Landesdatenschutzbehörden prüfen Cloud-Einsatz in Unternehmen

By | 4. November 2016

Die Lan­des­da­ten­schutz­be­hör­den in Bay­ern, Ber­lin, Bre­men, Ham­burg, Meck­len­burg-Vor­pom­mern, Nie­der­sach­sen, Nord­rhein-West­fa­len, Rhein­land-Pfalz, Saar­land und Sach­sen-Anhalt wäh­len per Zufall 500 Unter­neh­men in die­sen Bun­des­län­dern aus. Die­se erhal­ten im Zuge der Prü­fung einen aus­führ­li­chen Fra­ge­bo­gen (Down­load zur Selbst­über­prü­fung hier) zur zeit­na­hen Beant­wor­tung. Bit­te beach­ten Sie: Sie sind gemäß Bun­des­da­ten­schutz­ge­setz gegen­über der Behör­de aus­kunfts­pflich­tig. Neh­men Sie die Anfra­ge ernst und ertei­len Sie inner­halb des genann­ten Rück­mel­de­zeit­raums aus­führ­lich Aus­kunft. Es besteht sonst ein Buß­gel­dri­si­ko für Ihre Orga­ni­sa­ti­on.

[…] vie­le klei­ne­re und mitt­le­re Unter­neh­men in Deutsch­land ver­ar­bei­ten inzwi­schen zahl­rei­che per­so­nen­be­zo­ge­ne Daten (z. B. von Kun­den, Mit­ar­bei­tern oder Bewer­bern) häu­fig auf Ser­vern exter­ner Dienst­leis­ter, oft außer­halb der Euro­päi­schen Uni­on. Dies ist vor allem bei Ange­bo­ten wie dem sog. Soft­ware as a Ser­vice der Fall. Ein klas­si­sches Bei­spiel hier­für sind Office-Anwen­dun­gen „aus dem Inter­net“, die stand­ortu­n­ab­hän­gig und fle­xi­bel genutzt wer­den kön­nen.”

Inhalt­lich beschäf­tigt sich der Fra­ge­bo­gen daher zu Beginn mit gene­rel­len Daten­über­mitt­lun­gen außer­halb der EU (USA, sons­ti­ge Dritt­staa­ten).

Ein wich­ti­ges Ziel der Prü­fung liegt in der Sen­si­bi­li­sie­rung der Unter­neh­men für Daten­über­mitt­lun­gen in Län­der außer­halb der Euro­päi­schen Uni­on. Um Unter­neh­men das Auf­fin­den sol­cher Über­mitt­lun­gen zu erleich­tern, wird auch gezielt nach dem Ein­satz von Pro­duk­ten und Leis­tun­gen exter­ner Anbie­ter gefragt, die – nach bis­he­ri­gen Erfah­run­gen der Auf­sichts­be­hör­den Weiterlesen

Privacy Shield für ein Jahr toleriert – Europäische Datenschutzbehörden unzufrieden

By | 28. Juli 2016

Zumin­dest für den Zeit­raum eines Jah­res kann das oft kri­ti­sier­te Pri­va­cy Shield als Nach­fol­ger von Safe Har­bor fun­gie­ren. Nach Aus­sa­gen der soge­nann­ten Arti­kel-29-Grup­pe sei das neue Abkom­men nach wie vor nicht geeig­net, grund­sätz­li­che Kri­tik aus­zu­räu­men. Dabei wur­den die nach wie vor zuläs­si­gen Geheim­dienst­zu­grif­fe auf Daten von EU Bür­gern sowie die man­geln­den Durch­set­zungs­mög­lich­kei­ten der Schutz­rech­te der Betrof­fe­nen bemän­gelt.

Den­noch kön­ne Pri­va­cy Shield vor­erst als Zuläs­sig­keits­tat­be­stand für den Trans­fer per­so­nen­be­zo­ge­ner Daten in die USA ein­ge­setzt wer­den. Nach 12 Mona­ten Eva­lu­ie­rungs­pha­se soll das Abkom­men neu bewer­tet wer­den. Bis dahin sicher­ten die euro­päi­schen Daten­schutz­be­hör­den akti­ve Unter­stüt­zung bei der Gel­tend­ma­chung der Rech­te Betrof­fe­ner in den USA zu.… Weiterlesen

EU US Privacy Shield tritt in Kraft – alles wird gut?

By | 13. Juli 2016

EU US Pri­va­cy Shield ist da

Nach­dem die euro­päi­sche Kom­mis­si­on erwar­tungs­ge­mäß das recht umstrit­te­ne Pri­va­cy Shield als Nach­fol­ger von Safe Har­bor durch­ge­wun­ken hat, tritt die­se Rege­lung zum 01. August 2016 in Kraft. Nach Weg­fall der Safe Har­bor Rege­lung auf­grund eines Urteils des EUGH im Herbst 2015 – wir berich­te­ten – soll Pri­va­cy Shield eine belast­ba­re Grund­la­ge für die Zuläs­sig­keit des Aus­tauschs per­so­nen­be­zo­ge­ner Daten zwi­schen Euro­pa und den USA bil­den. Durch das Urteil des EUGH blie­ben hier­für ja ledig­lich die EU Stan­dard­ver­trags­klau­seln oder Ver­fah­rens­wei­sen im Rah­men der soge­nann­ten “bin­ding cor­po­ra­te rules” (BCR). Nach­dem eini­ge Unter­neh­men eine recht­zei­ti­ge Umstel­lung nach Weg­fall von Safe Har­bor auf die Stan­dard­ver­trags­klau­seln ver­säumt haben, wur­de zum Bei­spiel der Daten­schutz­be­auf­trag­te Ham­burgs, Prof. Dr. Johan­nes Cas­par bereits aktiv und ging dage­gen aktiv vor.

Und jetzt wird alles gut?

Es ver­wun­dert wenig, dass die betei­lig­ten EU Kom­mis­sa­re den Stel­len­wert und Wir­kungs­grad des von ihnen umge­setz­ten Pri­va­cy Shields loben. Nach ihrer Sicht sei­en erheb­li­che Zuge­ständ­nis­se zum Schutz per­so­nen­be­zo­ge­ner Daten in den USA von EU Bür­gern geleis­tet wor­den. Dass die­se ledig­lich in kur­zer Brief­form und ohne belast­ba­re recht­li­che Unter­maue­rung in Form von neu­en oder ange­pass­ten Geset­zen in den USA erbracht wur­den, stellt das Pri­va­cy Shield auf kein soli­des Fun­da­ment.

Die hier­durch … Weiterlesen

Datenpanne bei HIPP – Name, Anschrift und Passwörter betroffen

By | 10. Juni 2016

Das Bonus­pro­gramm “Mein Baby­Club” des bekann­ten Baby­nah­rung­her­stel­lers HIPP wur­de online ange­grif­fen und erfolg­reich gehackt. Der Anbie­ter infor­miert der­zeit die Teil­neh­mer über den Sach­ver­halt, gibt jedoch kei­ne wei­te­ren Details bekannt. Laut den von HIPP ver­sand­ten Emails an Nut­zer des Pro­gramms wur­den Anfang Mai Unre­gel­mä­ßig­kei­ten im Ser­ver­be­trieb fest­ge­stellt. Die­se wür­den auf einen erfolg­rei­chen Hack hin­deu­ten, durch den Namen, Anschrif­ten, Geburts­da­ten, aber auch Pass­wör­ter von den Sys­te­men des Anbie­ters abge­zo­gen wur­den. Die zustän­di­ge Lan­des­da­ten­schutz­be­hör­de sei infor­miert.

Auf­la­gen durch das IT-Sicher­heits­ge­setz

Unab­hän­gig von der Ursa­che für die­sen Hack sind Web­sei­ten­be­trei­ber ver­pflich­tet, not­wen­di­ge Schutz­maß­nah­men zu ergrei­fen, um Daten vor unbe­rech­tig­ten Zugrif­fen zu schüt­zen. Für Web­auf­trit­te heißt es daher, sowohl den Web­ser­ver als auch die Con­tent Manage­ment Soft­ware oder das Shop Sys­tem stets mit aktu­el­len Updates und Sicher­heits­patches aus­zu­stat­ten. Ein regel­m­ßi­ger Blick in die Log­files zwecks Ana­ly­se auf Sicher­heits­ver­stö­ße kann eben­falls nicht scha­den.… Weiterlesen

Fahrplan der EU Datenschutz-Grundverordnung (EU DS GVO)

By | 10. Mai 2016

Die Euro­päi­sche Daten­schutz-Grund­ver­ord­nung (EU DS GVO) wird nach der Ver­öf­fent­li­chung im EU Amts­blatt am 24.05.2016 inkraft­tre­ten. Die Ver­un­si­che­rung bei Unter­neh­men, aber auch Behör­den und kom­mu­na­len Ein­rich­tun­gen ist zur Zeit groß. Was kommt genau an Ände­run­gen auf uns zu? Was muss ich ab wann beach­ten? Und noch viel drin­gen­der: wie set­ze ich das Gan­ze in der Pra­xis um? In die­sem Bei­trag wol­len wir Ihnen den Fahr­plan der EU Daten­schutz-Grund­ver­ord­nung auf­zei­gen. Damit haben Sie einen zeit­li­chen Anhalts­punkt, bis wann die Umset­zung zu erfol­gen hat und wel­ches Recht zu wel­chem Zeit­punkt anzu­wen­den ist.

In wei­te­ren Bei­trä­gen wer­den wir auf die Neue­run­gen und Ände­run­gen durch die EU DS GVO näher ein­ge­hen. Blei­ben Sie dran :-) Am ein­fachs­ten geht das mit unse­rem News­let­ter, damit ver­pas­sen Sie kei­nen Bei­trag unse­res Blogs mehr.… Weiterlesen

EU Datenschutz-Grundverordnung (EU DS GVO) im EU Amtsblatt veröffentlicht

By | 5. Mai 2016

Am 04.05.2016 wur­de die EU Daten­schutz-Grund­ver­ord­nung im EU Amts­blatt ver­öf­fent­licht. 20 Tage nach der Ver­öf­fent­li­chung tritt eine Ver­ord­nung in Kraft, also die EU Daten­schutz-Grund­ver­ord­nung (EU DS GVO) somit zum 25.05.2016. Wei­te­re zwei Jah­re spä­ter wird die EU DS GVO gül­tig, das ist der 25.05.2018.

Nun gilt es, sowohl für nicht-öffent­li­che (Unter­neh­men und Ver­ei­ne) und öffent­li­che (Behör­den) Stel­len, sich auf die­sen Ter­min vor­zu­be­rei­ten. Zuvor ist noch der deut­sche Gesetz­ge­ber gefor­dert, die natio­na­len Öff­nungs­klau­seln in der Ver­ord­nung zu nut­zen und ent­spre­chend aus­zu­ge­stal­ten. Um nicht unglaub­wür­dig zu erschei­nen, muss es Ziel sein, das bis­he­ri­ge Schutz­ni­veau nicht zu unter­lau­fen. Ob das beab­sich­tigt ist und am Ende auch gelingt, darf mit Span­nung erwar­tet wer­den.

Die offi­zi­el­le Ver­öf­fent­li­chung des mehr­spra­chi­gen (und somit auch deut­schen) Tex­tes fin­den Sie auf den Web­sei­ten der EU.… Weiterlesen

Informationsrechtler kürt die neue europäische Datenschutzverordnung zu “einem der schlechtesten Gesetze des 21. Jahrhunderts”

By | 27. April 2016

Infor­ma­ti­ons­recht­ler Tho­mas Hoe­ren aus Müns­ter bezeich­net die neue euro­päi­sche Daten­schutz-Grund­ver­ord­nung als “eines der schlech­tes­ten Geset­ze des 21. Jahr­hun­derts” und “hirn­los”.  Auf Twit­ter zu lesen:

Die­se Aus­sa­gen traf Hoe­ren im Rah­men sei­nes Vor­trags auf dem Euro­fo­rum-Daten­schutz­kon­gress in Ber­lin am heu­ti­gen Tag. Dabei bezog er sich in sei­nen Aus­sa­gen auf ein­zel­ne Prin­zi­pi­en der Ver­ord­nung wie dem “Markt­ort­prin­zip” oder auch die “Daten­por­ta­bi­li­tät” (die Mög­lich­keit sei­ne Daten von einem Anbie­ter zum nächs­ten mit­zu­neh­men). Als “biblisch” schlecht bezeich­ne­te er eben­falls die schwach aus­ge­fal­le­ne For­mu­lie­rung der Zweck­bin­dung. Sei­ner Mei­nung nach sind den geplan­ten Rege­lun­gen zum Wider­spruchs­recht im Direkt­mar­ke­ting  “viel lob­by­is­ti­sches Kaf­fee­trin­ken” vor­aus­ge­gan­gen.

Quel­leWeiterlesen

Was kostet ein externer (betrieblicher) Datenschutzbeauftragter?

By | 22. April 2016

Es kommt dar­auf an

Was kos­tet ein exter­ner Daten­schutz­be­auf­trag­ter?”, die­se Fra­ge wird desöf­te­ren per Email oder als Blog­kom­men­tar an mich her­an­ge­tra­gen.  Eine nach­voll­zieh­ba­re Fra­ge, gera­de wenn das eige­ne Unter­neh­men unter die gesetz­li­che Bestell­pflicht für einen Daten­schutz­be­auf­trag­ten fällt. Und gera­de in wirt­schaft­lich anstren­gen­den Pha­sen sind die Kos­ten ein rele­van­ter Fak­tor. Sind kei­ne wei­te­ren Anga­ben vor­han­den, dann fällt die Beant­wor­tung in etwa so leicht wie die von Fra­gen wie

  • Was kos­tet ein Auto?
  • Wie teu­er ist es, ein Haus zu bau­en?
  • Wie viel muss ich für den nächs­ten Som­mer­ur­laub bezah­len?

Die ehr­li­che Ant­wort auf die Fra­ge nach den Kos­ten für einen exter­nen Daten­schutz­be­auf­trag­ten kann in die­sem Fall nur lau­ten: “Es kommt dar­auf an!”

Auf was kommt es an?

Daten­schutz ist kein Pro­dukt von der Stan­ge, son­dern eine indi­vi­du­el­le Leis­tung maß­ge­schnei­dert auf Ihr Unter­neh­men. Jede Unter­neh­mung ver­fügt über eine eige­ne Aus­gangs­si­tua­ti­on (Sta­tus Quo wie Anzahl der Mit­ar­bei­ter, Filia­len, Betriebs­rat, Richt­li­ni­en etc.), unter­schied­li­che Res­sour­cen zur Umset­zung, eine Viel­falt an zu betrach­ten­den Fak­to­ren (bei­spiels­wei­se die unter­schied­lichs­ten IT-Lösun­gen) und ein not­wen­di­ges Schutz­ni­veau je nach Bran­che und per­so­nen­be­zo­ge­nen Daten im Unter­neh­men.

All die­se Punk­te bedeu­ten ein Mehr oder Weni­ger an Auf­wand in der Umset­zung. Sie wir­ken sich dem­nach direkt auf die ent­ste­hen­den Kos­ten aus. Umso … Weiterlesen

Kurzlinks als unterschätztes Risiko für den Datenschutz

By | 20. April 2016

Fast jeder kennt sie, vie­le nut­zen Sie. Kurz­links zu Frei­ga­ben in Cloud­spei­chern oder auch als schnel­ler Link zu Web­sei­ten. Eine Stu­die der Uni­ver­si­tät Cor­nell hat nach­voll­zieh­bar ein Risi­ko für die auf die­se Art frei­ge­ge­be­nen Daten auf­ge­zeigt. Schwach­stel­le ist die typi­sche Zusam­men­set­zung mit Buch­sta­ben und Zah­len, und nur weni­gen Zei­chen. Die­se Kom­bi­na­tio­nen las­sen sich auto­ma­ti­siert erzeu­gen und abfra­gen. Sind die Frei­ga­ben nicht zusätz­lich mit einem Pass­wort geschützt, kön­nen die auf die­se Art im Zugriff befind­li­chen Daten direkt kom­pro­mit­tiert wer­den.

Die Stu­die zeigt ein wei­te­res Risi­ko auf. In sie­ben Pro­zent aller auf die­se Art ermit­tel­ten frei zugäng­li­chen Frei­ga­ben hät­ten Sie auf­grund der Art der Frei­ga­be Schad­code in den Spei­cher ein­brin­gen kön­nen. Die­ser hät­te sich mit­tels der übli­chen Syn­chro­ni­sa­ti­on somit auf die ange­schlos­se­nen Gerä­te der Nut­zer wei­ter ver­brei­ten kön­nen.

Gene­rell raten wir dazu, bei der Ver­ga­be aber auch der Nut­zung von Kurz­links sehr vor­sich­tig zu sein. Einer­seits besteht das in der Stu­die gut nach­voll­zieh­ba­re Daten­schutz-Risi­ko für Ihre auf die­se Art frei­ge­ge­be­nen Daten. Ande­rer­seits wis­sen Sie nie, wohin Sie ein Kurz­link füh­ren wird. Eine belieb­te Masche sind Umlei­tun­gen auf prä­pa­rier­te Web­sei­ten, die mit­tels Exploit Kit Schwach­stel­len auf Ihrem Gerät aunut­zen, um Ihnen Schad­code unter­zu­ju­beln.

Gene­rell scha­det es auch nicht im Unter­neh­mens­um­feld, Ihre Mit­ar­bei­ter für … Weiterlesen

Datenpanne bei DuMont: Benutzernamen und Passwörter frei einsehbar

By | 11. April 2016

Am gest­ri­gen Sonn­tag wur­de gemel­det, Nut­zer­kon­ten samt Daten von regis­trier­ten Nut­zern der Web­sei­te des DuMont-Ver­lags stan­den stun­den­lang unge­schützt im Netz. Wäh­rend der Ver­lag von einem Hacker­an­griff spricht, scheint eini­ges für inter­ne Schlam­pe­rei zu spre­chen (spiegel.de)

Der Ver­lag nahm die betrof­fe­nen Web­sei­ten eini­ge Stun­den nach Mel­dung der Daten­pan­ne off­line. Sie sol­len im Lau­fe des heu­ti­gen Tages wie­der ans Netz gehen. Fatal: Neben den Benut­zer­na­men waren die Pass­wör­ter im Klar­text abge­spei­chert. Nach eige­nen Anga­ben des Ver­lags wur­den die Pass­wör­ter der betrof­fe­nen Accounts zurück­ge­setzt.… Weiterlesen