Leistungen

Datenschutz – Pflicht oder Kür?

Mit der Entwicklung immer moderneren Informationstechnologien erkannten die Gesetzgeber die Notwendigkeit, die Verarbeitung von personenbezogenen Daten rechtlich zu regeln. Am 25.Mai 2018 trat neben dem Bundesdatenschutzgesetz (BDSG) die EU-Datenschutz-Grundverordnung (DSGVO) in Kraft. Mit dieser europaweit geltenden Verordnung werden die Persönlichkeitsrechte aller EU-Bürger noch mehr gestärkt. Auf die Unternehmen und die verantwortlichen Stellen kommen jedoch neue Anforderung im Zusammenhang mit der Umsetzung zu. Es ist sowohl eine Pflicht als auch eine Kür, denn eine Missachtung der Vorgaben kann hohe Strafen und dadurch ein Imageverlust nach sich ziehen.

Wir unterstützen mit unserem Know-how interne Datenschutzbeauftragte bzw. Datenschutzverantwortliche und betreuen Unternehmen als externe Datenschutzbeauftragte.

Datenschutzberatung

Eine gute Datenschutzberatung geht weit über die DSGVO und das BDSG hinaus. Unternehmen und Vereineunterliegen heute einer Vielzahl von Gesetzen, wie z.B. dem Sozialgesetzbuch (SGB), dem Telekommunikationsgesetz (TKG), dem Telemediengesetz (TMG) und dem Gesetz gegen den unlauteren Wettbewerb (UWG). Jede Branche hat zudem noch spezifische Gesetze und Regelungen zu beachten, z.B. im Gesundheitswesen, im Bildungssektor, in der Hotellerie oder bei Online-Dienstleistungen im In- und Ausland. Insbesondere für kleine und mittelständische Unternehmen ist es schwierig, diese komplexen Anforderungen zu durchschauen und in ihren Arbeitsprozessen zu berücksichtigen.

Als zertifizierte Datenschutzbeauftragte beraten wir individuell und praxisorientiert. Unsere Kunden profitieren aus der Erfahrung aus unserer Beratungstätigkeit seit 2006 in der Datenschutzberatung in den unterschiedlichsten Branchen.

UNSERES LEISTUNGEN IM ÜBERBLICK

  • Datenschutzanalyse – Aufnahme des Istzustandes
  • Erstellung eines Umsetzungskonzeptes
  • Aufbau und Pflege eines Zentralen Datenschutzmanagement Systems (ZDMS)
  • Erstellung von relevanten Richtlinien und Vereinbarungen
  • Vertretung bei Kontrollen durch die Datenschutzaufsichtsbehörde
  • Bereitstellung eines Online-Schulungstools für die Grundschulung Datenschutz und andere Themen
  • Schulung der Mitarbeiter vor Ort
  • Führen des Verzeichnisses für Verarbeitungstätigkeiten
  • Vertragsgestaltung/-ergänzung mit Dienstleistertern im Rahmen der Datenverarbeitung im Auftrag
  • Durchführung der Schutzbedarfsfeststellungen, Risikobewertungen und Datenschutz-Folgenabschätzungen
  • Durchführung von internen Datenschutzaudits
  • Beratung zu einschlägigen und relevanten Rechtsvorschriften (keine Rechtsberatung im juristischen Sinne)
  • Beratung über technische und organisatorische Maßnahmen
  • Prüfung der Anfragen von Betroffenen (Auskunft, Löschung, Widerspruch)
  • Bearbeitung Datenschutzbeschwerden und Datenpannen
  • Coaching interner Datenschutzbeauftragter

Datenschutzaudits

Der Umgang mit Kunden- und Mitarbeiterdaten ist für jedes Unternehmen, ob klein oder groß, ein heikles Thema. Welche Daten dürfen erfasst und wie lange dürfen diese gespeichert werden? Wie müssen sie vor Unbefugten geschützt werden? Es gibt viele Punkte zu beachten, die der Gesetzgeber vorgibt.

Um Ihnen die notwendige Sicherheit zu geben, welche Vorgaben Sie bereits im Unternehmen zum Thema Datenschutz umgesetzt haben und wo sich vielleicht noch Schwachstellen befinden, bieten wir Ihnen ein Datenschutzaudit zur Überprüfung der internen Vorgaben in Ihrem Hause oder bei Ihren Dienstleistern im Rahmen der Kontrollpflichten nach Art. 28 Abs. 3 lit. h DSGVO an.

Wir ermitteln für Ihr Unternehmen und Ihre Dienstleister einen Datenschutzstatus für sämtliche Verfahren bzw. Produkte. Mit ihm erkennen wir einen möglichen Handlungsbedarf. Nach erfolgter Prüfung erhalten Sie einen Bericht, den Sie als Nachweis verwenden können. Im Zuge einer kontinuierlichen Evaluierung kann der Datenschutzbeauftragte oder die IT-Abteilung Maßnahmen ergreifen, welche die Verarbeitung der Ihnen anvertrauten, personenbezogenen Daten verbessern.

Die Vorbereitung eines Datenschutzaudits lässt sich – ohne Anspruch auf Vollständigkeit – mit Hilfe von vier Leitfragen vereinfachen:

  • In welchen Verfahren werden welche personenbezogenen Daten für welchen Zweck erhoben, verarbeitet oder genutzt?
  • Wer ist gegenüber den Betroffenen sowie innerhalb der Organisation für die Datenverarbeitung und seine Datenschutzkonformität verantwortlich?
  • Entspricht das Verfahren seiner Dokumentation? Ist das Datenschutz- und Sicherheitskonzept nachvollziehbar und implementierbar?
  • Auf welcher Rechtsgrundlage erfolgt die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten und werden die entsprechenden Anforderungen erfüllt?

Durch eine zielorientierte Umsetzung reduzieren Sie das Risiko, sensible Daten zu verlieren, einen Imageverlust zu erleiden oder gar verklagt zu werden.

Datenschutzlösungen

Schon zu alten BDSG-Zeiten ging es um die Technischen und organisatorischen Maßnahmen, kurz TOMs genannt. Das Thema ist nicht neu. Die Anforderungen spiegeln sich vor allem in der DSGVO unter Artt. 5, 25 und 32 wider – und das nicht ohne Grund. Softwarelösungen helfen uns, die Datenverarbeitung sicher zu gestalten, unabhängig ob es sich um personenbezogene oder betriebliche Daten handelt. Während Art. 25 DSGVO den Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen regelt, fordert Art. 32 DSGVO von uns Instrumente zu implementieren, welche die Sicherheit in der Verarbeitung von Daten gewährleistet.

Als externe Datenschutzbeauftragte prüfen wir die Software- und Systemanwendungen für unsere Kunden und bewerten diese unter datenschutzrechtlichen Aspekten. Zudem organisieren wir unsere tägliche Arbeit in einem eigenen System und erfüllen die Anforderungen der Dokumentations- und Nachweispflicht, welche die DSGVO jedem Unternehmen auferlegt.

Nachfolgend gehen wir sowohl auf unsere eigenen Lösungen als auch auf Lösungen anderer Anbieter ein, welche wir zum größten Teil auch selber nutzen.

Unsere eigenen Lösungen

Unsere Datenschutzmanagement Software (ZDMS)

Um den Dokumentations- und Nachweispflichten für unsere Kunden, aber auch eigenen Tätigkeiten gerecht zu werden, haben wir uns ein eigenes Datenschutzmanagement System auf der Basis einer Ninox Datenbank entwickelt.

Das selbst entwickelte Tool bietet uns die Möglichkeit, das System ohne große Programmierkenntnisse individuell auf unsere Bedürfnisse anzupassen bzw. zu erweitern. Unsere Kunden können individuell eingebunden werden, da unser ZDMS mandantenfähig ist. Uns ermöglicht die zentrale Datenverwaltung, unabhängig von Exceldateien und Dateiablagen auf Fileservern oder Cloudsysteme, effizient zu arbeiten und Synergieeffekte zu nutzen.

Wir bieten unsere Softwarelösung gern anderen Unternehmen an, die sich für eine Datenschutzmanagement Softwarelösung interessieren.

Mehr erfahren Sie hier.

Unsere Onlineschulung zum Datenschutz

Um unabhängig von Zeit und Ort Schulungen zum Datenschutz für die Beschäftigten unserer Kunden anbieten zu können, haben wir uns eine eigene Lösung für Onlineschulungen programmieren lassen. Wir wissen, dass Schulungen vor Ort unentbehrlich sind, aber nicht immer können alle Beschäftigten daran teilnehmen. Zudem gestaltet es sich schwer, neue Mitarbeiter zeitnah zum Thema Datenschutz zu sensibilisieren. Genau für diese Situationen bietet sich unsere Lösung an.

Unsere Beratungsleistung zum Datenschutz als externe Datenschutzbeauftragte beinhaltet das Onlineschulungstool. Allerdings kommen immer mehr Unternehmen auf uns zu. Auch diese können das Tool nutzen.

Wenn Sie sich für unsere Onlineschulung interessieren, erfahren Sie hier mehr.

Lösungen von anderen Anbietern

E-Mail-Verschlüsselung

E-Mail-Verschlüsselung im Bereich von klein- und mittelständische Unternehmen stellte sich bisher als recht umständlich heraus. Die einfachste Lösung ist eine Datei oder einen Container (ZIP-Datei) zu verschlüsseln. Allerdings ist dann noch nicht der Inhalt der E-Mail verschlüsselt. Im nächsten Schritt bietet sich eine End-zu-End-Verschlüsselung mit Zertifikaten wie S/MIME oder PGP an. Das generieren der Zertifikate und der Austausch mit den Kommunikationspartnern stellt sich aber als recht kompliziert da. Auch wir hatten hier so unsere Herausforderungen. Dann lernten wir REDDCRYPT, ein Produkt der REDDOXX GmbH kennen und waren von der einfachen Handhabung begeistert.

Eine Registrierung mit E-Mail-Adresse und Passwort reichte aus, es konnte auf der Weboberfläche oder in einer App fürs Smartphone losgehen. Für die betriebliche Nutzung konnten wir ein Outlook Plugin installieren. Die Kosten halten sich im Rahmen und sind auf jeden Fall ihr Geld wert.

5 Sterne von uns

Passwortmanager

Wir predigen immer ein gutes Passwortmanagement. Mindestens 12 Stellen, Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen. Dann soll noch für jeden Account ein separates Passwort vergeben werden. Da kann man schnell den Überblick verlieren.

Auf der Suche nach geeigneten Passwortmanagern, ohne die ist ein gutes Passwortmanagement nicht möglich, haben wir kostenfreie und kostenpflichtige Tools getestet. Dabei haben wir im betrieblichen Bereich ein Augenmerk auf die Administration gelegt. In vielen Firmen nutzen zum Teil mehrere Mitarbeiter dieselben Zugangsdaten in Onlineportalen, haben aber auch ihre eigenen Passwörter. Gemeinsam genutzte Passwörter sollten aber nicht von jedem Mitarbeiter gesehen werden, um einen Missbrauch zu vermeiden. Auch das zuverlässige, selbstständige Ausfüllen der Zugangsdaten auf der Webseite stellt einige Passwortmanager vor Herausforderungen. Mit Keeper haben wir einen Passwortmanager gefunden, welcher unsere Bedürfnisse erfüllt und den wir gerne weiterempfehlen.

5 Sterne von uns

Unser Datenschutzpaket für klein- und mittelständische Unternehmen und Einrichtungen

Auch für kleine Unternehmen, Verbände, Arztpraxen, Apotheken, Onlineshops etc., die keinen Datenschutzbeauftragten seitens der Gesetzgebung benötigen, gilt die DSGVO im vollen Umfang. Insbesondere wo sensible und vertrauliche Daten verarbeitet werden, bspw. Gesundheits- oder Zahlungsdaten, sollte sich die Unternehmensleitung oder der Inhaber mit der Thematik Datenschutz genauer auseinandersetzen. Das ist oft nicht leicht, denn ohne einen Lehrgang zum Datenschutz ist es nahezu unmöglich, die Tragweite der Anforderungen, die sich aus der DSGVO, dem BDSG und anderen Gesetzen ergeben, zu erfassen.

Unser Know-how möchten wir gern weitergeben, um Ihnen das Leben in Hinblick Datenschutz zu erleichtern. Für ausgewählte Branchen, in welchen wir selbst beratend tätig sind, haben wir individuelle Pakete mit branchenspezifischen Vorlagen geschnürt. Die Verantwortung bleibt weiter bei Ihnen, im Aufbau einer Datenschutzorganisation nach den Vorstellungen der Gesetzgebung können wir Sie unterstützen.

Mehr zu den Branchenlösungen und Preisen erfahren Sie hier.

UMFANG

Grundpaket

  • individueller Account auf unser Datenschutz-Management-System
  • individueller Account auf unser Onlineschulungstool zum Datenschutz
  • Bereitstellung von branchenspezifischen Unterlagen (Richtlinien, Arbeitsanweisungen, Vereinbarungen, …) als Entwurf
  • branchenspezifische Vorlagen für Verzeichnis für Verarbeitungstätigkeiten
  • Verzeichnis zu branchenspezifische Auftragsdatenverarbeiter

optional

  • Webseiten-Check inkl. Prüfung/Anpassung Datenschutzerklärung
  • Bereitstellung eines Consent Manager Tools (umgangssprachlich Cookiebanner) für die eigene Webseite (über Kooperationspartner)
  • individuelle Beratung zu Datenschutzthemen auf Anfrage (Probleme, die Sie nicht lösen können oder wollen) via Telefon oder Video
  • Durchführung von Datenschutzaudits vor Ort inkl. Bericht

EuGH kippt Privacy Shield

Wie fast zu erwarten hat der EuGH in seinem „Schrems II-Urteil“ vom 16.07.2020 das Privacy Shield, welches als Grundlage für eine Datenübertragung in die USA verwendet werden konnte, gekippt (EuGH, Urteil vom 16.07.2020, Az.: C-311/18). Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat darauf hin am 28. Juli 2020 eine Pressemitteilung herausgegeben. Darin teilt sie mit, welche Folgen dieses Urteil für die Datenübermittlung von personenbezogenen Daten in die USA und andere Drittländer hat, welche wir hier kurz auflisten:

  1. Die Übermittlung personenbezogener Daten in die USA auf der Grundlage des Privacy Shield ist unzulässig und muss unverzüglich eingestellt werden.
  2. Die bestehenden Standardvertragsklauseln der Europäischen Kommission können zwar grundsätzlich weiter genutzt werden, aber nur im Zusammenhang mit weiteren Garantien.
  3. Die Übermittlung von personenbezogenen Daten aus der EU in die USA und andere Drittstaaten nach Artikel 49 DSGVO ist weiterhin zulässig, sofern die Bedingungen des Artikels 49 DSGVO im Einzelfall erfüllt sind.
  4. Es wurde keine Übergangs- oder Schonfrist eingeräumt. D.h. es ist umgehend zu prüfen auf welcher Grundlage eine weitere Übermittlung von personenbezogenen Daten in die USA und andere Drittländer möglich ist.

Was ist zu tun?                      

  • Die Aufsichtsbehörden empfehlen, anhand des Verzeichnisses von Verarbeitungstätigkeiten die Verarbeitungen, bei denen Daten auf Basis des Privacy-Shield oder dem EU-Standardvertrag in einen Drittstaat übermittelt werden, zu identifizieren und die Datenschutzvereinbarungen mit Dienstleistern zu überprüfen.
  • Je nach Branche unterliegen die Datenimporteure in den USA unterschiedlichen staatlichen Überwachungsgesetzen. Die Datenimporteure sollen deshalb gezielt gefragt werden, ob sie FISA 702 und EO 12333 unterliegen und ob sie die Klauseln einhalten können. Dies kann z.B. mit Hilfe von Fragebögen erfolgen.
  • Wenn sich bei dieser Überprüfung zeigt, dass der Datenimporteur bzw. der Unterauftragnehmer so weitgehenden und strengen staatlichen Überwachungsgesetzen unterliegt, die in einem unverhältnismäßigen Umfang in die Rechte von EU-Bürgern eingreifen, sodass die Rechte der Betroffenen nicht in einem ausreichenden Maß gewahrt werden können, kann der Datentransfer auch nicht mehr auf die Standardvertragsklauseln gestützt werden.
  • Wenn möglich sollten Alternativen gefunden werden, eine Übermittlung personenbezogener Daten in die USA oder andere Drittstaaten zu vermeiden.

Bei Fragen zum Thema Privacy Shield oder insgesamt zum Datenschutz können Sie sich gern an uns wenden. Wir beraten Sie gern! Kontakt

Datenübermittlung nach Großbritannien

Wir möchten Ihnen einen Ausblick auf die künftige Übermittlung von personenbezogenen Daten ins Vereinigte Königreich Großbritannien geben.

Am 31. Januar 2020 ist das Vereinigte Königreich Großbritannien aus der EU ausgetreten. Aus der Sicht der DSGVO sind alle Länder außerhalb der EU und des Europäischen Wirtschaftsraumes (kurz EWG) sog. „Drittländer“. Jedoch wurde für das Vereinigte Königreich Großbritannien eine Übergangsphase bis zum 31.Dezember 2020 für die Datenübermittlung eingeräumt. Mit dem am 24.12.2020 abgeschlossenen Handelsabkommen wurde eine weitere Übergangsfrist bis April 2021 mit Verlängerungsoption bis Ende Juni 2021 vereinbart. Innerhalb dieser Frist ändert sich nichts.

Mit Ablauf der Übergangsfrist bestehen für die Datenübermittlung folgende Möglichkeiten:

  • Das Vereinigte Königreich Großbritannien erhält einen Angemessenheitsbeschluss nach Art. 45 Abs. 3 DSGVO der EU-Kommission
  • die Datenübermittlung erfolgt auf Grundlage des Abschlusses von Standartschutzklauseln

Bei folgenden Voraussetzungen darf die Datenübermittlung ausnahmsweise auch ohne die erforderlichen Garantien erfolgen:

  • wirksame Einwilligung der betroffenen Person
  • Erforderlichkeit zur Vertragserfüllung
  • wichtige Gründe des öffentlichen Interesses
  • Verfolgung von Rechtsansprüchen
  • Schutz lebenswichtiger Interessen
  • Wahrung zwingender berechtigter Interessen

Ob in der Kürze der Übergangsphase ein Angemessenheitsbeschluss der EU-Kommission umgesetzt werden kann, ist sehr fraglich. Davon auszugehen bleibt für die Datenübermittlung, wenn nicht ein Ausnahmetatbestand Rechtsgrundlage bildet, nur der Abschluss von Standartschutzklauseln.

Was ist nun von der verantwortlichen Stelle zu unternehmen:

  1. Überprüfung des Verzeichnisses für Verarbeitungstätigkeiten, welche personenbezogenen Daten nach Großbritannien übermittelt werden und wer Zugriff auf diese Daten hat.
  2. Schaffung von rechtlichen Grundlagen für die Datenübermittlung (z.B. Standartschutzklauseln, freiwillige Einwilligung nach Art. 7 DSGVO).
  3. Einholung von Informationen von den Unternehmen mit Sitz im Drittland über geeignete Garantien (Standartschutzklauseln und Datenschutzkonzepte).
  4. Anpassung Ihrer Datenschutzerklärungen (Hinweis der Rechtsgrundlage der Datenübermittlung in ein Drittland mit Aufzeichnung der Garantien).
  5. Hinweisblätter zur Erfüllung der Informationspflichten gem. Art. 13 und 14 DSGVO sind anzupassen.
  6. Überprüfung der Erforderlichkeit einer Datenschutz-Folgenabschätzung

Jede verantwortliche Stelle, die personenbezogene Daten aus einem Mitgliedstaat der EU in das Vereinigte Königreich Großbritannien übermittelt, muss rechtliche Vorkehrungen treffen, um die Einhaltung des Datenschutzrechts gewährleisten zu können,

Die Schaffung geeigneter Garantien ist in der Regel mit einem größeren Aufwand verbunden. Liegen diese nicht vor, wenn das Vereinigte Königreich Großbritannien Drittland ist, liegt bei jeder Datenübermittlung ein Verstoß gegen Art. 5 Abs. 1 lit. a in Verbindung mit Art. 44 DS-GVO vor, der durch die zuständige Datenschutzaufsichtsbehörde mit der Ausübung von Befugnissen bis hin zur Verhängung von Geldbußen geahndet werden kann.

Wir unterstützen und beraten unsere Kunden natürlich sehr gern auch zu diesem Thema. Kontakt

Cookies und Trackingdienste werden vom EuGH gefressen

Am 01.10.2019 hat der Europäische Gerichtshof (EuGH) ein Grundsatzurteil zur Verwendung von Cookies getroffen. Demnach ist der Einsatz von „nicht notwendigen Cookies“ nur noch mit einer aktiven Einwilligung gestattet. Sowohl die gewöhnlichen Cookie-Banner mit Bestätigung der Kenntnisnahme zur Verwendung von Cookies als auch mit einem Haken voreingestellte Consent-Lösungen sind ab sofort unzulässig!

WICHTIG Werbe- und Tracking-Cookies dürfen nicht schon aktiv sein bzw. gespeichert werden, bevor der Webseitenbesucher sich gegen deren Verwendung entscheiden kann. Vielmehr muss der Webseitenbesucher aktiv einwilligen.

Das Urteil hat zur Folge, dass es zukünftig für das Marketing sehr schwer wird, Onlinemarketing zu betreiben. Webseitenbesuche werden zusätzlich nur noch schwer auswertbar sein. In jeder schlechten Nachricht, hier insbesondere für die Marketingabteilung, ist aber auch etwas Positives zu finden. Als Datenschützer sehen wir den Betrieb von Webseiten immer als kritisch an. Durch die eingesetzten Tracking-Scripte wie Google Analytics oder Google Ad war es bisher dem Datensammler Google möglich, ein sehr detailliertes Persönlichkeitsprofil von Nutzern zu erstellen; besser als jeder Geheimdienst. Google stellt zwar Tools zur Abwehr dieser Dienste bereit, kaum einer kennt aber diese. Nun werden Datensammler zukünftig in Europa nicht mehr so einfach an die Nutzerdaten Unwissender herankommen. Unsere Persönlichkeitsrechte werden aktiv gestärkt, dass werden auch die Richter am EuGH im Hinterkopf gehabt haben, als sie das Urteil sprachen.

Keine Einwilligung bei vorangekreuzter „Checkbox“

Das Problem: Der Otto-Normalwebseitenbesucher erkennt nicht, dass im Hintergrund Daten über ihn gesammelt und ausgewertet werden, dass Profile über ihn erstellt, ausgewertet und ggf. weiterverkauft werden, um direkten Einfluss auf seine Entscheidungen zu nehmen. Hinzu kommt, dass diese Datensammlung nur über Advertising-Tools von weiteren Drittanbieter, wie Google Ad, angeboten werden, die somit ebenfalls Daten erhalten und nutzen.

Die Antworten des EuGHs auf die aktuelle Geschäftspraxis fielen deutlich aus. Da die Vorgaben der DSGVO zur Einwilligung in die Datenspeicherung, -übermittlung und -auswertung durch Dritte insbesondere ein aktives Verhalten voraussetzen und eine „Nichthandlung“ keine Einwilligung darstellen kann, war es eigentlich klar, dass der EuGH in einer vorangekreuzten Checkbox oder in einem Cookie-Banner ohne Entscheidungsmöglichkeiten keine wirksame Einwilligung erkennen kann.

15 Abs. 3 TMG ist nicht mehr anwendbar!

Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden.

Empfehlung zu Software-Produkten

Es gibt zahlreiche Anbieter für Consent-Lösungen. Zur Umsetzung der Erfordernisse können Sie sich mal das Tool von

Comply: https://comply-app.com/features/consent-management

Cookiebot: https://www.cookiebot.com/de/

Usercentrics: https://usercentrics.com oder

Consentmanager.net: https://www.consentmanager.net ansehen.

Hohe Bußgelder für zu geringe IT-Sicherheit

Der Hotelkette Marriott droht ein hohes Bußgeld im dreistelligen Millionenbereich wegen Verstoß gegen die EU Datenschutz-Grundverordnung (DSGVO). Bei Marriott ist Ende 2018 ein Hack bekanntgeworden, der Daten von vermutlich 339 Millionen Kunden betraf. Im November 2018 hatte der Hotelkonzern eingestanden, dass Dritte unerlaubt auf die Reservierungsdatenbank der Marriott-Tochterfirma Starwood zugegriffen haben. Größtenteils seien nur Daten wie Namen und Adressinformationen abgegriffen worden, aber in einigen Fällen auch vertrauliche Daten wie Pass- und Kreditkartennummern, teilweise sogar unverschlüsselt.

Das Unternehmen hat nach Ansicht der zuständigen Aufsichtsbehörde gegen den Grundsatz verstoßen, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn eine angemessene Sicherheit dieser gewährleistet wird. Hierfür sollen insbesondere geeignete technische und organisatorische Maßnahmen eingesetzt werden, um vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust zu schützen. Die technischen und organisatorischen Maßnahmen der genannten Unternehmen sind demnach nicht ausreichend gestaltet worden, um solch einem Risiko entsprechend entgegenzuwirken.

Den Vorfall möchten wir gern zum Anlass nehmen, das Thema „Passwortmanagement“ aufzugreifen. Die Umsetzung der internen Vorgaben; für jedes System ein anderes, mind. 12-stelliges, komplexes Passwort zu verwenden, endet zumeist in der Erfassung von Zugangsdaten in einer Excelliste. Da sowohl die Passwortlisten in Papier als auch als Excel- oder Worddateien nicht den Sicherheitsanforderungen entsprechen, die Vertraulichkeit der Zugangsdaten sicherzustellen, möchten wir den Einsatz eines Passwortmanagers nahelegen.

Der Vorfall in der Hotelkette Marriott lässt vermuten, dass auch hier ein schlechtes Passwort­management die Ursache war. Bei einem Verlust der Vertraulichkeit von Kundendaten inkl. Zahlungsdaten durch einen Missbrauch von Passwörtern hätten Sie auch in Deutschland gegenüber den Aufsichtsbehörden nur wenig Argumente, wenn nicht die technischen Lösungen genutzt werden, die es auf dem Markt gibt.

Empfehlung zu Softwareprodukten

Wir empfehlen derzeit nachfolgende Passwortmanager, da in diesen eine Benutzerverwaltung integriert ist, die es ermöglicht, dass Anwender die Passwörter nicht im Klartext lesen können: