DATENSCHUTZ

Sehr geehrte Damen und Herren,

zum Beginn dieses Jahres hatten wir eigentlich auf ein baldiges Ende der Corona-Pandemie nach der fünften Welle gehofft. Die Zahlen haben inzwischen bemerkenswerte Höhen erreicht. Die seit dem 20. März 2022 geltenden Lockerungen erscheinen insoweit nicht für alle nachvollziehbar. Abzuwarten bleibt, ob die Einführung der angekündigten Impfpflicht erfolgt.

Die furchtbaren Entwicklungen im Konflikt zwischen Russland und der Ukraine verschieben insoweit die Prioritäten. Die Nutzung der Test- und Impfzentren als Aufnahmezentren für Flüchtende aus den Kriegsgebieten ist nur ein kleines Beispiel für die überwältigende Hilfsbereitschaft in Deutschland und den östlichen Nachbarstaaten. Diese Konstellation mit den Unwägbarkeiten auf den Absatzmärkten weltweit stellt insbesondere die im Groß- und Außenhandel tätigen Unternehmen erneut vor zusätzliche große Herausforderungen.

Nachdem das BSI zum Ende des Vorjahres die Warnstufe rot wegen der Schwachstelle „Log4Shell“ in der Java-Bibliothek Log4j ausgerufen hatte, wurde am 15.03.2022 eine neue Warnung im Hinblick auf die Virenschutzsoftware des russischen Herstellers Kaspersky veröffentlicht. Auch eine Reaktion, die im Zusammenhang mit dem Krieg zu sehen ist.

Gerade in diesen unsicheren Zeiten gewinnen starke Verbände eine besondere Bedeutung. Die gemeinsamen Interessen der im AGAD organisierten und durch die AGAD Service GmbH im Datenschutz betreuten Unternehmen gilt es mit Nachdruck zu vertreten. Die über die vergangenen Jahrzehnte entwickelte Wertegemeinschaft gilt es zu stärken und zu verteidigen.

Unser Jubiläumsforum, das am 19. Mai 2022 in der Bochumer Jahrhunderthalle stattfinden wird, lädt Sie zu einem gemeinsamen Abend mit in die Zukunft gerichtetem Blick ein.

Bereits am 12. Mai 2022 folgt der nächste virtuelle „Datenschutz zum Feierabend“.

Mit den besten Grüßen für friedlichere Zeiten!

Bleiben Sie gesund!

Ihre AGAD Service GmbH

BSI-Warnung zur Virenschutzsoftware des Herstellers Kaspersky

Das BSI warnt nach § 7 BSI-Gesetz vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky. Das BSI empfiehlt, Anwendungen aus dem Portfolio von Virenschutzsoftware des Unternehmens Kaspersky durch alternative Produkte zu ersetzen.

Antivirensoftware, einschließlich der damit verbundenen echtzeitfähigen Clouddienste, verfügt über weitreichende Systemberechtigungen und muss systembedingt (zumindest für Aktualisierungen) eine dauerhafte, verschlüsselte und nicht prüfbare Verbindung zu Servern des Herstellers unterhalten. Daher ist Vertrauen in die Zuverlässigkeit und den Eigenschutz eines Herstellers sowie seiner authentischen Handlungsfähigkeit entscheidend für den sicheren Einsatz solcher Systeme. Wenn Zweifel an der Zuverlässigkeit des Herstellers bestehen, birgt Virenschutzsoftware ein besonderes Risiko für eine zu schützende IT-Infrastruktur.

Das Vorgehen militärischer und/oder nachrichtendienstlicher Kräfte in Russland sowie die im Zuge des aktuellen kriegerischen Konflikts von russischer Seite ausgesprochenen Drohungen gegen die EU, die NATO und die Bundesrepublik Deutschland sind mit einem erheblichen Risiko eines erfolgreichen IT-Angriffs verbunden. Ein russischer IT-Hersteller kann selbst offensive Operationen durchführen, gegen seinen Willen gezwungen werden, Zielsysteme anzugreifen, oder selbst als Opfer einer Cyber-Operation ohne seine Kenntnis ausspioniert oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werden.

Alle Nutzerinnen und Nutzer der Virenschutzsoftware können von solchen Operationen betroffen sein. Unternehmen und Behörden mit besonderen Sicherheitsinteressen und Betreiber Kritischer Infrastrukturen sind in besonderem Maße gefährdet. Sie haben die Möglichkeit, sich vom BSI oder von den zuständigen Verfassungsschutzbehörden beraten zu lassen.

Unternehmen und andere Organisationen sollten den Austausch wesentlicher Bestandteile ihrer IT-Sicherheitsinfrastruktur sorgfältig planen und umsetzen. Würden IT-Sicherheitsprodukte und insbesondere Virenschutzsoftware ohne Vorbereitung abgeschaltet, wäre man Angriffen aus dem Internet möglicherweise schutzlos ausgeliefert. Der Umstieg auf andere Produkte ist mit vorübergehenden Komfort-, Funktions- und Sicherheitseinbußen verbunden. Das BSI empfiehlt, eine individuelle Bewertung und Abwägung der aktuellen Situation vorzunehmen und dazu gegebenenfalls vom BSI zertifizierte IT-Sicherheitsdienstleister hinzuzuziehen.
Weitere Informationen sind in den FAQ zusammengefasst.

[Quelle: PM des BSI vom 15.03.2022]

Praxishinweise:

Nutzer von Windows sind regelmäßig mit der Virenschutzsoftware Bitdefender ausgestattet.

Sprechen Sie mit Ihren Auftragsverarbeitern zu der aktuellen Bedrohungslage in Bezug auf Ihre Systeme!

Sensibilisieren Sie Ihre Mitarbeiter weiter in Bezug auf die Bedrohungslage und treffen Sie entsprechende Vorsichtsmaßnahmen.

Stellen Sie sicher, dass alle erforderlichen Sicherheitsupdates Ihrer sonstigen IT-Systeme schnellstmöglich durchgeführt werden.

Wenn ein Angriff dennoch erfolgreich durchgeführt werden sollte, sind die für die verantwortlichen Stellen und ihre Auftragsverarbeiter geltenden Meldepflichten an die zuständigen Datenschutzbehörden sowie potenziell betroffenen Personen einzuhalten. Im Bereich der Art. 33, 34 DSGVO beträgt die Meldefrist regelmäßig 72 Stunden!

Corona-Updates zum 20.3.2022

Im Zusammenhang mit der Covid 19-Pandemie haben sich zum 20.3.2022 einige Änderungen ergeben, die u.a. das Inkrafttreten des aktualisierten IfSG, die Bekanntmachung der geänderten Corona-Arbeitsschutzverordnung im Bundesanzeiger und die neue Coronaschutzverordnung NRW betreffen.

Zudem werden Handlungsoptionen und Handlungspflichten für Unternehmen nach Aufhebung der betrieblichen Zugangskontrolle sowie nach dem Auslaufen der sog. Homeoffice-Angebotsverpflichtung im aktuellen Corona-Rundschreiben des AGAD dargestellt.

Praxishinweis: Für weitergehende Fragen im Zusammenhang mit dem Themenkreis der rechtskonformen Datenerhebung in der Covid 19-Pandemie wenden Sie sich gerne an unser Expertenteam!

Zurück

Datenschutzbeauftragte Bremen verhängt Bußgeld nach DSGVO gegen Wohnungsbaugesellschaft

Am 3.3.2022 hat die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) Bremen als datenschutzrechtliche Aufsichtsbehörde die BREBAU GmbH mit einer Geldbuße nach Artikel 83 DSGVO belegt.

Die BREBAU GmbH hat mehr als 9.500 Daten über Mietinteressent:innen verarbeitet, ohne dass es hierfür eine Rechtsgrundlage gab. Beispielsweise Informationen über Haarfrisuren, den Körpergeruch und das persönliche Auftreten sind für den Abschluss von Mietverhältnissen nicht erforderlich. Bei mehr als der Hälfte der Fälle handelte es sich darüber hinaus um Daten, die nach der DSGVO besonders geschützt sind. Rechtswidrig verarbeitet wurden auch Informationen über die Hautfarbe, die ethnische Herkunft, die Religionszugehörigkeit, die sexuelle Orientierung und über den Gesundheitszustand.

Auch hat die BREBAU GmbH Anträge Betroffener auf Transparenz über die Verarbeitung ihrer Daten bewusst konterkariert.

Die nach Artikel 83 DSGVO verhängte Geldbuße beläuft sich auf rund 1,9 Millionen Euro. Der außerordentlichen Tiefe der Verletzung des Grundrechts auf Datenschutz wäre eine deutlich höhere Geldbuße angemessen gewesen. Weil die BREBAU GmbH im datenschutzrechtlichen Aufsichtsverfahren umfassend kooperierte, sich um Schadensminderung, eigene Aufklärung des Sachverhalts und darum bemühte, dass entsprechende Verstöße sich nicht wiederholen, konnte die Höhe der Geldbuße erheblich reduziert werden.

Praxishinweis: Der Fall zeigt, dass generell der Grundsatz der Datensparsamkeit zu berücksichtigen ist. Außerdem ist stets eine Rechtsgrundlage erforderlich, wenn personenbezogene Daten erhoben werden!

Geschäftsführer haften persönlich für Verstöße der GmbH im Datenschutz

Das OLG Dresden hat mit seinem Urteil vom 30.11.2021 entschieden, dass der Geschäftsführer einer GmbH neben der Gesellschaft „Verantwortlicher“ im Sinne der DSGVO ist. Als Gesamtschuldner mit der GmbH wurde er zur Zahlung eines Schadensersatzes in Höhe von 5000,- € verurteilt.

Das OLG ging in seiner Entscheidung davon aus, dass der Geschäftsführer neben der Gesellschaft auch als selbstständig datenschutzrechtlich Verantwortlicher anzusehen ist. Aus diesem Grunde hafte er auch persönlich für den datenschutzrechtlichen Verstoß.

Das OLG sieht den Geschäftsführer als verantwortlich im Sinne von Art. 4 Nr. 7 DS-GVO an, denn Anknüpfungspunkt für einen Anspruch aus Art. 82 Abs. 1 DS-GVO ist zunächst die „Verantwortlichkeit“. Diese ist immer dann zu bejahen, wenn eine natürliche oder juristische Person alleine oder gemeinsam mit anderen über die Zwecke und die Mittel der Verarbeitung von personenbezogenen Daten entscheiden kann und entscheidet. Damit entfällt zwar in aller Regel die Verantwortlichkeit weisungsgebundener Angestellter oder sonstiger Beschäftigter, für den Geschäftsführer gilt dies allerdings nicht.

Im Rahmen der vorzunehmenden Schadensschätzung sind auchbei Art. 82 DS-GVO allgemein die Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten in die Erwägung mit einzubeziehen.

Nach Erwägungsgrund Nr. 146 der DS-GVO soll der Begriff des Schadens im Lichte der Rechtsprechung des EuGHs weit und auf eine Art und Weise ausgelegt werden, „die den Zielen dieser Verordnung in vollem Umfang entspricht“.

Danach kam das OLG zum Betrag von 5000,-€, der keinen Strafcharakter haben muss.

Praxishinweis: Der  GmbH-Geschäftsführer haftet im Datenschutzrecht als verantwortliche Stelle. Vermeiden Sie offensichtliche Haftungsfälle durch entsprechende Beratung.

FAQ zur Orientierungshilfe Telemedien der Aufsichtsbehörden

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg hat mit Stand März 2022 eine Liste mit FAQ rund um das Thema Cookies und Tracking durch Betreiber von Webseiten und Hersteller von Smartphone-Apps veröffentlicht. Einleitend weist er darauf hin, dass Betreiber von Webseiten oder Hersteller von Apps für mobile Endgeräte (z.B. Smartphone, Tablet) als Verantwortliche sicherstellen müssen, dass bei der Verarbeitung personenbezogener Daten alle Vorgaben der DS-GVO eingehalten werden. Sie sind zugleich Anbieter von Telemediendiensten nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG, hier: § 2 Abs. 2 Nr. 1). Das TTDSG regelt seit dem 1.12.2021 die Nutzung von Cookies und ähnlichen Technologien zum Ablegen oder Auslesen von Informationen auf den Systemen. Solche Technologien werden häufig zur Wiedererkennung von Nutzenden verwendet und sind inzwischen sehr weit verbreitet.

Die Datenschutzkonferenz (DSK) hatte im Dezember 2021 mit der „Orientierungshilfe der Aufsichtsbehörden für die Anbieter:innen von Telemedien (OH Telemedien 2021)“ rechtliche und technische Erläuterungen zur Anwendung der DS-GVO und des TTDSG gegeben.

Mit der FAQ des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg sollen diese Ausführungen unter Einbeziehung konkreter Anwendungsfälle praxisorientiert ergänzt werden.

Er erklärt dabei, dass sich die FAQ im Wesentlichen auf Webseiten bezieht, sinngemäß aber auch für sonstige Telemedien wie Smartphone- und Tablet-Apps, PC-Software oder Geräte aus dem Bereich des Internets der Dinge (Internet of Things, IoT) wie vernetzte Küchengeräte, Lampen, Steuergeräte für Heizungen, Alarmsysteme, Smart-TVs oder vernetzte Fahrzeuge, wenn und soweit diese über entsprechende Kommunikationsfunktionen verfügen, gilt.

Im ersten Abschnitt A werden häufige Fragen in Bezug auf Cookies und Tracking beantwortet. Danach wird ein Überblick zu möglichen datenschutzfreundlicheren Lösungen bei der Einbindung von (Medien-) Inhalten und zur sog. Reichweitenanalyse gegeben. Weiterhin enthält dieses Dokument Hinweise dazu, welche Bedingungeneingehalten werden müssen, wenn Verantwortliche – also die Betreiber von Websites, Apps oder anderen Telemediendiensten – sich dazu entscheiden, Verarbeitungen oder Techniken zu nutzen, die Einwilligungen erfordern. Anschließend wird in den Abschnitten B und C anhand von typischen, in der Prüfpraxis häufig auftretenden Standardfehlern dargestellt, wie eine Umsetzung in der Praxis nicht erfolgen darf.

Weitere Informationen sind der Orientierungshilfe (OH Telemedien 2021) zu entnehmen.

Diese FAQ ersetzt die FAQ zu Cookies und Tracking in Version 1.0.1 vom 29. April 2019 unter www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2019/04/FAQ-zu-Coo-kies-und-Tracking.pdf vollständig.

[Quelle: PM Landesbeauftragter für Datenschutz und Informationsfreiheit Baden-Württemberg vom 4.3.2022]

Praxishinweis: Die Regelungen des am 1.12.2021 in Kraft getretenen TTDSG in Bezug auf Cookies und wirksame Einwilligungen tragen u.a. der Rechtsprechung des EuGHs und des BGHs Rechnung. Für alle nicht zum Seitenbetrieb erforderlichen Cookies muss eine aktive Einwilligung eingeholt werden.

Gesetzentwurf zum Schutz vor digitalem Hausfriedensbruch

Der Bundesrat möchte Computer und IT-Systeme besser vor Hackerangriffen und unbefugter Benutzung schützen. Am 11. März 2022 beschloss er, einen Gesetzentwurf zur wirksameren Bekämpfung von Cyberkriminalität erneut in den Deutschen Bundestag einzubringen.

Neuer eigener Straftatbestand

Der Entwurf enthält einen ganz neuen Straftatbestand: Den "digitalen Hausfriedensbruch". Die Vorschrift stellt den unerlaubten Zugriff auf fremde Computer, Smartphones, Webcams und Navigationssysteme mit einem Freiheitsentzug von bis zu zehn Jahren unter Strafe. Die Regelung ist bewusst technikoffen formuliert, um sie auch in Zukunft gut handhaben zu können. Ziel ist ein lückenloser strafrechtlicher Schutz aller Systeme und die Strafbarkeit nahezu aller Angriffsarten.

Vernetzter Alltag birgt Gefahren

Die bestehenden Strafvorschriften sind nach Ansicht der Länder nicht geeignet, die modernen Erscheinungsformen der Kriminalität in der digitalen Welt zu erfassen. So werden derzeit nur Daten geschützt, nicht aber IT-Systeme selbst. Gegen die massenhaften unbemerkten Infiltrationen durch Botnetze und Schadsoftware, DDos-Attacken und das Ausspähen von Daten durch international agierende Cyber-Kriminelle können sich selbst aufmerksamste Nutzer nicht wehren. So geht die Entwurfsbegründung davon aus, dass bis zu 40 Prozent aller internetfähigen informationstechnischen Systeme in Deutschland mit Schadsoftware verseucht sind. Die neue Strafvorschrift soll vor allem auch Bürgerinnen und Bürger schützen, die keine Technik-Experten sind.

Nach wie vor Handlungsbedarf

Der Entwurf entspricht wortgleich einem Vorschlag, den der Bundesrat 2016 und 2018 schon einmal in den Bundestag eingebracht hatte (338/16 (B) [PDF, 115KB]). Weil dieser ihn beide Male nicht aufgegriffen hat, fiel er jeweils mit Ende der Legislaturperiode in die Diskontinuität. Der Bundesrat hält jedoch an seiner Forderung fest und bringt seinen Gesetzentwurf nun zum dritten Mal in den Bundestag ein.

Zeitplan noch nicht absehbar

Zunächst befasst sich die Bundesregierung mit dem Vorschlag. Sie leitet ihn innerhalb von sechs Wochen an den Bundestag zur Entscheidung weiter. Wann dieser über den Gesetzentwurf berät, ist noch nicht absehbar: Es gibt keine festen Fristvorgaben.

[Quelle: Pressemitteilung des BR v. 11.03.2022]

Datenschutz zum Feierabend – Save the Date

Wir bieten Ihnen am 12.05.2022 das nächste "Datenschutz-Update", um Sie kurz und knackig über aktuelle Neuerungen auf dem Laufenden zu halten.

In unserer Online-Reihe "Datenschutz zum Feierabend" sind wir regelmäßig zur besten Nachmittagszeit im Gespräch mit Ihnen und unserem erfahrenen Expertenteam.

Nach den erfolgreichen Veranstaltungen wird unser Experte Christopher Pröpper am 12. Mai 2022 pünktlich um 16.00 Uhr das nächste aktuelle Thema für Sie aufbereiten.

Nutzen Sie diese Gelegenheit, um Praxistipps für Ihren Arbeitsalltag mitzunehmen!

Eckdaten der Veranstaltung:

• Termin: Donnerstag, 12. Mai2022, 16.00 Uhr bis ca. 16.45 Uhr
• ab 15.50 Uhr:  Eintreten in den virtuellen Veranstaltungsraum (via ZOOM)
• Begrüßung durch unseren Experten Christopher Pröpper - Wirtschaftsjurist und zertifizierter Datenschutzbeauftragter
• Kurzvortrag und Fragerunde zu datenschutzrechtlichen Themen und Diskussion

Die Einladung erhalten Sie rechtzeitig!

Die Präsentation der letzten Veranstaltung " Auskunftsanspruch im Datenschutz  – Das müssen Unternehmen wissen!"  finden Sie hier:

>> Präsentation 3. März 2022 <<

Datenschutz: Schulung Ihrer Mitarbeiter mit AGAD E-Learning

Nachdem unser erstes Modul "Grundlagen im Datenschutzrecht" von den Unternehmen durchweg positiv angenommen wurde, haben wir bekanntlich ein Ergänzungsmodul erarbeitet. Das „Vertiefungsmodul I“ bildet einen Querschnitt der Bereiche, die immer noch die größte Rechtsunsicherheit im täglichen Umgang mit personenbezogenen Daten bereiten.

Dieses erste Vertiefungsmodul behandelt Fragen zum Marketing und der Erhebung von Kundendaten Es soll die Mitarbeiter auf die Notwendigkeit der unverzüglichen Meldung von Datenzwischenfällen und die zügige Reaktion auf Auskunftsersuchen sensibilisieren.

Am bewährten Ablauf hat sich nichts geändert: Der Mitarbeiter absolviert einen Multiple Choice Test, der abhängig vom Wissensstand ungefähr 20-30 Minuten Zeit in Anspruch nimmt.

Nach erfolgreichem Bestehen wird ein Zertifikat generiert, welches in die Personalakte des Mitarbeiters genommen werden kann und als Schulungsnachweis dient.

Das Ergänzungsmodul steht in Kürze zur Verfügung und kann zu den bekannten Konditionen gebucht werden. Sprechen Sie uns an!

Zurück