Leistungen

Datenschutz – Pflicht oder Kür?

Mit der Entwicklung immer moderneren Informationstechnologien erkannten die Gesetzgeber die Notwendigkeit, die Verarbeitung von personenbezogenen Daten rechtlich zu regeln. Am 25.Mai 2018 trat neben dem Bundesdatenschutzgesetz (BDSG) die EU-Datenschutz-Grundverordnung (DSGVO) in Kraft. Mit dieser europaweit geltenden Verordnung werden die Persönlichkeitsrechte aller EU-Bürger noch mehr gestärkt. Auf die Unternehmen und die verantwortlichen Stellen kommen jedoch neue Anforderung im Zusammenhang mit der Umsetzung zu. Es ist sowohl eine Pflicht als auch eine Kür, denn eine Missachtung der Vorgaben kann hohe Strafen und dadurch ein Imageverlust nach sich ziehen.

Wir unterstützen mit unserem Know-how interne Datenschutzbeauftragte bzw. Datenschutzverantwortliche und betreuen Unternehmen als externe Datenschutzbeauftragte.

Datenschutzberatung

Eine gute Datenschutzberatung geht weit über die DSGVO und das BDSG hinaus. Unternehmen und Vereineunterliegen heute einer Vielzahl von Gesetzen, wie z.B. dem Sozialgesetzbuch (SGB), dem Telekommunikationsgesetz (TKG), dem Telemediengesetz (TMG) und dem Gesetz gegen den unlauteren Wettbewerb (UWG). Jede Branche hat zudem noch spezifische Gesetze und Regelungen zu beachten, z.B. im Gesundheitswesen, im Bildungssektor, in der Hotellerie oder bei Online-Dienstleistungen im In- und Ausland. Insbesondere für kleine und mittelständische Unternehmen ist es schwierig, diese komplexen Anforderungen zu durchschauen und in ihren Arbeitsprozessen zu berücksichtigen.

Als zertifizierte Datenschutzbeauftragte beraten wir individuell und praxisorientiert. Unsere Kunden profitieren aus der Erfahrung aus unserer Beratungstätigkeit seit 2006 in der Datenschutzberatung in den unterschiedlichsten Branchen.

UNSERES LEISTUNGEN IM ÜBERBLICK

  • Datenschutzanalyse – Aufnahme des Istzustandes
  • Erstellung eines Umsetzungskonzeptes
  • Aufbau und Pflege eines Zentralen Datenschutzmanagement Systems (ZDMS)
  • Erstellung von relevanten Richtlinien und Vereinbarungen
  • Vertretung bei Kontrollen durch die Datenschutzaufsichtsbehörde
  • Bereitstellung eines Online-Schulungstools für die Grundschulung Datenschutz und andere Themen
  • Schulung der Mitarbeiter vor Ort
  • Führen des Verzeichnisses für Verarbeitungstätigkeiten
  • Vertragsgestaltung/-ergänzung mit Dienstleistertern im Rahmen der Datenverarbeitung im Auftrag
  • Durchführung der Schutzbedarfsfeststellungen, Risikobewertungen und Datenschutz-Folgenabschätzungen
  • Durchführung von internen Datenschutzaudits
  • Beratung zu einschlägigen und relevanten Rechtsvorschriften (keine Rechtsberatung im juristischen Sinne)
  • Beratung über technische und organisatorische Maßnahmen
  • Prüfung der Anfragen von Betroffenen (Auskunft, Löschung, Widerspruch)
  • Bearbeitung Datenschutzbeschwerden und Datenpannen
  • Coaching interner Datenschutzbeauftragter

Datenschutzaudits

Der Umgang mit Kunden- und Mitarbeiterdaten ist für jedes Unternehmen, ob klein oder groß, ein heikles Thema. Welche Daten dürfen erfasst und wie lange dürfen diese gespeichert werden? Wie müssen sie vor Unbefugten geschützt werden? Es gibt viele Punkte zu beachten, die der Gesetzgeber vorgibt.

Um Ihnen die notwendige Sicherheit zu geben, welche Vorgaben Sie bereits im Unternehmen zum Thema Datenschutz umgesetzt haben und wo sich vielleicht noch Schwachstellen befinden, bieten wir Ihnen ein Datenschutzaudit zur Überprüfung der internen Vorgaben in Ihrem Hause oder bei Ihren Dienstleistern im Rahmen der Kontrollpflichten nach Art. 28 Abs. 3 lit. h DSGVO an.

Wir ermitteln für Ihr Unternehmen und Ihre Dienstleister einen Datenschutzstatus für sämtliche Verfahren bzw. Produkte. Mit ihm erkennen wir einen möglichen Handlungsbedarf. Nach erfolgter Prüfung erhalten Sie einen Bericht, den Sie als Nachweis verwenden können. Im Zuge einer kontinuierlichen Evaluierung kann der Datenschutzbeauftragte oder die IT-Abteilung Maßnahmen ergreifen, welche die Verarbeitung der Ihnen anvertrauten, personenbezogenen Daten verbessern.

Die Vorbereitung eines Datenschutzaudits lässt sich – ohne Anspruch auf Vollständigkeit – mit Hilfe von vier Leitfragen vereinfachen:

  • In welchen Verfahren werden welche personenbezogenen Daten für welchen Zweck erhoben, verarbeitet oder genutzt?
  • Wer ist gegenüber den Betroffenen sowie innerhalb der Organisation für die Datenverarbeitung und seine Datenschutzkonformität verantwortlich?
  • Entspricht das Verfahren seiner Dokumentation? Ist das Datenschutz- und Sicherheitskonzept nachvollziehbar und implementierbar?
  • Auf welcher Rechtsgrundlage erfolgt die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten und werden die entsprechenden Anforderungen erfüllt?

Durch eine zielorientierte Umsetzung reduzieren Sie das Risiko, sensible Daten zu verlieren, einen Imageverlust zu erleiden oder gar verklagt zu werden.

Datenschutzlösungen

Schon zu alten BDSG-Zeiten ging es um die Technischen und organisatorischen Maßnahmen, kurz TOMs genannt. Das Thema ist nicht neu. Die Anforderungen spiegeln sich vor allem in der DSGVO unter Artt. 5, 25 und 32 wider – und das nicht ohne Grund. Softwarelösungen helfen uns, die Datenverarbeitung sicher zu gestalten, unabhängig ob es sich um personenbezogene oder betriebliche Daten handelt. Während Art. 25 DSGVO den Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen regelt, fordert Art. 32 DSGVO von uns Instrumente zu implementieren, welche die Sicherheit in der Verarbeitung von Daten gewährleistet.

Als externe Datenschutzbeauftragte prüfen wir die Software- und Systemanwendungen für unsere Kunden und bewerten diese unter datenschutzrechtlichen Aspekten. Zudem organisieren wir unsere tägliche Arbeit in einem eigenen System und erfüllen die Anforderungen der Dokumentations- und Nachweispflicht, welche die DSGVO jedem Unternehmen auferlegt.

Nachfolgend gehen wir sowohl auf unsere eigenen Lösungen als auch auf Lösungen anderer Anbieter ein, welche wir zum größten Teil auch selber nutzen.

Unsere eigenen Lösungen

Unsere Datenschutzmanagement Software (ZDMS)

Um den Dokumentations- und Nachweispflichten für unsere Kunden, aber auch eigenen Tätigkeiten gerecht zu werden, haben wir uns ein eigenes Datenschutzmanagement System auf der Basis einer Ninox Datenbank entwickelt.

Das selbst entwickelte Tool bietet uns die Möglichkeit, das System ohne große Programmierkenntnisse individuell auf unsere Bedürfnisse anzupassen bzw. zu erweitern. Unsere Kunden können individuell eingebunden werden, da unser ZDMS mandantenfähig ist. Uns ermöglicht die zentrale Datenverwaltung, unabhängig von Exceldateien und Dateiablagen auf Fileservern oder Cloudsysteme, effizient zu arbeiten und Synergieeffekte zu nutzen.

Wir bieten unsere Softwarelösung gern anderen Unternehmen an, die sich für eine Datenschutzmanagement Softwarelösung interessieren.

Mehr erfahren Sie hier.

Unsere Onlineschulung zum Datenschutz

Um unabhängig von Zeit und Ort Schulungen zum Datenschutz für die Beschäftigten unserer Kunden anbieten zu können, haben wir uns eine eigene Lösung für Onlineschulungen programmieren lassen. Wir wissen, dass Schulungen vor Ort unentbehrlich sind, aber nicht immer können alle Beschäftigten daran teilnehmen. Zudem gestaltet es sich schwer, neue Mitarbeiter zeitnah zum Thema Datenschutz zu sensibilisieren. Genau für diese Situationen bietet sich unsere Lösung an.

Unsere Beratungsleistung zum Datenschutz als externe Datenschutzbeauftragte beinhaltet das Onlineschulungstool. Allerdings kommen immer mehr Unternehmen auf uns zu. Auch diese können das Tool nutzen.

Wenn Sie sich für unsere Onlineschulung interessieren, erfahren Sie hier mehr.

Lösungen von anderen Anbietern

E-Mail-Verschlüsselung

E-Mail-Verschlüsselung im Bereich von klein- und mittelständische Unternehmen stellte sich bisher als recht umständlich heraus. Die einfachste Lösung ist eine Datei oder einen Container (ZIP-Datei) zu verschlüsseln. Allerdings ist dann noch nicht der Inhalt der E-Mail verschlüsselt. Im nächsten Schritt bietet sich eine End-zu-End-Verschlüsselung mit Zertifikaten wie S/MIME oder PGP an. Das generieren der Zertifikate und der Austausch mit den Kommunikationspartnern stellt sich aber als recht kompliziert da. Auch wir hatten hier so unsere Herausforderungen. Dann lernten wir REDDCRYPT, ein Produkt der REDDOXX GmbH kennen und waren von der einfachen Handhabung begeistert.

Eine Registrierung mit E-Mail-Adresse und Passwort reichte aus, es konnte auf der Weboberfläche oder in einer App fürs Smartphone losgehen. Für die betriebliche Nutzung konnten wir ein Outlook Plugin installieren. Die Kosten halten sich im Rahmen und sind auf jeden Fall ihr Geld wert.

5 Sterne von uns

Passwortmanager

Wir predigen immer ein gutes Passwortmanagement. Mindestens 12 Stellen, Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen. Dann soll noch für jeden Account ein separates Passwort vergeben werden. Da kann man schnell den Überblick verlieren.

Auf der Suche nach geeigneten Passwortmanagern, ohne die ist ein gutes Passwortmanagement nicht möglich, haben wir kostenfreie und kostenpflichtige Tools getestet. Dabei haben wir im betrieblichen Bereich ein Augenmerk auf die Administration gelegt. In vielen Firmen nutzen zum Teil mehrere Mitarbeiter dieselben Zugangsdaten in Onlineportalen, haben aber auch ihre eigenen Passwörter. Gemeinsam genutzte Passwörter sollten aber nicht von jedem Mitarbeiter gesehen werden, um einen Missbrauch zu vermeiden. Auch das zuverlässige, selbstständige Ausfüllen der Zugangsdaten auf der Webseite stellt einige Passwortmanager vor Herausforderungen. Mit Keeper haben wir einen Passwortmanager gefunden, welcher unsere Bedürfnisse erfüllt und den wir gerne weiterempfehlen.

5 Sterne von uns

Unser Datenschutzpaket für klein- und mittelständische Unternehmen und Einrichtungen

Auch für kleine Unternehmen, Verbände, Arztpraxen, Apotheken, Onlineshops etc., die keinen Datenschutzbeauftragten seitens der Gesetzgebung benötigen, gilt die DSGVO im vollen Umfang. Insbesondere wo sensible und vertrauliche Daten verarbeitet werden, bspw. Gesundheits- oder Zahlungsdaten, sollte sich die Unternehmensleitung oder der Inhaber mit der Thematik Datenschutz genauer auseinandersetzen. Das ist oft nicht leicht, denn ohne einen Lehrgang zum Datenschutz ist es nahezu unmöglich, die Tragweite der Anforderungen, die sich aus der DSGVO, dem BDSG und anderen Gesetzen ergeben, zu erfassen.

Unser Know-how möchten wir gern weitergeben, um Ihnen das Leben in Hinblick Datenschutz zu erleichtern. Für ausgewählte Branchen, in welchen wir selbst beratend tätig sind, haben wir individuelle Pakete mit branchenspezifischen Vorlagen geschnürt. Die Verantwortung bleibt weiter bei Ihnen, im Aufbau einer Datenschutzorganisation nach den Vorstellungen der Gesetzgebung können wir Sie unterstützen.

Mehr zu den Branchenlösungen und Preisen erfahren Sie hier.

UMFANG

Grundpaket

  • individueller Account auf unser Datenschutz-Management-System
  • individueller Account auf unser Onlineschulungstool zum Datenschutz
  • Bereitstellung von branchenspezifischen Unterlagen (Richtlinien, Arbeitsanweisungen, Vereinbarungen, …) als Entwurf
  • branchenspezifische Vorlagen für Verzeichnis für Verarbeitungstätigkeiten
  • Verzeichnis zu branchenspezifische Auftragsdatenverarbeiter

optional

  • Webseiten-Check inkl. Prüfung/Anpassung Datenschutzerklärung
  • Bereitstellung eines Consent Manager Tools (umgangssprachlich Cookiebanner) für die eigene Webseite (über Kooperationspartner)
  • individuelle Beratung zu Datenschutzthemen auf Anfrage (Probleme, die Sie nicht lösen können oder wollen) via Telefon oder Video
  • Durchführung von Datenschutzaudits vor Ort inkl. Bericht

Das EDPD gibt Empfehlungen zu den neuen Standardvertragsklauseln und dem Drittlandverkehr im Allgemeinen heraus.

Die EU-Kommission hat am 04.06.2021 neue Standardvertragsklauseln für den internationalen Datentransfer (auch “Standard Contractual Clauses” – kurz ‚SCC’) angenommen und veröffentlicht. Bei den SCC handelt es sich um Musterverträge, die eine geeignete Garantie nach Art. 46 DSGVO für den Transfer von personenbezogenen Daten in Drittstaaten darstellen können.

Neu an den SCC ist vor allem der Aufbau. Verschiedene Varianten des Datentransfers finden sich in 4 Modulen wider:

  1. Modul 1: Übermittlung von personenbezogenen Daten zwischen zwei Verantwortlichen
  2. Modul 2: Übermittlung von personenbezogenen Daten vom Verantwortlichen an den Auftragsverarbeiter
  3. Modul 3: Übermittlung von personenbezogenen Daten zwischen zwei Auftragsverarbeitern
  4. Modul 4: Übermittlung von personenbezogenen Daten vom Auftragsverarbeiter an den Verantwortlichen

Ebenfalls neu ist die Pflicht zur Durchführung einer Risiko-Analyse zur Ermittlung weiterer zusätzlicher Sicherheitsmaßnahmen. Bis Dezember 2022 müssen bestehende SCC erneuert werden. Neue Verträge dürfen ab dem 27.09.2021 nur noch mit den neuen SCC abgeschlossen werden. In allen Fällen ist eine Risikoanalyse vorzunehmen.

Um welche Datenübertragung handelt es sich?  – Begriffsbestimmungen              

  • Drittland – Länder außerhalb der EU/EWR, die nicht unter den Angemessenheitsbeschluss fallen, z.B. USA, China, Russland, Indien
  • Drittland Übertragung – jeglicher Datenverkehr zwischen der EU/EWR und Drittländern oder Zugriff auf Daten von einem Drittland aus. Das betrifft auch Dienstleister mit Sitz im Drittland und Serverstandort in der EU/EWR, wie z.B. Amazon AWS oder Microsoft
  • Subunternehmen – Verwenden Dienstleister weitere Subunternehmen für die Datenverarbeitung, sind auch diese in die Prüfung einzubeziehen und mit Hilfe geeigneter Garantien (Verträge, Sicherheitsmaßnahmen) abzusichern.

Was ist nun zu tun?  – Empfehlungen des EDPB         

Das EDPB hat am 18.06.2021 Empfehlungen zu Maßnahmen, die die Transfer-Tools gem. Art. 46 DSGVO ergänzen, veröffentlicht, um die Einhaltung des EU-Schutzniveaus für personenbezogene Daten zu gewährleisten (Empfehlungen EDPB). Die Empfehlungen beinhalten folgende Schritte, die durchgeführt werden müssen, um einen Datentransfer in ein Drittland zu ermöglichen.

Step 1 – Datentransfer kennen

Mit Hilfe des Verzeichnisses für Verarbeitungstätigkeiten lassen sich die Datentransfers in Drittländern herausfinden. Daher ist folgendes erforderlich:

  • Aktualisierung und Ergänzung der Verfahrensbeschreibungen
  • Auflistung aller Empfänger (Dienstleister und Systeme) pro Verfahren
  • Auflistung der Datenarten und betroffenen Personen

Step 2 – Garantien gem. Art. 46 DSGVO

Prüfung der Verträge mit den Dienstleister:

  • Aktualisierung und Ergänzung der Übersicht der Dienstleister
  • Prüfung der vorhandenen Verträge mit den Dienstleistern
  • Ermittlung Serverstandorte bzw. Speicherorte der Daten

Step 3 – Risikoanalyse bzw. Schutzbedarfsermittlung

Zu jedem Verfahren ist eine Schutzbedarfsermittlung durchzuführen:

  • Übernahme der Verfahren in die Risikoanalyse (z.B. mit Hilfe unseres Datenschutztools ZDMS)
  • Ermittlung des Risikos für die Betroffenen
  • Prüfung möglicher Alternativen zu den Dienstleistern mit Datenverarbeitung innerhalb der EU
  • Prüfung und Dokumentation bereits bestehender ergänzender Sicherheitsmaßnahmen seitens der Dienstleister
  • Ermittlung der gesetzlichen Vorgaben zum Datenschutz im Drittland (z.B. über Abfragen beim Dienstleister)

Step 4 – Implementierung zusätzlicher Sicherheitsmaßnahmen

Je nach Ausgang der Risikoanalyse sind weitere Sicherheitsmaßnahmen erforderlich:

  • Umsetzung technischer Maßnahmen: z.B. Verschlüsselung, Pseudonymisierung
  • Umsetzung organisatorischer Maßnahmen: z.B. Richtlinien und Polycies zum Datentransfer
  • Umsetzung vertraglicher Maßnahmen (zusätzliche Vereinbarung zu den SCC): z.B. Verpflichtung zur Implementierung von techn. Maßnahmen, Transparenzvorgaben

Step 5 – Evaluierung in regelmäßigen Abständen

Eine Überprüfung der Voraussetzungen für den Datentransfersowie der vertraglichen und technischen Gestaltung istregelmäßig erforderlich:

  • Prüfung der Gesetzgebung im Drittland zum Datenschutz
  • Prüfung der vertraglichen Gestaltung
  • Prüfung der zusätzlichen Sicherheitsmaßnahmen in Bezug auf Stand der Technik und Risikobewertung

Weitere aktuelle Informationen zum Drittlandtransfer finden Sie hier. Bei Fragen zum Thema Privacy Shield oder insgesamt zum Datenschutz können Sie sich an uns wenden. Wir beraten Sie gern! Kontakt

 

Datenübermittlung nach Großbritannien

Wir möchten Ihnen einen Ausblick auf die künftige Übermittlung von personenbezogenen Daten ins Vereinigte Königreich Großbritannien geben.

Am 31. Januar 2020 ist das Vereinigte Königreich Großbritannien aus der EU ausgetreten. Aus der Sicht der DSGVO sind alle Länder außerhalb der EU und des Europäischen Wirtschaftsraumes (kurz EWG) sog. „Drittländer“. Jedoch wurde für das Vereinigte Königreich Großbritannien eine Übergangsphase bis zum 31.Dezember 2020 für die Datenübermittlung eingeräumt. Mit dem am 24.12.2020 abgeschlossenen Handelsabkommen wurde eine weitere Übergangsfrist bis April 2021 mit Verlängerungsoption bis Ende Juni 2021 vereinbart. Innerhalb dieser Frist ändert sich nichts.

Mit Ablauf der Übergangsfrist bestehen für die Datenübermittlung folgende Möglichkeiten:

  • Das Vereinigte Königreich Großbritannien erhält einen Angemessenheitsbeschluss nach Art. 45 Abs. 3 DSGVO der EU-Kommission
  • die Datenübermittlung erfolgt auf Grundlage des Abschlusses von Standartschutzklauseln

Bei folgenden Voraussetzungen darf die Datenübermittlung ausnahmsweise auch ohne die erforderlichen Garantien erfolgen:

  • wirksame Einwilligung der betroffenen Person
  • Erforderlichkeit zur Vertragserfüllung
  • wichtige Gründe des öffentlichen Interesses
  • Verfolgung von Rechtsansprüchen
  • Schutz lebenswichtiger Interessen
  • Wahrung zwingender berechtigter Interessen

Ob in der Kürze der Übergangsphase ein Angemessenheitsbeschluss der EU-Kommission umgesetzt werden kann, ist sehr fraglich. Davon auszugehen bleibt für die Datenübermittlung, wenn nicht ein Ausnahmetatbestand Rechtsgrundlage bildet, nur der Abschluss von Standartschutzklauseln.

Was ist nun von der verantwortlichen Stelle zu unternehmen:

  1. Überprüfung des Verzeichnisses für Verarbeitungstätigkeiten, welche personenbezogenen Daten nach Großbritannien übermittelt werden und wer Zugriff auf diese Daten hat.
  2. Schaffung von rechtlichen Grundlagen für die Datenübermittlung (z.B. Standartschutzklauseln, freiwillige Einwilligung nach Art. 7 DSGVO).
  3. Einholung von Informationen von den Unternehmen mit Sitz im Drittland über geeignete Garantien (Standartschutzklauseln und Datenschutzkonzepte).
  4. Anpassung Ihrer Datenschutzerklärungen (Hinweis der Rechtsgrundlage der Datenübermittlung in ein Drittland mit Aufzeichnung der Garantien).
  5. Hinweisblätter zur Erfüllung der Informationspflichten gem. Art. 13 und 14 DSGVO sind anzupassen.
  6. Überprüfung der Erforderlichkeit einer Datenschutz-Folgenabschätzung

Jede verantwortliche Stelle, die personenbezogene Daten aus einem Mitgliedstaat der EU in das Vereinigte Königreich Großbritannien übermittelt, muss rechtliche Vorkehrungen treffen, um die Einhaltung des Datenschutzrechts gewährleisten zu können,

Die Schaffung geeigneter Garantien ist in der Regel mit einem größeren Aufwand verbunden. Liegen diese nicht vor, wenn das Vereinigte Königreich Großbritannien Drittland ist, liegt bei jeder Datenübermittlung ein Verstoß gegen Art. 5 Abs. 1 lit. a in Verbindung mit Art. 44 DS-GVO vor, der durch die zuständige Datenschutzaufsichtsbehörde mit der Ausübung von Befugnissen bis hin zur Verhängung von Geldbußen geahndet werden kann.

Wir unterstützen und beraten unsere Kunden natürlich sehr gern auch zu diesem Thema. Kontakt

Cookies und Trackingdienste werden vom EuGH gefressen

Am 01.10.2019 hat der Europäische Gerichtshof (EuGH) ein Grundsatzurteil zur Verwendung von Cookies getroffen. Demnach ist der Einsatz von „nicht notwendigen Cookies“ nur noch mit einer aktiven Einwilligung gestattet. Sowohl die gewöhnlichen Cookie-Banner mit Bestätigung der Kenntnisnahme zur Verwendung von Cookies als auch mit einem Haken voreingestellte Consent-Lösungen sind ab sofort unzulässig!

WICHTIG Werbe- und Tracking-Cookies dürfen nicht schon aktiv sein bzw. gespeichert werden, bevor der Webseitenbesucher sich gegen deren Verwendung entscheiden kann. Vielmehr muss der Webseitenbesucher aktiv einwilligen.

Das Urteil hat zur Folge, dass es zukünftig für das Marketing sehr schwer wird, Onlinemarketing zu betreiben. Webseitenbesuche werden zusätzlich nur noch schwer auswertbar sein. In jeder schlechten Nachricht, hier insbesondere für die Marketingabteilung, ist aber auch etwas Positives zu finden. Als Datenschützer sehen wir den Betrieb von Webseiten immer als kritisch an. Durch die eingesetzten Tracking-Scripte wie Google Analytics oder Google Ad war es bisher dem Datensammler Google möglich, ein sehr detailliertes Persönlichkeitsprofil von Nutzern zu erstellen; besser als jeder Geheimdienst. Google stellt zwar Tools zur Abwehr dieser Dienste bereit, kaum einer kennt aber diese. Nun werden Datensammler zukünftig in Europa nicht mehr so einfach an die Nutzerdaten Unwissender herankommen. Unsere Persönlichkeitsrechte werden aktiv gestärkt, dass werden auch die Richter am EuGH im Hinterkopf gehabt haben, als sie das Urteil sprachen.

Keine Einwilligung bei vorangekreuzter „Checkbox“

Das Problem: Der Otto-Normalwebseitenbesucher erkennt nicht, dass im Hintergrund Daten über ihn gesammelt und ausgewertet werden, dass Profile über ihn erstellt, ausgewertet und ggf. weiterverkauft werden, um direkten Einfluss auf seine Entscheidungen zu nehmen. Hinzu kommt, dass diese Datensammlung nur über Advertising-Tools von weiteren Drittanbieter, wie Google Ad, angeboten werden, die somit ebenfalls Daten erhalten und nutzen.

Die Antworten des EuGHs auf die aktuelle Geschäftspraxis fielen deutlich aus. Da die Vorgaben der DSGVO zur Einwilligung in die Datenspeicherung, -übermittlung und -auswertung durch Dritte insbesondere ein aktives Verhalten voraussetzen und eine „Nichthandlung“ keine Einwilligung darstellen kann, war es eigentlich klar, dass der EuGH in einer vorangekreuzten Checkbox oder in einem Cookie-Banner ohne Entscheidungsmöglichkeiten keine wirksame Einwilligung erkennen kann.

15 Abs. 3 TMG ist nicht mehr anwendbar!

Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden.

Empfehlung zu Software-Produkten

Es gibt zahlreiche Anbieter für Consent-Lösungen. Zur Umsetzung der Erfordernisse können Sie sich mal das Tool von

Comply: https://comply-app.com/features/consent-management

Cookiebot: https://www.cookiebot.com/de/

Usercentrics: https://usercentrics.com oder

Consentmanager.net: https://www.consentmanager.net ansehen.

Hohe Bußgelder für zu geringe IT-Sicherheit

Der Hotelkette Marriott droht ein hohes Bußgeld im dreistelligen Millionenbereich wegen Verstoß gegen die EU Datenschutz-Grundverordnung (DSGVO). Bei Marriott ist Ende 2018 ein Hack bekanntgeworden, der Daten von vermutlich 339 Millionen Kunden betraf. Im November 2018 hatte der Hotelkonzern eingestanden, dass Dritte unerlaubt auf die Reservierungsdatenbank der Marriott-Tochterfirma Starwood zugegriffen haben. Größtenteils seien nur Daten wie Namen und Adressinformationen abgegriffen worden, aber in einigen Fällen auch vertrauliche Daten wie Pass- und Kreditkartennummern, teilweise sogar unverschlüsselt.

Das Unternehmen hat nach Ansicht der zuständigen Aufsichtsbehörde gegen den Grundsatz verstoßen, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn eine angemessene Sicherheit dieser gewährleistet wird. Hierfür sollen insbesondere geeignete technische und organisatorische Maßnahmen eingesetzt werden, um vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust zu schützen. Die technischen und organisatorischen Maßnahmen der genannten Unternehmen sind demnach nicht ausreichend gestaltet worden, um solch einem Risiko entsprechend entgegenzuwirken.

Den Vorfall möchten wir gern zum Anlass nehmen, das Thema „Passwortmanagement“ aufzugreifen. Die Umsetzung der internen Vorgaben; für jedes System ein anderes, mind. 12-stelliges, komplexes Passwort zu verwenden, endet zumeist in der Erfassung von Zugangsdaten in einer Excelliste. Da sowohl die Passwortlisten in Papier als auch als Excel- oder Worddateien nicht den Sicherheitsanforderungen entsprechen, die Vertraulichkeit der Zugangsdaten sicherzustellen, möchten wir den Einsatz eines Passwortmanagers nahelegen.

Der Vorfall in der Hotelkette Marriott lässt vermuten, dass auch hier ein schlechtes Passwort­management die Ursache war. Bei einem Verlust der Vertraulichkeit von Kundendaten inkl. Zahlungsdaten durch einen Missbrauch von Passwörtern hätten Sie auch in Deutschland gegenüber den Aufsichtsbehörden nur wenig Argumente, wenn nicht die technischen Lösungen genutzt werden, die es auf dem Markt gibt.

Empfehlung zu Softwareprodukten

Wir empfehlen derzeit nachfolgende Passwortmanager, da in diesen eine Benutzerverwaltung integriert ist, die es ermöglicht, dass Anwender die Passwörter nicht im Klartext lesen können: