EU US Privacy Shield tritt in Kraft – alles wird gut?

By | 13. Juli 2016

EU US Pri­va­cy Shield ist da

Nach­dem die euro­päi­sche Kom­mis­si­on erwar­tungs­ge­mäß das recht umstrit­te­ne Pri­va­cy Shield als Nach­fol­ger von Safe Har­bor durch­ge­wun­ken hat, tritt die­se Rege­lung zum 01. August 2016 in Kraft. Nach Weg­fall der Safe Har­bor Rege­lung auf­grund eines Urteils des EUGH im Herbst 2015 – wir berich­te­ten – soll Pri­va­cy Shield eine belast­ba­re Grund­la­ge für die Zuläs­sig­keit des Aus­tauschs per­so­nen­be­zo­ge­ner Daten zwi­schen Euro­pa und den USA bil­den. Durch das Urteil des EUGH blie­ben hier­für ja ledig­lich die EU Stan­dard­ver­trags­klau­seln oder Ver­fah­rens­wei­sen im Rah­men der soge­nann­ten “bin­ding cor­po­ra­te rules” (BCR). Nach­dem eini­ge Unter­neh­men eine recht­zei­ti­ge Umstel­lung nach Weg­fall von Safe Har­bor auf die Stan­dard­ver­trags­klau­seln ver­säumt haben, wur­de zum Bei­spiel der Daten­schutz­be­auf­trag­te Ham­burgs, Prof. Dr. Johan­nes Cas­par bereits aktiv und ging dage­gen aktiv vor.

Und jetzt wird alles gut?

Es ver­wun­dert wenig, dass die betei­lig­ten EU Kom­mis­sa­re den Stel­len­wert und Wir­kungs­grad des von ihnen umge­setz­ten Pri­va­cy Shiel­ds loben. Nach ihrer Sicht sei­en erheb­li­che Zuge­ständ­nis­se zum Schutz per­so­nen­be­zo­ge­ner Daten in den USA von EU Bür­gern geleis­tet wor­den. Dass die­se ledig­lich in kur­zer Brief­form und ohne belast­ba­re recht­li­che Unter­maue­rung in Form von neu­en oder ange­pass­ten Geset­zen in den USA erbracht wur­den, stellt das Pri­va­cy Shield auf kein soli­des Fun­da­ment.

Die hier­durch … Weiterlesen

Datenpanne bei HIPP – Name, Anschrift und Passwörter betroffen

By | 10. Juni 2016

Das Bonus­pro­gramm “Mein Baby­Club” des bekann­ten Baby­nah­rung­her­stel­lers HIPP wur­de online ange­grif­fen und erfolg­reich gehackt. Der Anbie­ter infor­miert der­zeit die Teil­neh­mer über den Sach­ver­halt, gibt jedoch kei­ne wei­te­ren Details bekannt. Laut den von HIPP ver­sand­ten Emails an Nut­zer des Pro­gramms wur­den Anfang Mai Unre­gel­mä­ßig­kei­ten im Ser­ver­be­trieb fest­ge­stellt. Die­se wür­den auf einen erfolg­rei­chen Hack hin­deu­ten, durch den Namen, Anschrif­ten, Geburts­da­ten, aber auch Pass­wör­ter von den Sys­te­men des Anbie­ters abge­zo­gen wur­den. Die zustän­di­ge Lan­des­da­ten­schutz­be­hör­de sei infor­miert.

Auf­la­gen durch das IT-Sicher­heits­ge­setz

Unab­hän­gig von der Ursa­che für die­sen Hack sind Web­sei­ten­be­trei­ber ver­pflich­tet, not­wen­di­ge Schutz­maß­nah­men zu ergrei­fen, um Daten vor unbe­rech­tig­ten Zugrif­fen zu schüt­zen. Für Web­auf­trit­te heißt es daher, sowohl den Web­ser­ver als auch die Con­tent Manage­ment Soft­ware oder das Shop Sys­tem stets mit aktu­el­len Updates und Sicher­heits­patches aus­zu­stat­ten. Ein regel­m­ßi­ger Blick in die Log­files zwecks Ana­ly­se auf Sicher­heits­ver­stö­ße kann eben­falls nicht scha­den.… Weiterlesen

Fahrplan der EU Datenschutz-Grundverordnung (EU DS GVO)

By | 10. Mai 2016

Die Euro­päi­sche Daten­schutz-Grund­ver­ord­nung (EU DS GVO) wird nach der Ver­öf­fent­li­chung im EU Amts­blatt am 24.05.2016 inkraft­tre­ten. Die Ver­un­si­che­rung bei Unter­neh­men, aber auch Behör­den und kom­mu­na­len Ein­rich­tun­gen ist zur Zeit groß. Was kommt genau an Ände­run­gen auf uns zu? Was muss ich ab wann beach­ten? Und noch viel drin­gen­der: wie set­ze ich das Gan­ze in der Pra­xis um? In die­sem Bei­trag wol­len wir Ihnen den Fahr­plan der EU Daten­schutz-Grund­ver­ord­nung auf­zei­gen. Damit haben Sie einen zeit­li­chen Anhalts­punkt, bis wann die Umset­zung zu erfol­gen hat und wel­ches Recht zu wel­chem Zeit­punkt anzu­wen­den ist.

Datum / Zeit­raumSach­ver­haltRechts­an­wen­dung
Dezem­ber 2015Eini­gung im EU Tri­log auf die Inhal­te und grund­le­gen­den For­mu­lie­run­gen der Grund­ver­ord­nung (EU DS GVO)Das Bun­des­da­ten­schutz­ge­setz (BDSG) sowie die Lan­des­da­ten­schutz­ge­set­ze gel­ten wei­ter.
Beginn der Umset­zungs­frist, bedeu­tet: Daten­ver­ar­bei­tun­gen sol­len inner­halb von 2 Jah­ren nach Inkraft­tre­ten (24.05.2016) mit der Ver­ord­nung in Ein­klang gebracht, sprich ange­passt wer­den.
Lau­fen­de und neue Ver­fah­ren müs­sen jedoch den Anfor­de­run­gen und Auf­la­gen der noch gel­ten­den Daten­schutz­ge­set­ze genü­gen!
April 2016Annah­me durch Euro­pa-Rat und das Euro­päi­sche Par­la­ment
04.05.2016Ver­kün­dung im Euro­päi­schen Amts­blatt
24.05.2016Inkraft­tre­ten der Euro­päi­schen Daten­schutz-Grund­ver­ord­nung (EU DS GVO) und Beginn der Umset­zungs­frist in den Mit­glieds­staa­ten
25.05.2018Gel­tung der EU DS GVO und Ende der Umset­zungs­fristAb jetzt sind Bun­des­da­ten­schutz­ge­setz und
Weiterlesen

EU Datenschutz-Grundverordnung (EU DS GVO) im EU Amtsblatt veröffentlicht

By | 5. Mai 2016

Am 04.05.2016 wur­de die EU Daten­schutz-Grund­ver­ord­nung im EU Amts­blatt ver­öf­fent­licht. 20 Tage nach der Ver­öf­fent­li­chung tritt eine Ver­ord­nung in Kraft, also die EU Daten­schutz-Grund­ver­ord­nung (EU DS GVO) somit zum 25.05.2016. Wei­te­re zwei Jah­re spä­ter wird die EU DS GVO gül­tig, das ist der 25.05.2018.

Nun gilt es, sowohl für nicht-öffent­li­che (Unter­neh­men und Ver­ei­ne) und öffent­li­che (Behör­den) Stel­len, sich auf die­sen Ter­min vor­zu­be­rei­ten. Zuvor ist noch der deut­sche Gesetz­ge­ber gefor­dert, die natio­na­len Öff­nungs­klau­seln in der Ver­ord­nung zu nut­zen und ent­spre­chend aus­zu­ge­stal­ten. Um nicht unglaub­wür­dig zu erschei­nen, muss es Ziel sein, das bis­he­ri­ge Schutz­ni­veau nicht zu unter­lau­fen. Ob das beab­sich­tigt ist und am Ende auch gelingt, darf mit Span­nung erwar­tet wer­den.

Die offi­zi­el­le Ver­öf­fent­li­chung des mehr­spra­chi­gen (und somit auch deut­schen) Tex­tes fin­den Sie auf den Web­sei­ten der EU.… Weiterlesen

Informationsrechtler kürt die neue europäische Datenschutzverordnung zu “einem der schlechtesten Gesetze des 21. Jahrhunderts”

By | 27. April 2016

Infor­ma­ti­ons­recht­ler Tho­mas Hoe­ren aus Müns­ter bezeich­net die neue euro­päi­sche Daten­schutz-Grund­ver­ord­nung als “eines der schlech­tes­ten Geset­ze des 21. Jahr­hun­derts” und “hirn­los”.  Auf Twit­ter zu lesen:

Die­se Aus­sa­gen traf Hoe­ren im Rah­men sei­nes Vor­trags auf dem Euro­fo­rum-Daten­schutz­kon­gress in Ber­lin am heu­ti­gen Tag. Dabei bezog er sich in sei­nen Aus­sa­gen auf ein­zel­ne Prin­zi­pi­en der Ver­ord­nung wie dem “Markt­ort­prin­zip” oder auch die “Daten­por­ta­bi­li­tät” (die Mög­lich­keit sei­ne Daten von einem Anbie­ter zum nächs­ten mit­zu­neh­men). Als “biblisch” schlecht bezeich­ne­te er eben­falls die schwach aus­ge­fal­le­ne For­mu­lie­rung der Zweck­bin­dung. Sei­ner Mei­nung nach sind den geplan­ten Rege­lun­gen zum Wider­spruchs­recht im Direkt­mar­ke­ting  “viel lob­by­is­ti­sches Kaf­fee­trin­ken” vor­aus­ge­gan­gen.

Quel­leWeiterlesen

Was kostet ein externer (betrieblicher) Datenschutzbeauftragter?

By | 22. April 2016

Es kommt dar­auf an

Was kos­tet ein exter­ner Daten­schutz­be­auf­trag­ter?”, die­se Fra­ge wird desöf­te­ren per Email oder als Blog­kom­men­tar an mich her­an­ge­tra­gen.  Eine nach­voll­zieh­ba­re Fra­ge, gera­de wenn das eige­ne Unter­neh­men unter die gesetz­li­che Bestell­pflicht für einen Daten­schutz­be­auf­trag­ten fällt. Und gera­de in wirt­schaft­lich anstren­gen­den Pha­sen sind die Kos­ten ein rele­van­ter Fak­tor. Sind kei­ne wei­te­ren Anga­ben vor­han­den, dann fällt die Beant­wor­tung in etwa so leicht wie die von Fra­gen wie

  • Was kos­tet ein Auto?
  • Wie teu­er ist es, ein Haus zu bau­en?
  • Wie viel muss ich für den nächs­ten Som­mer­ur­laub bezah­len?

Die ehr­li­che Ant­wort auf die Fra­ge nach den Kos­ten für einen exter­nen Daten­schutz­be­auf­trag­ten kann in die­sem Fall nur lau­ten: “Es kommt dar­auf an!”

Auf was kommt es an?

Daten­schutz ist kein Pro­dukt von der Stan­ge, son­dern eine indi­vi­du­el­le Leis­tung maß­ge­schnei­dert auf Ihr Unter­neh­men. Jede Unter­neh­mung ver­fügt über eine eige­ne Aus­gangs­si­tua­ti­on (Sta­tus Quo wie Anzahl der Mit­ar­bei­ter, Filia­len, Betriebs­rat, Richt­li­ni­en etc.), unter­schied­li­che Res­sour­cen zur Umset­zung, eine Viel­falt an zu betrach­ten­den Fak­to­ren (bei­spiels­wei­se die unter­schied­lichs­ten IT-Lösun­gen) und ein not­wen­di­ges Schutz­ni­veau je nach Bran­che und per­so­nen­be­zo­ge­nen Daten im Unter­neh­men.

All die­se Punk­te bedeu­ten ein Mehr oder Weni­ger an Auf­wand in der Umset­zung. Sie wir­ken sich dem­nach direkt auf die ent­ste­hen­den Kos­ten aus. Umso … Weiterlesen

Kurzlinks als unterschätztes Risiko für den Datenschutz

By | 20. April 2016

Fast jeder kennt sie, vie­le nut­zen Sie. Kurz­links zu Frei­ga­ben in Cloud­spei­chern oder auch als schnel­ler Link zu Web­sei­ten. Eine Stu­die der Uni­ver­si­tät Cor­nell hat nach­voll­zieh­bar ein Risi­ko für die auf die­se Art frei­ge­ge­be­nen Daten auf­ge­zeigt. Schwach­stel­le ist die typi­sche Zusam­men­set­zung mit Buch­sta­ben und Zah­len, und nur weni­gen Zei­chen. Die­se Kom­bi­na­tio­nen las­sen sich auto­ma­ti­siert erzeu­gen und abfra­gen. Sind die Frei­ga­ben nicht zusätz­lich mit einem Pass­wort geschützt, kön­nen die auf die­se Art im Zugriff befind­li­chen Daten direkt kom­pro­mit­tiert wer­den.

Die Stu­die zeigt ein wei­te­res Risi­ko auf. In sie­ben Pro­zent aller auf die­se Art ermit­tel­ten frei zugäng­li­chen Frei­ga­ben hät­ten Sie auf­grund der Art der Frei­ga­be Schad­code in den Spei­cher ein­brin­gen kön­nen. Die­ser hät­te sich mit­tels der übli­chen Syn­chro­ni­sa­ti­on somit auf die ange­schlos­se­nen Gerä­te der Nut­zer wei­ter ver­brei­ten kön­nen.

Gene­rell raten wir dazu, bei der Ver­ga­be aber auch der Nut­zung von Kurz­links sehr vor­sich­tig zu sein. Einer­seits besteht das in der Stu­die gut nach­voll­zieh­ba­re Daten­schutz-Risi­ko für Ihre auf die­se Art frei­ge­ge­be­nen Daten. Ande­rer­seits wis­sen Sie nie, wohin Sie ein Kurz­link füh­ren wird. Eine belieb­te Masche sind Umlei­tun­gen auf prä­pa­rier­te Web­sei­ten, die mit­tels Exploit Kit Schwach­stel­len auf Ihrem Gerät aunut­zen, um Ihnen Schad­code unter­zu­ju­beln.

Gene­rell scha­det es auch nicht im Unter­neh­mens­um­feld, Ihre Mit­ar­bei­ter für … Weiterlesen

Datenpanne bei DuMont: Benutzernamen und Passwörter frei einsehbar

By | 11. April 2016

Am gest­ri­gen Sonn­tag wur­de gemel­det, Nut­zer­kon­ten samt Daten von regis­trier­ten Nut­zern der Web­sei­te des DuMont-Ver­lags stan­den stun­den­lang unge­schützt im Netz. Wäh­rend der Ver­lag von einem Hacker­an­griff spricht, scheint eini­ges für inter­ne Schlam­pe­rei zu spre­chen (spiegel.de)

Der Ver­lag nahm die betrof­fe­nen Web­sei­ten eini­ge Stun­den nach Mel­dung der Daten­pan­ne off­line. Sie sol­len im Lau­fe des heu­ti­gen Tages wie­der ans Netz gehen. Fatal: Neben den Benut­zer­na­men waren die Pass­wör­ter im Klar­text abge­spei­chert. Nach eige­nen Anga­ben des Ver­lags wur­den die Pass­wör­ter der betrof­fe­nen Accounts zurück­ge­setzt.… Weiterlesen

Abmahnung für den Einsatz von Google Analytics

By | 29. März 2016

Goog­le Ana­ly­tics als Web­tracking- und Ana­ly­se-Tool ist bei Web­mas­tern recht beliebt. Eine aus Daten­schutz­sicht bean­stan­dungs­freie Umset­zung ist seit gerau­mer Zeit mög­lich. Dabei gilt es jedoch, eini­ges zu beach­ten. Wer sich dar­um nicht küm­mert, kann zukünf­tig vom Wett­be­werb dazu mit recht­li­chen Mit­teln – im Zwei­fel mit­tels Abmah­nung – gezwun­gen wer­den.

In einer einst­wei­li­gen Ver­fü­gung des Land­ge­richts Ham­burg vom 10.03.2016 mit dem Akten­zei­chen 312 O 127/16 unter­sagt das Gericht dem Betrei­ber einer Web­sei­te den Ein­satz von Goog­le Ana­ly­tics auf­grund feh­len­der Hin­wei­se auf den Ein­satz, bei­spiel­wei­se im Rah­men der Daten­schutz­er­klä­rung. Das Land­ge­richt Ham­burg droht dem Web­sei­ten­be­trei­ber für den Fall der Zuwi­der­hand­lung gegen die­se Anord­nung ein Ord­nungs­geld von bis zu 250.000 Euro an (als Ersatz Ord­nungs­haft bis zu 6 Mona­ten).

Nicht ein­deu­tig geklärt ist bis­her, ob § 13 Absatz 1 Satz 1 Tele­me­di­en­ge­setz (TMG) Grund­la­ge für eine Abmah­nung sein kann. Das Ober­lan­des­ge­richt (OLG) Mün­chen hat 2012 die­sen Sach­ver­halt ver­neint. Dem ent­ge­gen hat das OLG Ham­burg in 2013 die Abmahn­fä­hig­keit bestä­tigt.

Wer dem­nach zur Zeit Abmah­nung und wei­te­res Unge­mach wegen des Ein­sat­zes von Goog­le Ana­ly­tics ver­mei­den will, tut gut dar­an, die Emp­feh­lun­gen aus 2011 für die Ein­füh­rung und Nut­zung von Goog­le Ana­ly­tics als Web­tracking- und Ana­ly­se-Tool umzu­set­zen:

  1. Abschluss einer Rege­lung zur Auf­trags­da­ten­ver­ar­bei­tung nach § 11 BDSG. Eine gemein­sam erar­bei­te­te
Weiterlesen

Patientendaten gehackt – Gesundheitskarte nach wie vor unsicher

By | 14. März 2016

Die RP Online mel­det letz­te Woche, dass es nach eige­nen Tests nach wie vor gro­ße Sicher­heits­lü­cken bei der Gesund­heits­kar­te gibt. Pati­en­ten­da­ten sind nach wie vor nicht sicher, hat deren Über­prü­fung erge­ben. Die Redak­ti­on konn­te mit weni­gen Maus­klicks und eini­gen Anru­fen bei der für den Test aus­ge­wähl­ten Bar­mer GEK ohne Pro­ble­me, Infor­ma­tio­nen über Arzt­be­su­che und Medi­ka­men­ta­tio­nen abfra­gen.

Wie RP Online berich­tet, ist dies bereits der fünf­te Fall in den letz­ten 20 Mona­ten, in dem es durch das ein­fach struk­tu­rier­te Anmel­de-Ver­fah­ren zu den Online-Ser­vices der Kran­ken­kas­sen (dar­un­ter neben der Bar­mer GEK auch die AOK) zum voll­stän­di­gen Zugriff auf das Ver­si­cher­ten-Pro­fil kom­men kann. Was dazu nötig ist? Es rei­chen Name, Geburts­da­tum, Ver­si­cher­ten­num­mer, eine neu auf den Namen des Ver­si­cher­ten aus­ge­stell­te Email-Adres­se bei einem belie­bi­gen Anbie­ter sowie ein Tele­fo­nat mit der Ver­si­che­rung.

Doch das ist nicht neu. Bereits 2014 wur­de die­se Vor­ge­hens­wei­se als Schwach­stel­le auf­ge­deckt, die Kran­ken­kas­sen infor­miert. 2015 war der Vor­gang immer noch nach­voll­zieh­bar (sie­he ZDF Videobei­trag). Getan hat sich seit­her wenig bis nichts. Daher ist auch die Bun­des­da­ten­schutz­be­auf­trag­te, Andrea Voß­hoff “not amu­sed”.

 … Weiterlesen