & Informationssicherheit unterstützen wir Sie gerne bei der Überprüfung Ihrer Dienstleister.

Wie das mit dem Privacy Shield am Beispiel Google Analytics aussieht, haben wir Ihnen hier zusammengestellt.

Das könnte Sie auch interessieren:

Datenschutz-Dienstag, 13. Juli 2021

In der Cloud ist alles besser? Eine Geschichte über E-Mail-Server nach dem HAFNIUM-Angriff

Datenschutz-Dienstag, 06. Juli 2021

Internationale Datentransfers - Das How-To

Datenschutz-Dienstag, 29. Juni 2021

Internationale Datentransfers - Dokumentieren statt abschaffen! Am Beispiel Mailchimp

Datenschutz-Dienstag, 22. Juni 2021

Microsoft 365 rechtskonform einsetzen - auf die Konfiguration kommt es an!

Datenschutz-Dienstag, 15. Juni 2021

Datentransfer in die USA – eine Dauerbaustelle? Oder ein akuter Flächenbrand?!

Freitag, 4. Juni 2021

Achtung Kontrolle - Landesdatenschutzbeauftragte verschicken Fragebögen zu internationalen Datentransfers

Donnerstag, 8. April 2021

Office 365: Was sagt der Datenschutz?

Montag, 3. August 2020

Was sagen die Aufsichtsbehörden zum Aus für das Privacy Shield? Ein erster Überblick...

Samstag, 18. Juli 2020

Unternehmer-Tipps nach dem Aus für das "Privacy Shield" zwischen der EU und den USA

Freitag, 14. Juni 2019

EU-DSGVO - Das sollten Unternehmen bei der Nutzung von Public-Cloud-Diensten aus den USA beachten

Donnerstag, 9. Februar 2017

Was ist der Privacy Shield?

Was bedeutet eigentlich „Stand der Technik?“

Der Datenschutz gemäß BDSG und auch gemäß EU-DSGVO verlangt technisch-organisatorische Schutzmaßnahmen nach dem Stand der Technik. Das klingt nicht sehr konkret – mit Absicht!

Am schönsten wäre eine genaue Anleitung...

Fast jeder zweite Internetnutzer (47 Prozent) ist in Deutschland in den vergangenen zwölf Monaten Opfer von Internetkriminalität geworden, so eine repräsentative Umfrage des Digitalverbands Bitkom. Die Vorfälle reichen von gefährlichen Infektionen durch Schadsoftware bis hin zu Online-Betrug und Erpressung.

Im Unternehmensbereich sieht es nicht viel besser aus: Etwa jedes dritte Unternehmen war in 2016 allein Opfer eines Hacker-Attacke mit Cybertrojanern.

Um die eigenen Daten zu schützen, aber auch um die Daten der Kunden, Partner und Mitarbeiter im Unternehmen zu schützen, sind also umfangreiche Maßnahmen für die Datensicherheit erforderlich.

Datenschutz, yourIT, securITy

Doch welche Maßnahmen sind genau notwendig? Wie schützt man sich am besten? Der Bitkom-Verband schreibt dazu: Gegen digitale Angriffe nutzen vier von fünf Internetnutzern (80 Prozent) ein Virenschutz-Programm und zwei von drei (67 Prozent) eine Firewall auf ihrem Computer.

Dabei weiß doch jedes Kind: Antiviren-Programme und Firewalls sind nicht mehr als der absolute Basisschutz für jeden Computer. Aber reicht das aus? Was fordern zum Beispiel die Datenschutzvorschriften? Gibt es hier eine konkrete Vorgabe zum Schutzumfang?

BDSG und DSGVO nennen kaum genaue Sicherheitsverfahren.

Im Bundesdatenschutzgesetz (BDSG) findet man: Eine Maßnahme für die Zugangskontrolle, Zugriffskontrolle und Weitergabekontrolle ist insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.

Die ab Mai 2018 anzuwendende Datenschutz-Grundverordnung (DSGVO) nennt zusätzlich die Verschlüsselung sowie die Pseudonymisierung.

Grundsätzlich aber sagen beide Gesetze zu den Maßnahmen der Datensicherheit: Geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, sind zu treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.

Statt Schutzverfahren aufzulisten, verweisen die Texte jeweils in erster Linie auf den Stand der Technik. Warum eigentlich?

IT und Bedrohungen dynamischer als Gesetzgebung

Die gesetzlichen Regelungen fordern Schutzmaßnahmen nach dem Stand der Technik, weil die IT-Sicherheitslösungen jeweils zur aktuellen Bedrohungslage, zum Schutzbedarf der Daten und zur eingesetzten IT passen müssen. Veraltete IT-Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz.

In diesem Blogartikel finden Sie eine weitere Definition zu "Stand der Technik".

So sind zum Beispiel Verschlüsselungsverfahren, die vor einigen Jahren noch als Standard galten, heute kein wirksamer Schutz mehr. Datendiebe können diese Verschlüsselungsverfahren inzwischen relativ leicht brechen und umgehen.

Damit die Datensicherheit aktuell und damit hoch genug ist, müssen die Maßnahmen also regelmäßig angepasst und verstärkt werden. Würden rechtliche Vorgaben genaue IT-Sicherheitsverfahren benennen, müsste der Gesetzgeber die Texte fortlaufend ändern.

Das geht natürlich nicht. Deshalb verlangen die Regelungen, dass die Datensicherheitsmaßnahmen aktuell sind und damit die Sicherheit den Stand der Technik abbildet.

Privat und beruflich am Puls der IT-Sicherheit bleiben

Für Sie als Anwender bedeutet dies, dass Sie jeweils aktuelle Lösungen für Ihre Datensicherheit benötigen. Am Arbeitsplatz sollten Sie sich an die IT-Sicherheitsrichtlinien der Firma halten und nur die entsprechend freigegebenen IT-Lösungen sowie Sicherheitsanwendungen nutzen.

Privat sind Sie erst einmal auf sich gestellt. Hier ist es aber ebenso wichtig, dass Sie auf eine aktuelle Datensicherheit achten. Nicht nur, wenn Sie Privatgeräte beruflich verwenden, sondern generell.
So könne eine Person etwa an ihrer Körperhaltung zu erkennen sein, aber auch an ihrer Kleidung oder an mitgeführten Gegenständen.

Auch der Zeitpunkt und der Ort einer Aufnahme könnten Rückschlüsse darauf erlauben, welche Person man vor sich habe.

Was konkret tun?

Ihr aktuelles Datensicherheitsprogramm umfasst dabei, dass Sie die Betriebssysteme und Anwendungen auf allen genutzten Endgeräten aktuell halten und die Datenschutz- und Sicherheitsoptionen regelmäßig auf den passenden Stand bringen. Sicherheitslösungen wie den Virenschutz müssen Sie ebenfalls mit Updates versorgen.

Zudem ist wichtig, dass Sie sich neue Versionen der Sicherheitsprogramme beschaffen, in der Regel einmal jährlich. Die täglichen Updates gelten nämlich in aller Regel der aktuellen Viren-Erkennung. Neue Sicherheitsfunktionen bekommen Sie meist erst mit einer neuen Version der Anwendung.

Informationen, ob sich der Umstieg auf andere Sicherheitslösungen lohnt oder nicht, erhalten Sie von erfahrenen IT-Systemhäusern - wie z.B. yourIT.

Sicher werden Sie auch in Schulungen und Unterweisungen zu IT-Sicherheit und Datenschutz jeweils aktuell informiert. Wichtig ist: Bleiben Sie am Ball. Die Datendiebe haben immer neue Ideen, wie sie angreifen können.

Fordern Sie uns! Wir helfen gern.

Ihr yourIT-Team

3 wichtige Spielregeln - Datenschutz auch bei Pokémon Go!

Die mobile App Pokémon Go hat für viele Menschen einen regelrechten Suchtfaktor. Und das keineswegs nur für Jugendliche – auch viele Erwachsene sind dem Spiel geradezu verfallen. Dabei darf der Datenschutz freilich ebenso wenig aus dem Blick geraten wie der Schutz von Unternehmensgeheimnissen. Im Dezember 2017 kam übrigens ein von den Fans sehnsüchtig erwartetes Mega-Update. Allzu schnell kann es besonderen Leichtsinn auslösen.

Pokéstops, Arenen und Monster

In seiner Freizeit kann natürlich jeder tun, was er will – beispielsweise so viele Spiele-Monster erfolgreich jagen, dass er den nächsten Level von Pokémon erreicht. Aber was ist, wenn gerade auf dem Grundstück des eigenen Arbeitgebers wunderschöne Pokéstops zu finden sind? Wenn man also gerade dort die besten Monster einfangen kann?

Die Spielkundigen verstehen sofort, was mit diesen Dingen gemeint ist. Sie ziehen sich in eine Arena zurück, um ein paar Monster zu besiegen. Ihre Kollegen wiederum wundern sich, wie ganz normale Menschen der Faszination von Dingen erliegen, die für die anderen um sie herum gar nicht sichtbar sind.

yourIT zu Pokémon Go und Datenschutz

Arbeitszeit ist keine Spielzeit! 

Klar ist, dass Spielen während der Arbeitszeit schon deshalb Fragen aufwirft, weil dann gerade nicht gearbeitet wird. Das ist zwar kein Thema des Datenschutzes, sondern des Arbeitsrechts. Freilich: Mehr Schaden als eine Zigarettenpause, die zu Unrecht nicht als Arbeitspause registriert wird, richtet das kurze Einfangen eines virtuellen Monsters während der Arbeitszeit auch nicht an, oder?

Bilder von Monstern und anderen Dingen 

Das kommt darauf an. Vielfach ist es üblich, eben eingefangene Monster zu fotografieren und das Foto an Freunde zu schicken. Blöd nur, wenn da noch andere Dinge auf dem Bild sind, etwa Konstruktionen, die nicht fotografiert werden dürfen. Wer weiß, wo ein solches Foto landet, und wer weiß, ob jeden Empfänger des Fotos wirklich nur die Monster interessieren.

Harmlose und andere Apps

Vielfach untersagen Unternehmen aus gutem Grund, Apps für private Zwecke auf dienstlichen Smartphones oder Tablets zu installieren. Ein solches Verbot gilt dann auch für die Pokémon-App. Das Argument, sie sei harmlos und könne keinen Schaden anrichten, kann daran nichts ändern. Erstens kommt es auf diesen Gesichtspunkt nicht an. Zweitens stellt sich die Frage, ob er zutrifft. Schon ein kurzer Blick in die Nutzungsbedingungen der App zeigt, dass sich der App-Anbieter das Recht einräumen lässt, unter bestimmten Bedingungen Daten an Dritte weiterzugeben. Was daraus im Einzelfall entstehen könnte, vermag niemand sicher abzuschätzen.

Diese 3 eigentlich selbstverständlichen Spielregeln sollten Sie beachten

3 Spielregeln sollten Sie unbedingt beachten:

• Spielregel 1: Ein völliges No-Go ist es vor diesem Hintergrund, berufliche Mail-Adressen bei dem Spiel zu benutzen.
• Spielregel 2: Wer spielen will, sollte das bitte nur auf seinem privaten Gerät tun und dabei nur eine private Mail-Adresse verwenden.
• Spielregel 3: Und die rechte Zeit für das Spiel ist die Freizeit, nicht die Arbeitszeit.

Wer diese Punkte beachtet, kann sein Spiel genießen und sich beim Monster-Kampf mit Pokémon Go bestens erholen.

Websites ohne Datenschutzerklärung holt das Abmahn-Monster

Das OLG Hamburg hat bereits am 27.06.2013 entschieden, dass fehlende Datenschutzerklärungen auf Websites abgemahnt werden können. Betroffen sind nicht nur die Webshop-Betreiber sondern wirklich ALLE Website-Betreiber. Dass immer noch viele Websites keine Datenschutzerklärung beinhalten zeigt leider, dass diese wichtige Information noch nicht bis zu deren Betreibern durchgedrungen ist.

Wer kann heute noch von sich behaupten, dass er den vollen Überblick hat über das geltende Internetrecht? Eine Hand voll Urteile sticht aus der immer komplexer werdenden Informationsdichte hervor, die nicht nur wenige sondern viele oder sogar jeden betreffen. Dazu gehört sicherlich das Urteil des OLG Hamburg vom 27.06.2013 Az. 3 U 26/12, nach dem fehlende Datenschutzerklärungen abmahnfähig sind.

Website ohne Datenschutzerklärung? Das Abmahn-Monster lauert schon!

Eine Datenschutzerklärung ist Pflicht

Während die Impressums-Pflicht nach § 5 TMG heute fasst Jedermann ein Begriff ist, wissen deutlich weniger Menschen, dass nahezu alle Webseiten zusätzlich eine rechtskonforme Datenschutzerklärung im Sinne von § 13 TMG enthalten müssen.

Hierzu ein Auszug aus dem TMG:

§ 13 Pflichten des Diensteanbieters

(1) Der Diensteanbieter hat den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in Staaten außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31) in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist. Bei einem automatisierten Verfahren, das eine spätere Identifizierung des Nutzers ermöglicht und eine Erhebung oder Verwendung personenbezogener Daten vorbereitet, ist der Nutzer zu Beginn dieses Verfahrens zu unterrichten. Der Inhalt der Unterrichtung muss für den Nutzer jederzeit abrufbar sein."

Intertessant: Datenschutzverstöße waren bislang nicht abmahnbar

Für die bisherige Nichtbeachtung der Datenschutzerklärungs-Pflicht gibt es einen Grund: Verstöße gegen § 13 TMG wegen fehlender Datenschutzerklärungen wurden bis zu diesem Urteil nicht als abmahnbare Wettbewerbsverletzungen eingeordnet. Verantwortlich dafür war, dass die Rechtsprechung bis 2013 einen Wettbewerbsbezug von § 13 TMG ablehnte. Es konnte also nicht nach UWG abgemahnt werden. Dadurch verkam die Pflicht zur Einbindung einer Datenschutzerklärung zum berühmten "zahnlosen Papiertiger".

Achtung: Fehlende, fehlerhafte und unvollständige Datenschutzerklärungen sind jetzt abmahnfähig

Das OLG Hamburg (Urteil vom 27.06.2013, Az. 3 U 26/12) urteilte, dass § 13 Abs. 1 TMG sehr wohl eine Marktverhaltensregel darstellt. Dies hat zur Folge, dass fehlende oder fehlerhafte Datenschutzerklärungen nun einen abmahnfähigen Wettbewerbsverstoß darstellen..

Hier der maßgebliche Teil der Urteilsbegründung zu § 13 TMG:

„Bei dieser Norm handelt es sich nach Auffassung des Senats um eine im Sinne des § 4 Nr. 11 UWG das Marktverhalten regelnde Norm (a.A. KG GRUR-RR 2012, 19). Diese Vorschrift setzt u.a. Art. 10 der Datenschutzrichtlinie 95/46/EG um, die nicht nur datenbezogene Grundrechte gewährleisten (Erwägungsgrund 1), sondern auch den grenzüberschreitenden Verkehr personenbezogener Daten auf ein einheitliches Schutzniveau heben soll (Erwägungsgründe 6 und 7), weil ein unterschiedliches Schutzniveau ein Hemmnis für die Ausübung von Wirtschaftstätigkeiten auf Gemeinschaftsebene darstellen und den Wettbewerb verfälschen könne (Erwägungsgrund 7 Satz 2). Die Regelungen der Richtlinie dienen deshalb auch der Beseitigung solcher Hemmnisse, um einen grenzüberschreitenden Fluss personenbezogener Daten kohärent in allen Mitgliedsstaaten und in Übereinstimmung mit dem Ziel des Binnenmarktes zu regeln (Erwägungsgrund 8). Entgegen der Auffassung des Kammergerichts (a.a.O.) handelt es sich deshalb bei dem Verstoß gegen § 13 TMG nicht nur um die Missachtung einer allein überindividuelle Belange des freien Wettbewerbs regelnden Vorschrift. Denn § 13 TMG soll ausweislich der genannten Erwägungsgründe der Datenschutzrichtlinie jedenfalls auch die wettbewerbliche Entfaltung des Mitbewerbers schützen, indem gleiche Wettbewerbsbedingungen geschaffen werden. Die Vorschrift dient mithin auch dem Schutz der Interessen der Mitbewerber und ist damit eine Regelung i.S. des § 4 Nr. 11 UWG, die dazu bestimmt ist, das Marktverhalten im Interesse der Marktteilnehmer zu regeln (vgl. Köhler in: Köhler/Bornkamm, UWG, 29. Aufl., Rn 11.35c zu § 4 UWG). Angesichts der vorgenannten, der Datenschutzrichtlinie zugrundeliegenden Erwägungen ist darüber hinaus anzunehmen, dass die Aufklärungspflichten auch dem Schutz der Verbraucherinteressen bei der Marktteilnahme, also beim Abschluss von Austauschverträgen über Waren und Dienstleistungen, dienen, indem sie den Verbraucher über die Datenverwendung aufklären und dadurch seine Entscheidungs- und Verhaltensfreiheit beeinflussen (vgl. auch Köhler, a.a.O., Rn. 11.35d).“

Urteil 2015 bestätigt: Das Landgericht Köln teilt die Auffassung des OLG Hamburg

Das Landgericht Köln sieht im Fehlen einer Datenschutzerklärung ebenfalls einen abmahnfähigen Wettbewerbsverstoß (LG Köln, Beschluss vom 26.11.2015, Az. 33 O 230/15).

Das gilt nicht nur für Webshops. ALLE Webseiten-Betreiber sind betroffen!

Wer jetzt glaubt, er wäre nicht betroffen, da er keinen Webshop betreibt, liegt leider daneben. Wer eine Webseite betreibt auf der personenbezogene Daten verarbeitet werden, der muss dort über eine sofort auffindbare richtige und vollständige Datenschutzerklärung verfügen. Eine fehlende, falsche oder unvollständige Datenschutzerklärung kann somit ab sofort und wird vermutlich früher oder später abgemahnt werden.

Neu seit 2016: Abmahnungen auch durch Verbraucherschutz- und Wettbewerbsverbände

Im Februar 2016 ist das Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts in Kraft getreten. Dadurch muss jetzt nicht mehr der Betroffene selbst aktiv werden, sondern jetzt können also auch Verbraucherschutz- und Wettbewerbsverbände Verstöße im Datenschutz abmahnen - auch fehlende, falsche oder unvollständige Datenschutzerklärungen. Wenn sich das erstmal herumgesprochen hat, ist mit einer regelrechten Abmahnwelle zu rechnen.

Soweit muss es nicht kommen: Handlungsempfehlungen von yourIT

Abmahnungen sind ärgerlich - vor allem, wenn man diese hätte vermeiden können. Was ist zu tun? Wenn Sie Betreiber einer Website oder Internetpräsenz sind, sollten Sie sich schnellstmöglich vergewissern, ob Ihr Webauftritt über eine rechtskonforme, vollständige und fehlerfreie Datenschutzerklärung verfügt. Diese sollte den tatsächlichen Umgang mit personenbezogenen Daten beschreiben. Außerdem muss die Datenschutzerklärung über

Wenn Sie keine Datenschutzerklärung auffinden können, besteht dringender Handlungsbedarf. Dann besteht jederzeit das Risiko, dass Mitbewerber und Verbände Sie auf Unterlassung und Erstattung von Abmahnkosten in Anspruch nehmen.

Wenn Sie eine Datenschutzerklärung auf Ihrer Internetpräsenz finden, sollten Sie prüfen, ob diese vollständig und rechtskonform ist. Um eine auf ihr Angebot passende Datenschutzerklärungen zu erstellen, können Sie auch einen Generator verwenden, z.B. den kostenlosen Generator des Kollegen Thomas Schwenke.

Finger weg von kostenlosen Datenschutzerklärungs-Generatoren

Im Internet finden sich zahlreiche kostenlose Muster-Datenschutzerklärungen und auch sogenannte Generatoren für Datenschutzerklärungen. Die Aufsichtsbehörden stehen „Instant-Datenschutzerklärungen“ aus dem Editor eher skeptisch gegenüber. Zumindest Unternehmer sollten das Gespräch mit einem Datenschutz-Berater dem kostenlosen Muster vorziehen.

Marketing mit Datenschutz nicht vergessen

Ja, Datenschutz kann auch für Marketing und Werbung genutzt werden. So lange Ihr Mitbewerb in Sachen Datenschutz noch schläft, sollten Sie Ihr Engagement in Sachen Datenschutz als Marketinginstrument einsetzen. Wie das funktioniert und auf was Sie achten sollten, erklären Ihnen gerne die Datenschutz-Berater der yourIT in einem ersten kostenlosen Gespräch.

Sie möchten wissen, wie wir das bei anderen Kunden bereits gewinnbringend umgesetzt haben? Dann fordern Sie unser Whitepaper an. Schreiben Sie uns dazu eine E-Mail mit dem Betreff Datenschutzerklärung an info@yourIT.de.

Nachgedacht: Weshalb für yourIT-Kunden "Privacy by Design" ein alter Hut ist

Als erfahrener Datenschutz-Berater halte ich derzeit Vorträge bei der IHK, vor internen Datenschutzbeauftragten, etc. zum Thema EU-Datenschutzgrundverordnung (EU-DSGVO). Zwei der dabei am heißesten diskutierten Neuerungen sind die Themen "Privacy by Design" und "Privacy by Default".

Im Prinzip soll ein IP-Geräte-Hersteller durch die Einhaltung der 7 Grundprinzipien
1. proaktiv statt reaktiv
2. "Privacy by Design"
3. Einbettung ins Design
4. Volle Funktionalität und Datensicherheit
5. Betrachtung des gesamten Lebenszyklus
6. Sichtbarkeit und Transparenz
7. Anwenderorientierte Gestaltung
Datenschutz & Informationssicherheit seiner Produkte fördern.

Aber was ist daran neu? Einer unserer Kunden hat dieses Thema bereits 2010 aufgreifen müssen, als einer seiner größten Kunden die eingestetzen Produkte durch eine Schwachstellenanalyse als extrem risikoreich weil schwachstellenbelastet identifiziert hat.

Das selbe Ergebnis erzielen derzeit Tests im Bereich Industrie 4.0 oder Internet of Things (IoT). Auch hier wird in Schwachstellenscans auf bereits ausgelieferte Produkte festgestellt, dass diese so voller Schwachstellen sind, dass diese so hätten nie in den Verkauf gelangen dürfen. Die IP-Geräte werden vom Hersteller weiterhin als Kühlschrank, Drucker oder Waage betrachtet und nicht als das was Sie eigentlich sind: Potentielle Einfallstore für Hackerangriffe.

Welche Auswirkung diese Risiko-Ignoranz hat durften wir erst neulich am 27.11.2016 beim großen Hacker-Angriff auf die Telekom erlebt. Dort wurden mal schnell 900.000 IP-Geräte - in diesem Fall Speedport-Router - lahmgelegt, die eine bestimmte Schwachstelle aufwiesen. Privacy by Design ist bisher nicht annähernd der Standard.

Klar: Wenn wir bei einem Kunden draußen z.B. im Rahmen eines IT-Security-Audits eine Schwachstellenanalyse durchführen, dann klammern wir Drucker und Telefone auf Wunsch des Kunden auch mal aus der Map der zu scannenden IPs aus. Im Bezug auf "Industrie 4.0" und das Internet of Things (IoT) ist aber durchaus intereessant, sich mal ein Bild wirklich aller IPs seines Netzwerks zu machen.

Unser Kunde hat damals äußerst professionell gehandelt und zielstrebig nach einer Schwachstellen-Testumgebung gesucht. Dabei ist er auf das auf IT-Sicherheits-Lösungen spezialisierte und mittlerweile ISO-27001-zertifiziertes IT-Systemhaus yourIT GmbH  gestoßen. Wir haben bei unserem Kunden diese Schwachstellen-Testumgebung aufgebaut mit der unser Kunde nun bereits das fünfte Jahr in Folge für "Privacy & Security by Design" bei seinen Produkten sorgt. Seither verlässt kein IP-Gerät mehr ungeprüft und ungepatcht das Werk. Die Käufer erhalten auf Wunsch einen Auszug aus dem Scan-Protokoll.

Weshalb ich das hier schreibe: Falls es da draußen den einen oder anderen IP-Geräte-Hersteller gibt, der für günstiges Geld eine Schwachstellen-Testumgebung für seine künftigen "Privacy-by-Design" und "Privacy by Default" -Produkte haben sollte: Wir haben die "Privacy-by-Design-Schwachstellen-Testumgebung" bei unserem Kunden seit fast 5 Jahren erfolgreich im Einsatz. Wir würden uns zutrauen, so etwas kurzfristig auch in Ihrem Unternehmen aufzubauen. Fragen Sie uns einfach an. Wir freuen uns, wenn wir Ihnen beim Erreichen der Vorgaben der EU-DSGVO mit unserer Lösung weiter helfen können.

Insofern: Gute Besserung - mit "Privacy by Design" & "Privacy by Default" - made by yourIT!

Jeder Dritte sucht während der Arbeitszeit einen neuen Job - Ist das erlaubt?

Während der Arbeitszeit privat surfen - das hat wohl jeder von uns schon einmal gemacht: Dies gilt vielen – insbesondere den Arbeitnehmern – als eine Art Kavaliersdelikt.

Doch Vorsicht, Sie vergeuden damit Arbeitszeit, die ihr Chef bezahlt. Dem würde es sicher nicht gefallen, wenn er wüsste, was seine Leute online so treiben: Laut einer aktuellen Umfrage des Onlinejobportals Monster unter 2000 Angestellten, verbringen 16 Prozent mehr als fünf Arbeitsstunden pro Woche mit der Suche nach einer neuen Arbeitsstelle im Netz.

Dabei lässt sich der Aufwand und die Gefahr dabei erwischt zu werden ganz einfach vermeiden:

Bewerben Sie sich jetzt einfach bei yourIT. Dann hat die riskante Suche ein für alle Mal ein Ende!

Stellenanzeige yourIT Systemadministrator / Consultant Datenschutz & Informationssicherheit

15 simple Datenschutz-Regeln, die jeder Arbeitnehmer an seinem Büro-Arbeitsplatz beachten sollte

Personenbezogene und/oder vertrauliche Daten werden heutzutage überall im Unternehmen verarbeitet. Ein Mindestmaß an Sicherheit ist deshalb an allen Stellen gefordert. Hier 15 einfache Datenschutz & Informationssicherheits-Grundregeln, die Sie als Mitarbeiter mindestens beachten sollten:

15 simple Datenschutz-Regeln für 90% Sicherheit an Ihrem Arbeitsplatz

1. Auch beim kurzfristigen Verlassen Ihres Büros den PC sperren (Sperren geht auf Windows Rechnern am schnellsten mit der Tastenkombination “Windows” + “L” für “Lock” oder mit Ctrl-Alt-Entf danach Enter.);
2. Wenn möglich Ihr Büro verschließen und die Schlüssel zum Büro, Schreibtisch usw. sicher verwahren. Ihre Schlüssel nicht mit Aufschriften oder Anhängern kennzeichnen, aus denen hervorgeht, zu welchem Schloss sie passen (Nutzen Sie stattdessen farbliche Markierungen, die Ihnen helfen, mehrere Schlüssel schnell richtig zuzuordnen, die im Verlustfall für Dritte jedoch keinen Informationswert besitzen.);
3. Stellen Sie sicher, dass sich Besucherinnen und Besucher nur in Ihrem oder im Beisein anderer Mitarbeiters im Büro aufhalten; achten Sie darauf, dass Besucher/innen keine personenbezogenen und/oder vertraulichen Daten zur Kenntnis nehmen können;
4. Keine Papier-Fehlkopien oder Fehldrucke mit personenbezogenem und/oder vertraulichem Inhalt in den Papierkorb entsorgen; Stattdessen Unterlagen mit personenbezogenen Daten, die nicht mehr benötigt werden, vom übrigen Papierabfall getrennt in Ihrem Büro sammeln und alsbald vernichten (Schredder bzw. Aktenvernichtung – dabei sind die Aufbewahrungsfristen zu beachten);
5. Ihr Passwort sorgfältig auswählen, geheim halten und nicht aufschreiben;
6. Darauf achten, dass der Bildschirm so ausgerichtet ist, dass kein Unbefugter/Besucher die Daten auf dem Bildschirm lesen kann (Fenster oder Tür).
7. Nur die personenbezogenen und/oder vertraulichen Daten verarbeiten, die Sie für Ihr Aufgabengebiet benötigen und möglichst keine personenbezogenen Daten auf der Festplatte Ihres PCs speichern (dafür sind die Netzlaufwerke bzw. falls vorhanden das Dokumentenmanagementsystem vorgesehen;
8. Regelmäßig prüfen, welche Daten Sie nicht mehr benötigen und diese dann löschen – dabei sind die Aufbewahrungsfristen zu beachten;
9. Personenbezogene und/oder vertrauliche Daten nur dann auf Datenträger (CD-ROM/DVD, USB-Sticks etc.) oder Cloud-Laufwerke kopieren, wenn dies unumgänglich ist und Verschlüsselung einsetzen; Datenträger und Papier-Unterlagen mit vertraulichem oder personenbezogenem Inhalt bei Abwesenheit unter Verschluss halten (Schrank, Schreibtisch);
10. “alte” oder defekte Datenträger (Festplatten, USB-Sticks usw.) nicht einfach wegwerfen, sondern sie beim Administrator zur zentralen Vernichtung abgeben;
11. Denken Sie auch darüber nach, ob Sie Festplatten (z.B. im Wartungsfall) aus der Hand geben dürfen;
12. Keine Privatnutzung von E-Mail, Internet, Telefon, etc. Private Software oder private Datenträger haben im Büro-Netzwerk nichts zu suchen; das Gleiche gilt für unbekannte zusätzliche Rechner (mobile oder stationäre);
13. Auf mobilen PC, Festplatten verschlüsseln;
14. Personenbezogene und/oder vertrauliche Daten niemals unverschlüsselt per E-Mail versenden.
15. Zum Schutz vor Viren und Erpressungstrojanern immer erst denken und dann klicken; eine kostenlose Mitarbeiter-Checkliste "So schütze ich unsere IT vor Viren und Trojanern finden Sie hier zum Download.

Unglaublich, aber allein durch die Einhaltung dieser 15 simplen Datenschutz &Informationssicherheits-Regeln erhöhen Sie die Sicherheit Ihres Arbeitsplatzes auf 90%.

Datenschutz ist doch kein zahnloser Papiertiger - WhatsApp stoppt Datenweitergabe an Facebook

Ende August 2016 hatte WhatsApp angekündigt, künftig Nutzerdaten an die Konzernmutter Facebook weiter zu geben. Wir berichteten auf diesem Blog.

Die massive Kritik von Seiten der Datenschützer an diesem Vorhaben zeigt nun Wirkung: Daten von europäischen WhatsApp-Nutzern werden nicht an Facebook weitergegeben - vorerst zumindest.

Der vorläufige Stopp solle den Datenschützern die Möglichkeit geben, ihre Sorgen vorzubringen. Danach will Facebook diese abwägen, erklärte das weltgrößte Online-Netzwerk am Mittwoch.

Für langjährige Kämpfer für den Datenschutz ist schon dieses Einlenken von Facebook ein kleiner Erfolg. Immerhin ist es noch nicht lange her, da hätte Facebook sich keinen Deut um die Sorgen der Datenschützer geschert. Der deutsche Datenschutz ist wohl dovh mehr als ein zahnloser Papiertiger. Und auch die EU-Datenschutzgrundverordnung EU-DSGVO wird den rücksichtslosen Datenkraken ihre Krallen spüren lassen.

Dafür werden wir schon sorgen.

Einladung zum Vortrag bei der IHK Reutlingen

Vortrag zur EU-Datenschutzgrundverordnung #DSGVO am Dienstag 15.11.2016 ab 13:30 Uhr

Gemeinsam mit der IT-Rechtsanwältin Dr. Anke Thiedemann referiert Thomas Ströbele, Geschäftsführer der yourIT und Berater für Datenschutz und Informationssicherheit zu den Neuerungen der EU-DSGVO und zur praktischen Umsetzung in mittelständischen Unternehmen.

Dienstag 15.11.2016 ab 13:30 Uhr bei der IHK in Reutlingen



Das sollten Sie nicht verpassen!