Interview mit Barbara Thiel, eine Zusammenfassung

Interview mit Barbara Thiel, eine Zusammenfassung.

Barbara Thiel
Quelle: www.lfd.niedersachsen.de

Am 3. November 2017 hatte ich ein sehr zugewandtes Gespräch mit Barbara Thiel unserer Landesdatenschutzbeauftragten in Niedersachsen. Das Gespräch fand in den Räumen der Aufsichtsbehörde in Hannover statt. Wir sprachen viel länger als vereinbart und Frau Thiel gab sehr wertvolle Anregungen zum Thema DSGVO und BDSGneu. Besonders gefallen hat mir, die freundliche, sehr persönliche Schilderung ihrer Sichtweise. Weil das Interview nun sehr lang geworden ist, und wir hätten sicher noch Stunden weiter sprechen können, habe ich es etwas gekürzt, damit es lesbar ist. Es entspricht somit nicht zu 100% dem original geführten Interview.

Fazit: „Unsere“ Landesbehörde ist sehr daran interessiert, dass der Datenschutz gut und sinnvoll umgesetzt werden kann. Die Seite des LDSB bietet ständig neue Informationen zu allen möglichen Themen, am besten gleich als Lesezeichen verlinken.

Diesen Beitrag kann man auf 2 Arten lesen:

Für die Schnelleser: Ihr klickt einfach meine Fragen an, zu denen Ihr die Antwort von Barbara Thiel lesen möchtet.

Alle anderen starten hier!

BW: Das Ende der Übergangsfrist für die Einführung der DSGVO steht vor der Tür. Welches sind aus Ihrer Sicht die wichtigsten Neuerungen?

Ich finde sehr gut, dass wir in Zukunft eine Rechtsgrundlage in ganz Europa haben werden. Die DSGVO gilt europaweit und unmittelbar in allen Mitgliedsstaaten. Das ist sicherlich die wichtigste Erkenntnis, eine Rechtsgrundlage, eine Harmonisierung des europ. Datenschutzes.

Ich meine, dass das Marktortprinzip eine ganz wesentliche Neuerung ist. Wenn Unternehmen aus Drittstaaten, sich in Europa wirtschaftlich betätigen möchten, dann haben Sie sich an die Datenschutzgrundverordnung zu halten. Bisher haben wir wenig Handhabe gegenüber Google, gegenüber Facebook und das ändert sich mit dem Marktortprinzip ganz entscheidend.

Ich glaube, man kann auch insgesamt sagen, dass die DSGVO gut ist für die Unternehmen, eben nicht schlecht sondern gut, weil sie diese Harmonisierung schafft und weil sie dadurch einen besseren Vollzug ermöglicht.

Genau diese Punkte: Verordnung, unmittelbare Geltung, Marktortprinzip das sind die Punkte, die sich für die Unternehmen zunächst einmal als positiv darstellen. Und wenn Sie dann noch genauer in die DSGVO reinschauen, gibt es natürlich einige Regelungen, die in der DSGVO einfach einmal genauer festgehalten wurden,  z.B. privacy by design, privacy by default, Datenschutz durch Technik, Datenschutz durch Voreinstellungen, durch eingebauten Datenschutz von Anfang an. Ganz wichtig, die DSGVO gibt zwar keine weitergehenden Erläuterungen, aber ich finde es wichtig, dass diese Dinge schriftlich verankert sind.

Was ich auch sehr gut finde, ist die Möglichkeit der Zertifizierung für Unternehmen, es ist doch eine tolle Sache, wenn man durch die Zertifizierung ein Qualitätsmerkmal deutlich herausstellen und sich als datenschutzfreundliches Unternehmen präsentieren kann. Das befreit natürlich nicht davon, auch künftig alle Dinge zu erfüllen, die in der DSGVO angelegt sind,

Ich könnte noch viele Punkte mehr nennen, aber ich denke, das sind die Wichtigsten.

Eins fällt mir noch ein, was sicherlich auch eine Herausforderung für Unternehmen und Aufsichtsbehörden darstellen wird, ist der Punkt der Datenschutzfolgenabschätzung. Die Frage, was ist ein Risiko, welche Verarbeitungsvorgänge sind als besonders riskant zu betrachten und mit welcher Methode führen wir dann eine solche Datenschutzfolgenabschätzung durch?

Da erwarten die Unternehmen dann von uns auch klare Aussagen, das weiß ich. Sie erwarten von uns die sogenannte Blacklist, die Liste der besonders riskanten Verarbeitungsvorgänge. Und sie erwarten von uns auch Hilfestellung bei der Frage der Methodik. Beides liegt noch nicht vor und an der Stelle kann ich verstehen, dass die Unternehmen etwas angespannt sind.

Da müssen wir jetzt auch wirklich bis Ende des Jahres liefern, aus meiner Sicht.

Für uns als Aufsichtsbehörden kommt als weitere Herausforderung hinzu, dass die Unternehmen künftig einen Anspruch auf Konsultation haben. Und da müssen wir innerhalb von 8 Wochen antworten. Und das ist, glaube ich, eine Form der Bearbeitung, die den Aufsichtsbehörden bisher so  nicht bekannt ist.

zurück zu den Fragen

BW: Aber das ist ja nicht schlecht, dann hat man im Hinterkopf „Ich weiß es nicht so genau, ich frage mal“ und dann sind Sie dran, dann ist der schwarze Peter bei Ihnen

Na, ja dieses „ich frag mal“ ist vielleicht ein bisschen zu wenig. Es geht um einen konkreten Sachverhalt und diesen konkreten Sachverhalt haben wir zu bewerten. Ich würde das schon in diesem Sinne interpretieren, wie es auch im Steuerrecht Usus ist, da gibt es ja auch diese verbindliche Auskunft und da gibt es dann natürlich nur Verbindlichkeit auf diesen konkreten Sachverhalt bezogen. Es ist eine Frage des Gebens und des Nehmens, so würde ich das sehen.

Welche Punkte werden selbst für diejenigen Unternehmen eine Herausforderung darstellen, die bereits funktionierende betr. Datenschutzkonzepte haben?

Wir sagen immer, für die Unternehmen, die bisher ihre Hausaufgaben gemacht haben und eben schon ein betrieblich gut funktionierendes Datenschutzsystem aufgebaut haben, ändert sich im Prinzip nicht viel.

Was sich ändert ist, dass die Unternehmen in Zukunft mehr dokumentieren und mehr nachweisen müssen. Stichwort: Accountability und daraus folgen nun einmal mehr Dokumentations- und Nachweispflichten. Das sehe ich aber nicht negativ, es wird in der Öffentlichkeit immer so dargestellt, die DSGVO bringt mehr Bürokratie. Aber es ist doch gut, wenn ich deutlich machen kann, was ich in meinem Unternehmen getan habe, um Datenschutz auch tatsächlich zur Geltung zu bringen. Also an der Stelle würde ich sagen, verändert sich auch etwas für die Unternehmen, die schon bisher gut gearbeitet haben. Und ich glaube, es gibt zwei Bereiche, in denen die Unternehmen künftig genauer hinschauen müssen. Sie müssen einerseits wirklich deutlicher trennen zwischen der Verantwortung der Unternehmensleitung auf der einen Seite und der Position des Datenschutzbeauftragten auf der anderen Seite. Da hat es in der Vergangenheit und gibt ja auch heute in der Gegenwart Mischverhältnisse, die die beiden Funktionen eben nicht sauber voneinander trennen.

Sie müssen sicherlich auch genauer hinschauen, wen sie als Auftragsverarbeiter einsetzen. Da muss man sich auch die Verträge nochmal genauer anschauen, wie die abgefasst sind. Es wird in Zukunft darum gehen, das betrifft aber weniger die Unternehmen, sondern mehr die Auftragsverarbeiter, das sie auch haften. Das heißt, wir werden in Zukunft nicht nur die Unternehmen als Verantwortliche prüfen, sondern wir werden sicherlich auch den Auftragsverarbeiter prüfen.

Ich glaube, es wird sich auch etwas ändern bei der Einwilligung. Da muss man nochmal sehr genau hinschauen, ob die bisher erteilten Einwilligungen tatsächlich den Anforderungen entsprechen, die jetzt durch die DSGVO gestellt werden. Einfach mal so konkludente Einwilligungen zu formulieren, das wird nicht mehr möglich sein, es muss schon mehr Ausdrücklichkeit vorhanden sein.

Das würde ich sagen, das sind Herausforderungen sicherlich.

Ein Punkt fällt mir noch ein. Selbst da, wo funktionierende Systeme vorhanden sind, muss man sich nochmal die Geschäftsprozesse anschauen, weil ich schon an der ein oder anderen Stelle gehört habe, dass nicht alle Geschäftsprozesse, in denen personenbezogene Daten verarbeitet werden, tatsächlich aufgenommen waren. Man muss nochmal sehr genau schauen und eine vollständige Bestandsaufnahme machen. Es gibt Prozesse in denen die Verarbeitung personenbezogener Daten nicht so offensichtlich zu Tage tritt. Hier nochmal mehr Sensibilität in den Unternehmen schaffen und genauer hinschauen, wo werden personenbezogene Daten in den Unternehmen verarbeitet.

zurück zu den Fragen

BW: Alle sprechen von DSGVO aber fast niemand über das BDSG neu, ist die Anpassung des BDSG an das DSGVO Ihrer Meinung nach gelungen?

Das BDSGneu war notwendig und ich sehe auch zunächst einmal das Positive an der Stelle, nämlich dass Deutschland voran gegangen ist, gegenüber vielen anderen europäischen Staaten. Es gibt jetzt weitere Länder, dazu gehört Österreich, Frankreich und einige der osteuropäischen Länder. Deutschland war aber eines der ersten Länder, wenn nicht sogar das erste Land.

Es ist jedenfalls positiv, dass man dort schon mal Zeichen gesetzt hat. Sie wissen ja vielleicht auch, dass wir uns als Datenschutzkonferenz sehr intensiv bei der Entwicklung des BDSGneu eingebracht haben, wir hatten eine Kontaktgruppe gebildet mit dem Bundesinnenministerium und wir hatten die Möglichkeit in dieser Kontaktgruppe wirklich sehr konstruktiv zusammenzuarbeiten und wir haben an der Stelle auch einiges erreichen können.

Wir sind nicht komplett durchgedrungen mit unseren Vorstellungen und das hat dann dazu geführt, dass wir als das BDSGneu dann als Entwurf auf dem Tisch lag, einiges an Kritik äußern mussten. Bezogen auf das Thema Nutzung der Öffnungsklauseln, bezogen darauf, dass wir in einigen Bereichen der Ansicht waren, dass die Öffnungsklauseln überdehnt wurden. Und auch in anderen Bereichen möglicherweise Regelungen getroffen wurden, für die gar keine Öffnungsklauseln vorhanden sind. Das haben wir sehr deutlich gemacht, es hat dann auch nochmal gewisse Nachbesserungen gegeben, nach wie vor gibt es aber gewisse Zweifel, ob das BDSGneu wirklich in allen Teilen europarechtskonform ausgestaltet ist.

Trotzdem muss man immer sagen, Europa ist auch froh, dass Deutschland da entsprechende Zeichen gesetzt hat. Ich würde das nicht nur mit Kritik belegen. Fakt ist aber, dass das deutsche BDSGneu sehr komplex, und in Teilen auch unübersichtlich ist. Es gibt die Begriffsbestimmungen, die schon sehr umfangreich sind, dann haben wir einen Teil in Bezug auf die Öffnungsklauseln des DSGVO und dann haben wir einen dritten Teil, der bringt Regelungen zur JI-Richtlinie. Ob man das nicht hätte trennen sollen? Wenn einerseits eine Verordnung und andererseits eine Richtlinie umgesetzt wird, dann sind das aus meiner Sicht zwei unterschiedliche Paar Schuhe. Und das bedeutet eben eine gewisse Unübersichtlichkeit, eine hohe Komplexität. Wir haben jetzt eine Verordnung und ein nationales Gesetz. Bisher hatten wir nur ein nationales Gesetz, durch das BDSGneu, das eben sehr differenziert und sehr detailliert ist, wird diese hohe Komplexität nochmal erhöht. So würde ich das schon sehen. Und das hat z.B Österreich ganz anders gemacht, das hat ein ganz schlankes Umsetzungsgesetz und im Ergebnis halte ich das für vorteilhafter.

Was mir auch noch einfällt im Hinblick auf das BDSGneu, ich habe ja über das Thema Öffnungsklauseln gesprochen. Ihre Frage war ja, wie beurteilen Sie das BDSGneu. Ich denke, es ist sehr komplex und an manchen Stellen hilft es auch in der Anwendung der vielen unbestimmten Rechtsbegriffe nicht weiter. Ich würde aber das Ergebnis positiv sehen wollen, weil die DSGVO den Aufsichtsbehörden definitiv mehr Macht gibt, als wir das in der Vergangenheit hatten. Wir sind jetzt diejenigen, die diese Vielzahl von unbestimmten Rechtsbegriffen, mit Leben zu erfüllen haben. Wir werden jetzt in den nächsten 3-5 Jahren wirklich sehr stark in dieser Rechtsanwendung gefordert sein. Aber das ist ja auch positiv, dass man ein Datenschutzrecht an der Stelle weiter entwickelt. Und es ist ja ausdrücklich so gewollt, dass genau das durch die Aufsichtsbehörden geschehen soll. Und letzten Endes wird es dann Entscheidungen durch den europ. Datenschutzausschuß geben und damit einheitliche Entscheidungen für ganz Europa und es wird natürlich auch den einen oder anderen Fall geben, der an den EuGH herangetragen wird, dann bekommen wir in den nächsten Jahren auch viel Klärung durch die Rechtsprechung.

Also, wir sind an vielen Stellen in einer unsicheren Phase, aber wir Aufsichtsbehörden sind auch bereit, diese Herausforderung anzunehmen, uns dieser Aufgabe zu stellen das Recht zu entwickeln. Es kommt eins hinzu, das Thema Öffnungsklauseln, BDSGneu und die Frage der Konformität, europarechtswidrig oder nicht europarechtswidrig. Da ist es so, dass man sich auch nochmal mit dem Thema Anwendungsvorrang beschäftigen muss. Wir werden uns im konkreten Einzelfall wirklich bemühen DSGVO und BDSG in Einklang zu bringen und die Regelungen des BDSG in diesem Sinne auszulegen. Und wenn wir an irgendeiner Stelle wirklich nicht mehr weiterkommen, dann werden wir auf den Anwendungsvorrang zurückgreifen müssen. Und das werden dann auch die Fälle sein, in denen wir wirklich auch auf die Entscheidung des EuGH zurückgreifen müssen.

zurück zu den Fragen

BW: Das kann ja spannend werden

Ich finde das total spannend, das ist doch eine reizvolle Aufgabe. Es ist interessant an der Weiterentwicklung mitwirken zu können. Und dann schauen wir mal, wo wir in 5 Jahren stehen.

BW: Die Computerwoche zitiert eine IDC Studie, die ergeben hat, dass 44% der Befragten noch keine „konkreten technologischen oder organisatorischen Maßnahmen zur Erfüllung der Anforderungen“ der DSGVO ergriffen haben.

BW: Dies deckt sich mit meinen Eindrücken aus meinen Vortrags- und Schulungsveranstaltungen, ich glaube sogar, dass der Anteil in Wirklichkeit noch höher ist.

Es gibt auch die BITCom-Umfrage und die deckt sich, mit dem was Sie jetzt eben gesagt haben. Ganz allgemein kann man sagen, dass sie sich gut auf den Weg gemacht haben, die großen Unternehmen und dass die kleinen und mittleren Unternehmen diejenigen sind, die möglicherweise gar nicht aktiv geworden sind. Aus den unterschiedlichsten Gründen, wir wollen jetzt hier keine Ursachenforschung betreiben. Es ist jedenfalls so, dass sie noch nicht begonnen haben, sich mit der DSGVO intensiver auseinanderzusetzen. Das ist uns bekannt, es hat schon im Sommer dieses Jahres eine Initiative des Bundesinnenministeriums gegeben, da mehr zu sensibilisieren. Dies setzt sich auch weiter fort, durch weitere Termine und wir haben jetzt ein Kurzpapier herausgegeben „Maßnahmenplan DSGVO für Unternehmen“ .

Das ist das, was wir diesen Unternehmen raten, jetzt sofort anzufangen, weil die Zeit ist nun wirklich nicht mehr lang.  Es ist schon 5 nach 12, man hätte schon viel früher beginnen müssen, aber es hilft ja jetzt nichts. Wenn man es bisher nicht getan hat, dann bitte jetzt! DSGVO ernst nehmen, sich unser Kurzpapier anschauen und nach der dort genannten Reihenfolge vorgehen.

Da sind verschiedene Punkte genannt:

  • Anpassung der betroffenen Strukturen und Prozesse. Das setzt natürlich voraus, dass ich mir erstmal klar darüber bin, welche Prozesse gibt es?
  • Man muss eine vernünftige Bestandsaufnahme machen
  • Die Verträge mit den Auftragsverarbeitern anschauen
  • Das Thema Einwilligungen betrachten, ob eine Rechtsgrundlage angegeben wurde
  • Ein Verfahrensverzeichnis wird benötigt. Wenn ich mir die Prozesse anschaue, resultiert daraus ein Verfahrensverzeichnis.
  • Dann schauen, welche Verarbeitungsvorgänge sind besonders riskant, welche brauchen eine Datenschutzfolgenabschätzung.

Das sind, glaube ich, die ersten Arbeiten, die man in diesem Zusammenhang macht.

Ich rate den Unternehmen, sich unsere Hilfen, unsere Kurzpapiere anzuschauen und dann kommt hinzu, dass Niedersachsen gemeinsam mit einigen anderen Bundesländern jetzt ein weiteres Papier herausgeben wird, das sich nochmal speziell an die KMUs richtet.

Nur noch 6 Monate bis zur Anwendung der Datenschutzgrundverordnung, der Countdown läuft

In diesem Papier werden wir nochmal darauf eingehen, was muss jetzt in diesen 6 Monaten unbedingt geschehen und was müssen auch KMUs beachten.

Es gibt ja die irrige Auffassung, wenn Unternehmen nur 9 Beschäftigte haben, dann brauchen sie Datenschutz nicht anzuwenden. Da werden 2 Prinzipien miteinander vermengt.

Nein, so ist es nicht, das betrifft nur den betr. Datenschutzbeauftragten, aber nicht um die Frage, ob Datenschutz überhaupt Anwendung findet.

In diesem Papier stellen wir Fragen in Bezug auf die DSGVO. Diese Fragen sollten sich die Unternehmen selber stellen und sich anhand dieser Fragen dann mit dem Thema DSGVO auseinander setzen.

Und dem anderen Teil, denjenigen Unternehmen, die immer noch denken, betr. Datenschutz sei unwichtig und verursache unnütze Kosten?

Das ist eine sehr gute Frage. Ich glaube nämlich auch, dass es sehr vielen Unternehmen darum geht, Geld zu sparen. Datenschutz ist natürlich kostenaufwändig in dem ein oder anderen Bereich, da mache ich mir auch nichts vor. Aber Datenschutz ist nicht einfach nur nice to have, sondern Datenschutz ist Grundrechtsschutz. Man muss sich dabei auch klar machen, dass ich als Unternehmen auch immer den Wunsch haben sollte, Vertrauen bei den Bürgerinnen und Bürgern zu schaffen, wenn es denn noch nicht vorhanden ist, bzw. das Vertrauen auch nicht zu zerstören. Das sollte man sich im Kern immer bewusst machen.

Ja, und wenn das nicht hilft, den Unternehmen immer noch nicht klar ist, worum es beim Datenschutz geht und was Datenschutz bewirken kann und bewirken wird, dann werden sie es irgendwann tatsächlich zu spüren bekommen. Wir Aufsichtsbehörden sind entschlossen ab dem 25. Mai 2018 zu prüfen. Wir überlegen uns momentan, in welcher Art und Weise wir dann unsere Prüfungen gestalten wollen, ich gehe davon aus, dass wir hier auch Checklisten entwickeln werden, anhand derer wir dann in die Unternehmen gehen.

Man sollte sich dabei immer klar machen, und das ist vielleicht auch ein ganz wichtiger Hinweis, das, was wir jetzt mit unserem Kurzpapier oder auch mit unserem Fragebogen nach draußen geben, das wird auch die Grundlage für unsere Checklisten sein, mit denen wir dann in die Unternehmen zur Prüfung gehen.

Also beachtet man das, hat man nichts zu befürchten. Beachtet man das nicht, dann werden wir irgendwelche Defizite feststellen, das ist so sicher wie das Amen in der Kirche, und dann werden wir uns irgendwann mit Sanktionen beschäftigen müssen.

Bis dahin sind wir dann auch so weit, das wir wissen, in welcher Art und Weise wir Bußgelder festsetzen werden. Momentan ist es noch ein völlig neues Gebiet und auch für uns als Aufsichtsbehörden eine riesige Herausforderung. Ein 66-fach erhöhter Bußgeldrahmen, das sind wir auch nicht gewohnt und wir müssen uns einfach an der Stelle überlegen, wie wir mit diesen neuen Anforderungen umgehen wollen.

Aber ich bin mir ziemlich sicher, dass wir in den nächsten Monaten Hilfestellungen von der Artikel-29-Datenschutzgruppe bekommen werden. Ein erstes Papier gibt es bereits auf europäischer Ebene, und dass wir hier auch auf der nationalen Ebene weiter entwickeln werden. Unsere Vorstellungen werden dann im Mai 2018 konkreter sein.

Ja, und dann sind wir wirklich entschlossen, auch Bußgelder festzusetzen.

Das muss ich mir als Unternehmen auch vergegenwärtigen, klar kostet Datenschutz Geld, aber wenn ein Bußgeld dann 66-fach erhöht ist, dann tut es richtig weh. An der Stelle ist es dann wirklich besser Datenschutz zu beachten, als ihn nicht zu beachten.

Bisher hatten wir eine andere Ausgangssituation. Da konnte jedes Unternehmen sagen, dieses kleine Bußgeld, das da festgesetzt wird, das nehme ich doch in Kauf und erspare mir dadurch Kosten an anderer Stelle.

Das wird sich in Zukunft ändern. Es wird alles bußgeldbewährt sein, was an Pflichten in der DSGVO angelegt ist. Es gibt keine Schlupflöcher mehr!

Die Tatsache, dass Bußgelder wirklich weh tun sollen, das ist ja auch ein Ziel der DSGVO, dies wird dann auch dazu führen, dass Unternehmen eine höhere Sensibilität gegenüber Datenschutz aufbringen.

Und dann kommt noch eins hinzu, es ist ja auch eine Frage der Reputation. Welches Unternehmen will sich das eigentlich in Zukunft leisten, in der Öffentlichkeit auf diese Art und Weise stigmatisiert zu werden.

zurück zu den Fragen

BW: Betr. Datenschutzbeauftragte sind im allgemeinen keine Juristen. Ist die Umsetzung für nicht Juristen mit der für BDSB erforderlichen Sachkunde rechtssicher machbar?

Das kann man lernen, dafür muss man nicht Jurist sein. Zunächst einmal muss sich jeder vergegenwärtigen, die Accountability liegt bei der Unternehmensleitung und nicht beim Datenschutzbeauftragten. Der Datenschutzbeauftragte hat eine sog. Überwachungs- und Beratungsfunktion. Das muss man schon sehr sauber voneinander trennen, und Überwachungsfunktion, das ist der deutsche Ausdruck im englischen Text steht Controlling. Controlling ist eigentlich auch ein bisschen was anderes als eine reine Überwachungsfunktion.

Ein Datenschutzbeauftragter sollte aus meiner Sicht auch einen gewissen technischen Sachverstand mitbringen, um diese Verarbeitungsvorgänge dann technisch auch zu verstehen. Und im Übrigen, was die Datenschutzgrundverordnung und das BDSG angeht, kann man das lernen. Also wir z.B. hier bei uns in der Behörde führen Kurse für behördliche Datenschutzbeauftragte durch. Wir machen das aber nur im behördl. Bereich, weil wir nicht wirtschaftlich tätig sind. Aber genauso gibt es natürlich solche Kurse auch im betrieblichen Bereich und da hat man die Möglichkeit, sich entsprechend ausbilden zu lassen und das reicht.

BW: Welche Hilfestellungen können die Behörden einem betr. Datenschutzbeauftragten an die Hand geben?  Diese Frage haben Sie teilweise schon zuvor beantwortet, es wurde die Möglichkeit der Konsultation genannt und  es wurden Ihre vielfältigen Kurzpapiere erwähnt, die auch bereits auf diesem Blog an diversen Stellen verlinkt sind.

Die Kurzpapiere werden auch dankbar angenommen, dieses Feedback habe ich aus vielen Richtungen bekommen. Man ist sehr froh, dass es diese Kurzpapiere gibt und darauf wird zahlreich zurückgegriffen.

Aber wir stehen natürlich auch ansonsten zur Verfügung. Wir versuchen mit den Kurzpapieren eine Vielzahl von Unternehmen anzusprechen, aber wer jetzt konkrete Anliegen hat, der kann natürlich auch zu uns kommen. Diese Beratungsfunktion haben wir auch schon heute, und darüber hinaus, sage ich bei keiner Vortragsanfrage nein, wenn ich sie denn zeitlich in meinen Kalender einbauen kann. Wenn ich das selber nicht erledigen kann, dann macht es mein Vertreter und es gibt inzwischen auch einige Referatsleitungen, die unterwegs sind, und zu bestimmten Themen referieren und Vorträge halten.

Das machen wir also auch. Das ist auch eine Form von Sensibilisierung. Zwar eher allgemeiner Natur, nicht bezogen auf konkrete Sachverhalte, aber mit diesen Vorträgen machen wir auch deutlich, was wir als Aufsichtsbehörde erwarten.

Ich würde sagen, das sind so die drei Elemente:

Wir haben auch die Guidelines der Artikel-29-Datenschutzgruppe veröffentlicht, das sind zwar im Moment noch Workingpapers. Da aber die Artikel-29-Datenschutzgruppe übergehen wird in den europ. Datenschutzausschuß, kann man davon ausgehen, dass diese Papiere, die jetzt veröffentlicht werden, dann eben auch Guidelines sind und demzufolge nicht nur einen unverbindlichen Charakter haben.

BW: Die Kurzpapiere, z.B. das zum Thema Auftragsverarbeitung. Sie sind in einer einfachen und verständlichen Sprache geschrieben, oftmals gibt es Punkte, die man mit Ja oder Nein bewerten kann. Ich nutze sie selber in meiner beruflichen Praxis und finde sie sehr hilfreich.

zurück zu den Fragen

BW: Wie beurteilen Sie bei internen DSB die unabhängige Beraterfunktion vs. Abhängigkeit vom Arbeitgeber. Ich stelle oftmals fest, dass die Abhängigkeit zum Wohl des Unternehmens sehr hoch angesiedelt ist.

Na, ja schwierig ist das schon mal dann, wenn der DSB nicht nur Datenschutzbeauftragter ist, sondern gleichzeitig auch noch irgendeinen operativen Bereich bearbeiten muss. Dann ist er sozusagen Diener zweier Herren und das ist schon schwierig. Da muss man dann sehr genau gucken, dass es keine Interessenkollisionen gibt. Wir haben schon Fälle in der Praxis erlebt, in denen diese Interessenkollisionen tatsächlich vorhanden waren. Das Modell des betr. Datenschutzbeauftragten ist theoretisch gut angelegt, in der Praxis ist es oftmals schwierig.

Ich glaube, dass die DSB in kleineren Unternehmen hier schon so ihre Schwierigkeiten haben. Und wenn sie dann auf ihre Unabhängigkeit pochen und ihre Weisungsungebundenheit, das dürfte in der Praxis nicht immer so einfach umzusetzen sein.

Dann kommt hinzu, dass die DSGVO ja dieses Thema Kündigungsschutz nicht explizit erwähnt. Wir sind aber der Auffassung, dass es nachwievor hier einen Kündigungsschutz geben muss.

zurück zu den Fragen

BW: Steht der Kündigungsschutz im Moment nicht mehr explizit drin?

In der DSGVO ist er nicht erwähnt. Ich werde aber nochmal im BDSGneu nachsehen, ob dort etwas ausdrücklich gesagt worden ist. Das Thema Kündigungsschutz ist problematisch, wenn man die DSGVO mit den Regelungen, die bisher bestehen, vergleicht.

BW: Da habe ich oft Rückfragen. Wenn ich einen internen DSB nehme, sagte mir ein Unternehmer, dann hat der MA ja einen speziellen Kündigungsschutz, ähnlich wie der Betriebsrat…

Hat er auch momentan! Wir gehen davon aus, dass das bestehen bleibt, aber die rechtliche Konstruktion ist nicht ganz so einfach. Das müssen wir uns nochmal angucken. Das ist auch so ein Thema, mit dem ich mich nochmal beschäftigen wollte, weil das immer wieder mal erwähnt wird.

zurück zu den Fragen

BW: Ein Datenschutzbeauftragter, der seinen Job ernst nimmt, ist ja zuweilen sehr unbequem, gerade, wenn er Rückgrat zeigt.

Das muss er auch! Da haben es die behördl. DSB wesentlich einfacher, die sind auch unbequem, ich habe aus meiner früheren Tätigkeit da auch entsprechende Erfahrungen gesammelt. Die Erfahrung, dass es zwar einen DSB gibt, der aber tatsächlich gar nicht aktiv wird, weil er so viel mit fachlichen Aufgaben zu tun hat, dass er sich gar nicht um das Thema Datenschutz kümmern kann und es auch gar nicht als so bedeutsam einschätzt. Ich habe aber auch die Erfahrung gemacht, dass wenn jemand sich wirklich nur ausschließlich um Datenschutz kümmert, der lästig ist, man ihn als unangenehm empfindet, der dann eben aber auch in vollem Umfang seiner Beratungsfunktion nachkommt. Aber er ist auf jeden Fall im öffentlichen Dienst geschützter, als das in der freien Wirtschaft der Fall ist.

Das ist schon ein Problem.

zurück zu den Fragen

BW: Spätestens, wenn man sich die Bußgelder so anschaut, kann man erkennen, dass dem Datenschutz eine hohe Wichtigkeit zugeschrieben wird. Haben Sie eine Idee, wie man dieses Thema noch besser transportieren kann, so dass es für Betriebe zur Selbstverständlichkeit wird?

Tja, was kann man da tun? Es gibt ja jetzt Aktivitäten, die in die Richtung gehen, Unternehmen auszuzeichnen. Ich habe schon einleitend gesagt, es muss gelingen, das ist jetzt der Anspruch. Es muss gelingen, Datenschutz zum Qualitätsmerkmal zu entwickeln, um daraus dann Wettbewerbsvorteile zu entwickeln, das ist das Ziel.

Unser ehem. Bundespräsident hat mal gesagt, „Datenschutz ist der Umweltschutz des 21. Jhd. “ Umweltschutz ist heute auch selbstverständlich.bEs gibt immer irgendwelche schwarzen Schafe, aber in der Regel ist das selbstverständlich. Jetzt würde ich zunächst einmal darauf setzen, dass der Wille, an dieser Stelle Gutes zu bewirken, mit Blick darauf, dass es um Grundrechtsschutz geht, und mit Blick auf das Vertrauen der Bürgerinnen und Bürger, dass der Wille grundsätzlich vorhanden ist.

Über den Weg der Zertifizierung kann dies auch nach außen getragen werden. Oder eben auch über den Weg der Selbstverpflichtung, Stichwort: corporate rules, code of conduct, das sind auch Elemente, die jetzt in der DSGVO angelegt sind. Dass vielleicht gute Beispiele andere Unternehmen dazu bringen, sich diesen guten Beispielen anzuschließen. Erstmal vertraue ich auf diesen Selbstreinigungsprozeß und wenn das nicht ausreichend sein sollte, dann werden wir mit Sanktionen, also Bußgeldern arbeiten müssen.

Und das wird auch einen großen Schritt in Richtung „Datenschutz ist Grundrechtsschutz“ bewirken, aus meiner Sicht. Also mehr Ideen hätte ich im Moment nicht.

Man kann freiwillige Preise vergeben, das geschieht auch schon, dass Preise ausgerufen werden, für besonders datenschutzfreundliches Verhalten. Wir haben vorhin über Reputation gesprochen, dann können Unternehmen auch damit werben, ich halte das nicht für so ganz unwichtig. Das wären flankierende Maßnahmen vielleicht. Vielleicht noch, besonders datenschutzfreundliche Produkte, da habe ich jetzt schon mal gehört, die Unternehmen sind bereit, besonders datenschutzfreundliche Produkte anzubieten, aber es muss sich auch rechnen. Und an der Stelle habe ich jetzt auch noch keine Lösung, da habe ich noch keinen Königsweg, es ist beim Umweltschutz genau das gleiche gewesen, dass man da am Anfang auch gesagt hat, es sei alles viel zu teuer.

Man könnte vielleicht vonseiten des Staates damit arbeiten, dass man solche Dinge fördert, dass man Förderprogramme ausruft. Gerade wenn es um privacy by design und privacy by default geht, das muss staatlicherseits aus meiner Sicht dann auch unterstützt werden. Man kann nicht nur auf den Willen der Unternehmen setzen.Ich bin mal Europadezernentin gewesen in der Region Hannover, und habe mich in der Zeit mit der neuen Förderperiode beschäftigt, wir haben die EFRE Programme im Wirtschaftsbereich, ELA-Programme, im landwirtschaftlichen Bereich, dann haben wir den ESF, der ist im sozialen Bereich unterwegs. Die EU hat in dieser laufenden Förderperiode das erste Mal deutlich Ziele gesetzt für die Fördermaßnahmen und für die Umsetzung in den einzelnen Staaten. Wie wäre es denn, wenn dieser Impuls dann auch mal von der EU ausginge, um der eigenen DSGVO dann eine entsprechende Kraft auch zu geben, Ziele zu setzen, mit denen Förderprogramme in den eigenen Staaten entwickelt werden können. Aus meiner Sicht könnte das für die nächste Förderperiode ein guter Weg sein.

zurück zu den Fragen

BW: Gute Ideen, positive Verstärkung wirkt ja bekanntermaßen besser als negative

Ja, ich denke schon, dass wir staatliche Unterstützung brauchen. Gut, das könnte schon von der EU an die Staaten herangeführt werden, und die Staaten ihrerseits entwickeln dann eben entsprechende Programme.

BW: Fühlt sich Ihre Behörde auf die erweiterten Anforderungen genügend vorbereitet?

Nicht komplett, nein. Diese Behörde hat sich vergrößert, im Haushalt 2017/18 hat der niedersächsische Landtag aus meiner Sicht schon mal sehr deutlich gemacht, dass er gewillt ist, uns an dieser Stelle auch zu unterstützen. Insgesamt 10 Stellen sind uns bewilligt worden, und wenn man überlegt, dass wir von 40 Stellen kommen, und dann Ende 2018 50 Stellen haben werden, das ist ja immerhin eine Aufstockung um 25%. Die 10 Stellen sind aber nicht genug, ich habe mich mit dem Landtag so verständigt, allerdings noch mit der letzten Landesregierung, dass ich für den nächsten Haushalt Zahlen, Daten, Fakten nenne und dass dann nochmal aufgestockt werden muss, in welcher Höhe auch immer.

Diese Zahlen, Daten, Fakten werden wir für den nächsten Haushalt zusammentragen und dann werde ich mich bemühen auch nochmal etwas durchzusetzen, wir werden sehen.

zurück zu den Fragen

Wir bedanken uns bei Barbara Thiel für das zugewandte Interview und die hilfreichen Informationen. Das Interview wurde geführt und bearbeitet von Britta Wellmann

DSGVO Vortrag beim URV

Vortrag zum Thema DSGVO

DSGVO
Quelle: GDD.de

Wie fit sind Sie zum Thema DSGVO? Welchen Stellenwert hat der betriebliche   Datenschutz in Ihrem Unternehmen? Halten Ihre Prozesse einer Überprüfung der zuständigen Landesbehörde stand? Haben Sie überhaupt einen ernstzunehmenden betr. Datenschutzbeauftragten, oder haben Sie das Thema jemandem übergebraten, der gerade in der Nähe stand und nicht schnell genug flüchten konnte?

Diesen Fragen sollten Sie sich am besten JETZT stellen.

Die DSGVO tritt im Mai 2018 ohne Übergangsfrist in Kraft. Sie verursacht zur Zeit diffuse Ängste und Unsicherheiten bei Unternehmen insbesondere bei denjenigen, die sich bisher mit dem Thema Datenschutz eher nur am Rande oder gar nicht befasst haben. Fakt ist, in einigen Punkten ist die DSGVO genauer formuliert als das BDSG, somit ist es etwas einfacher geworden, rechtssicher zu agieren. Leider ist es auch so, dass die Behörden ihr Personal aufstocken und es ab dem kommenden Jahr vermehrt Kontrollen in Unternehmen geben wird. Hier sollte man zumindest zeigen können, dass das Unternehmen sich intensiv und nach bestem Wissen und Gewissen mit dem Schutz personenbezogener Daten befasst. Der Aufwand für den betrieblichen Datenschutz wird höher, die Kosten werden steigen, aber in Zeiten von digital Media ist dies sicher eine logische Folge.

Wir wollen gemeinsam schauen, was zu tun ist, wie man den Aufwand für den betr. Datenschutz auf das notwendige Mass begrenzen und trotzdem rechtssicher unterwegs sein kann.

  • DSGVO ab Mai 2018 was bedeutet das?
  • Die wichtigsten Änderungen
  • Was ist jetzt zu tun?
  • Arbeitnehmerdatenschutz
  • Anonymisierung von Daten
  • Die Landesbehörde in Niedersachsen
  • Diskussion

Dieser Vortrag findet am 15. November 2017 statt. Veranstalter ist der URV. Sie möchten einen Vortrag oder eine Schulung bei mir buchen, kontaktieren Sie mich, ich freue mich auf Sie und sichere Ihnen eine fachkundige und seriöse Beratung zu.

Download Vortrag

 

digitale Signatur

digitale Signatur, was ist das, wie geht das, wofür brauche ich das?

Früher war die rechtsverbindliche, persönliche Unterschrift auf Dokumenten der Nachweis für die Echtheit, für die Authentizität des Absenders. Das Senden von Fax-Nachrichten ist seit vielen Jahren aus der Mode gekommen, die meisten Dokumente werden ganz einfach an Emails angehängt und versendet. Geht schneller und spart Porto.

In Zeiten, in denen Diebstahl ganz einfach vom Sofa aus zu machen ist, nebenbei läuft noch die Lieblingsserie, machen sich viele Menschen Gedanken darüber, ob die Dokumente eigentlich echt sind, die sie so bekommen. Einen Emailabsender zu fälschen ist mit wenig krimineller Energie und geringem technischem Wissen mit Hilfe von google sehr leicht möglich.

Woher soll der Empfänger denn nun wissen, ob erstens Absender und zweitens Dokument echt und unverändert sind? Hier kommt für rechtlich relevante Dokumente die digitale Signatur ins Spiel.

digitale Signatur – elektronische Signatur

Meint im Prinzip dasselbe. Der juristische Begriff ist allerdings elektronische Signatur. Es gibt verschiedene Sicherheitsstufen der digitalen Signatur, wer das nachlesen möchte, findet es in den folgenden Rechtsschriften:

SignaturGesetz SigG

Verordnung zur elektronischen Signatur SigV

Wie funktioniert das nun technisch?

Die einfache digitale Signatur basiert auf einem Schlüsselpaar. Dem öffentlichen und dem privaten Schlüssel. Der private Schlüssel wird zum Entschlüsseln der Nachricht benötigt, der öffentliche Schlüssel zum Verschlüsseln. Der öffentliche Schlüssel wird in der Regel mit einem sogenannten Hashwert kombiniert, mit dem Ergebnis wird dann die Mail digital unterschrieben, also signiert.

Beispiel: Sie möchten sicherstellen, dass ein Dokument den Empfänger unverändert erreicht.

Senderseite

  • Fügen Sie das Dokument in eine Emailnachricht ein
  • Mithilfe spezieller Software (s.u.)  erzeugen Sie einen Fingerabdruck (Hash-Wert) des Dokumentes.
  • Nun verschlüsseln Sie den Hashwert mit Ihrem privaten Schlüssel
  • Das Ergebnis wird nun zur Signatur Ihrer Email, diese Signatur ist jedesmal anders.

Empfängerseite

  • Der Empfänger vergleicht nun mit Hilfe des öffentlichen Schlüssels den Hashwert Ihrer Nachricht, hiermit kann sichergestellt werden, dass der Inhalt von Ihnen stammt und unverändert ist.

Signatur vs. Verschlüsselung

Weil diese Begriffe oftmals in einen Topf geworfen werden, hier die Unterscheidung. Eine Signatur ist eine authentifizierte Unterschrift, bei einer Verschlüsselung wird der gesamte Inhalt verschlüsselt, so dass er nur mit dem entsprechenden Schlüssel (auch bei der Verschlüsselung wird das Verfahren angewendet) gelesen werden kann. In der Praxis werden oftmals beide Verfahren miteinander kombiniert.

digitale Signatur in der Praxis

In der Praxis wird man die elektronische Signatur in Verbindung mit einem Zertifikat verwenden. Das Zertifikat kann man bei einer Zertifizierungsstelle beantragen, dieses wird dann in ein öffentliches Verzeichnis eingetragen, so daß die echte Identität jederzeit nachvollziehbar ist.

Als Software kann zum Beispiel gpg für Windows verwendet werden, wenn es kostenlos sein soll. Natürlich gibt es jede Menge Anbieter passender Software.

Zertifizierungsstellen

Hier eine Liste der Bundesnetzagentur

Zusätzliche Infos

Hier ein sehr nützlicher Link zum Signaturrecht

Vortrag für den URV am 12. April 2016

Vortrag für den URV am 12. April 2016

Mein Vortrag für den URV zum Thema betrieblicher Datenschutz letzte Woche Vortrag beim URVwar gut besucht. Die Teilnehmer waren interessiert am Thema, es wurden viele Fragen gestellt und nicht zuletzt kamen im Nachgang interessante Anfragen. Vielen Dank an die Firma Deuteron für die Ausrichtung der Veranstaltung und an den  URV für die wie immer gute Organisation.

Besonderes Interesse erzeugten erwartungsgemäß die Themen: Datenschutz und SocialMedia, Datenschutz in Bezug auf cloud computing und die Fragestellung wer benötigt einen betrieblichen Datenschutzbeauftragten.

Wie ist es um den Datenschutz in Ihrem Unternehmen bestellt? Ab dem 10. Mitarbeiter, der regelmäßig mit elektronisch gespeicherten, personenbezogenen Daten arbeitet, ist ein betrieblicher Datenschutzbeauftragter gesetzlich vorgeschrieben.
Gerne können Sie mich zu diesem Thema unverbindlich ansprechen.

http://www.urv-online.de/index.php/einzelansicht/vortragsveranstaltung-betrieblicher-datenschutz.php

Vortrag im April: „Datenschutz im Unternehmen“

Am 12. April in der Zeit zwischen 16.00 bis 18.00 Uhr werde ich für den URV Unternehmensverband Rotenburg-Verden einen Vortrag zum Thema „Datenschutz im Unternehmen – muß das sein?“ halten.

Hier die vorläufige Agenda:

  • betr. Datenschutz eine Einführung
  • personenbezogene Daten
  • Zweckbindungs- und Erforderlichkeitsprinzip
  • Rechte von Betroffenen (Auswahl)
  • Datenschutz in Bezug auf Email, WhatsAPP & Co
  • Homeoffice, Umleitung auf priv. Mailadressen u.ä.
  • Sammeln von Mailadressen für Werbezwecke (opt-in)
  • Aufgaben des betr. Datenschutzbeauftragten
  • interner Mitarbeiter vs. ext. Dienstleister

Der Ort steht erst kurz vorher fest.

Was macht denn google so, die Datenschutzerklärung von google

Habt Ihr sie kürzlich auch bekommen, die aktuellste Fassung der google Datenschutzerklärung?

Hier der Link: google-Datenschutz

Ich hatte jetzt mal Lust, mir das ganze genauer anzuschauen.  Unter dem Punkt von uns erhobene Informationen, findet man dieses hier:

Wir erfassen Informationen, um allen unseren Nutzern bessere Dienste zur Verfügung zu stellen – von der Feststellung grundlegender Aspekte wie zum Beispiel der Sprache, die Sie sprechen, bis hin zu komplexeren Fragen wie zum Beispiel der Werbung, die Sie besonders nützlich finden, den Personen, die Ihnen online am wichtigsten sind, oder den YouTube-Videos, die Sie interessant finden könnten.

Es geht also um Nutzertracking und Werbung, nichts neues, aber „Personen, die Ihnen online am wichtigsten sind“ Was geht das bitte google an?

Weiter schreiben sie, dass sie gerätebezogene Informationen mitschneiden, wenn ich bestimmte Dienste nutze.

Wir erfassen gerätespezifische Informationen, beispielsweise das Modell der von Ihnen verwendeten Hardware, die Version des Betriebssystems, eindeutige Gerätekennungen und Informationen über das Mobilfunknetz einschließlich Ihrer Telefonnummer. Google verknüpft Ihre Gerätekennungen oder Telefonnummer gegebenenfalls mit Ihrem Google-Konto.

Wird noch besser:

Einzelheiten zu der Art und Weise, wie Sie unsere Dienste genutzt haben, beispielsweise Ihre Suchanfragen.

Telefonieprotokollinformationen wie Ihre Telefonnummer, Anrufernummer, Weiterleitungsnummern, Datum und Uhrzeit von Anrufen, Dauer von Anrufen, SMS-Routing-Informationen und Art der Anrufe.

IP-Adresse.

Daten zu Geräteereignissen wie Abstürze, Systemaktivität, Hardware-Einstellungen, Browser-Typ, Browser-Sprache, Datum und Uhrzeit Ihrer Anfrage und Referral-URL.

Cookies, über die Ihr Browser oder Ihr Google-Konto eindeutig identifiziert werden können.

Diese Datenschutzerklärung von google ist meterlang, es stellen sich gewisse Ermüdungserscheinungen beim Lesen ein. Aber der folgende Satz hat mich dann wieder wach gemacht:

Unsere automatisierten Systeme analysieren Ihre Inhalte (einschließlich E-Mails), um Ihnen für Sie relevante Produktfunktionen wie personalisierte Suchergebnisse, personalisierte Werbung sowie Spam- und Malwareerkennung bereitzustellen.

Super, die lesen Emails mit, was ist denn mit dem guten alten Postgeheimnis?

Es geht dann weiter, in schön formulierten Passagen, schreiben Sie dann, dass sie alle möglichen Informationen zusammen führen, um den besten Nutzen daraus zu haben.

verknüpfen wir personenbezogene Daten aus einem Dienst mit Informationen und personenbezogenen Daten aus anderen Google-Diensten.

Auch scheint google sehr bestrebt, sich möglichst nicht an unser BDSG zu halten.

Sofern wir den Zugriff auf und die Berichtigung von Daten gewähren können, erfolgt dies grundsätzlich kostenlos, außer in Fällen, in denen dies einen unverhältnismäßigen Aufwand erfordern würde.

Dies bestärkt mich in meinem bereits vor Jahren gefassten Beschluss, keine google Dienste zu nutzen, die auf meinen Geräten installiert werden müssen, also weder earth, noch hangout und schon gar nicht google chrome. Denn alles, was google heisst, finanziert sich durch großangelegtes Datentracking. Ich habe und hatte auch noch nie ein gmail-Konto und vermeide aus o.g. Gründen Leute anzumailen, die ein solches Konto haben. Denn, google liest ja die Emails mit auch die, die ich an gmail-Empfänger schicke.

Vielen Menschen heute ist ja Datenschutz egal, sie nutzen, das was alle nutzen, weil sie sonst Angst haben, außen vor zu sein. Ich persönlich möchte mir gerne meinen persönlichen Minimalanteil an Privatsphäre erhalten.

Massendatenspeicherung, tolles Wort

So nun soll sie doch kommen, die Massendatenspeicherung. Massenhaft Buchstaben in diesem Wort. Man hat nun sehr lange daranrumgefeilt, nachdem sie ja schon mehrfach unter anderem am EuGH abgeschmettert wurde. Nun wurde endlich eine Formulierung gefunden, für die dann eine rechtliche Grundlage geschaffen werden konnte.

Gemeint ist damit die Speicherung von Telekommunikationskopfdaten für nun in der neuen Variante für 4-10 Wochen. Um, natürlich mit richterlichem Beschluß, im Falle von Straftaten, diese Daten auswerten zu können und auch um im Vorwege Straftaten verhindern zu können.

Kopfdaten
Das sind alle Verbindungsdaten ausser Inhaltsdaten. Also wer mit wem unter welcher Nummer wie lange telefoniert, gechattet xyz hat.

Sie spukt mir schon sehr lange im Kopf herum diese Massendatenspeicherung. Es stellen sich mir wieder viele Fragen:

  • Wo sollen sie hin diese Massendaten, die da gespeichert werden sollen
  • Wer bezahlt das ganze? Es werden ja die Telefon- und Internetprovider in die Pflicht genommen, dieses zu tun, das heisst wahrscheinlich, dass sie ihre Systeme darauf anpassen müssen, ist bestimmt teuer.
  • Wer soll sie dann im Falle eines Falles auswerten, diese Massen von Daten, die da in der Massendatenspeicherung gespeichert werden?

Die Namensgebung ist auch super, Massendatenspeicherung, da muß ich gleich an Messies denken, die alles sammeln und nichts wegwerfen können. Es gibt noch das Synonym Vorratsdatenspeicherung. Speicherung auf Vorrat, so wie Suppe, falls uns die Daten mal ausgehen. Ok, ich höre jetzt auf und denke nochmal ernsthaft darüber nach:

Die Vorratsdaten, die ja nun zwischen 4 und 10 Wochen gespeichert werden, wer das wie festlegt, konnte ich noch nicht plausibel herausfinden, müssen danach wieder gelöscht werden. Sie dürfen nur ausgewertet werden, wenn es einen richterlichen Beschluß gibt. Da stellt sich natürlich die Frage, wie funktioniert das technisch.

Beispiel:
Mutmasslicher Terrorist x hat 5 Handys bei unterschiedlichen Providern, noch diverse Internetzugänge und unzählige Mailadressen. Es wird jetzt vermutet, dass der mutmassliche Terrorist x einen Anschlag auf Flughafen irgendwo plant. Der überarbeitete Richter gibt die Erlaubnis, diese Daten auszuwerten. Ab jetzt bis minus 10 Wochen würde ich sagen, oder? Wie bekommen jetzt diejenigen, die die Daten auswerten alle Daten?

Es erschliesst sich mir nicht, wie das ohne eine Art Metadatenbank, die alle Daten zusammenführt, funktionieren soll. Desweiteren gibt es in den Massendaten des mutmasslichen Terroristen x wahrscheinlich auch sehr viele Verbindungen zu Teilnehmern ohne terroristischen Hintergrund. Da hat er mal den Klempner angerufen, min. 3 mal beim Pizzaexpress (sind die jetzt auch verdächtig? 3 mal und die Pizzabecker sind alle arabischer Abstammung), Anruf bei Oma etc. Müssen jetzt die Verbindungsdaten dieser Teilnehmer auch ausgewertet werden? Oma hat bei dem selben Pizzaexpress bestellt und hat denselben Klempner (bei ihr war der 5 mal, die Heizung ging nicht), ist das vielleicht eine Gruppe? Und der Zeitrahmen, beim Angriff auf den Bundestag, haben sie 3 Monate benötigt, ehe sie tätig wurden.

Ihr seht, mangels Verständnis für diese Angelegenheit, schiessen mir viele Gedanken durch den Kopf, nicht alle sind ernst gemeint. Der mutmassliche Terrorist x ist eine Phantasiegestalt, eventuelle Ähnlichkeiten mit noch lebenden Personen sind rein zufällig.

Und Übrigens: In Frankreich gibt es bereits die Speicherung von Verbindungsdaten, und hat es prophylaktisch genützt bei Charlie?

 

Safe-Harbor Abkommen / neues Urteil

Seit dem 6. Oktober 2015 gibt ein neues Urteil des europäischen Gerichtshofes zum Thema Kontrolle der Verarbeitung von personenbezogenen Daten von EU-Bürgern durch die  Landesdatenschutzbeauftragten der Mitgliedsstaaten.

Was ist das Safe-Harbor Abkommen?

Das Safe-Harbor Abkommen wurde im Jahr 2000 zwischen der europäischen Kommission und der US-Regierung geschlossen. Es wurde vereinbart, weil nach Art. 25 und 26 der Europäischen Datenschutzrichtlinie, der Export von personenbezogenen Daten in Drittländer verboten ist. Bei dem Safe-Harbor Abkommen handelt es sich um Prinzipien zur Verarbeitung von personenbezogenen Daten, dadurch ist es möglich, Daten in die USA zu exportieren. Es müssen folgende Prinzipien erfüllt werden: “

  1. Informationspflicht: die Unternehmen müssen die Betroffenen darüber unterrichten, welche Daten sie für welche Zwecke erheben und welche Rechte die Betroffenen haben.
  2. Wahlmöglichkeit: die Unternehmen müssen den Betroffenen die Möglichkeit geben, der Weitergabe ihrer Daten an Dritte oder der Nutzung für andere Zwecke zu widersprechen.
  3. Weitergabe: wenn ein Unternehmen Daten an Dritte weitergibt, muss es die Betroffenen darüber und die unter 2. aufgeführte Wahlmöglichkeit informieren.
  4. Zugangsrecht: die Betroffenen müssen die Möglichkeit haben, die über sie gespeicherten Daten einzusehen und sie ggfs. berichtigen, ergänzen oder löschen können.
  5. Sicherheit: die Unternehmen müssen angemessene Sicherheitsvorkehrungen treffen, um die Daten vor unbefugtem Zugang oder vor Zerstörung und Missbrauch zu schützen.
  6. Datenintegrität: die Unternehmen müssen sicherstellen, dass die von ihnen erhobenen Daten korrekt, vollständig und zweckdienlich sind.
  7. Durchsetzung: die dem Safe Harbor beigetretenen Unternehmen verpflichten sich zudem, Streitschlichtungsmechanismen beizutreten, so dass die Betroffenen ihre Beschwerden und Klagen untersuchen lassen können und ihnen im gegebenen Fall Schadensersatz zukommt.

Quelle: http://www.bfdi.bund.de/DE/Europa_International/International/Artikel/SafeHarbor.html

Interessant!

Beispiel: Dienste wie Facebook und WhatsApp verdienen ihr Geld über das sammeln, kategorisieren und weitergeben von personenbezogenen Daten. Deshalb sind sie scheinbar kostenlos. Wie sähe es z.B. mit dem Punkt 2 Wahlmöglichkeit bei Facebook aus? Normalerweise müßte Facebook schon jetzt das Abkommen erfüllen, das tut Facebook aber nicht.

Das neue Gesetz macht es nun möglich, dass Betreiber von Diensten, bei denen die Einhaltung fragwürdig ist, kontrolliert werden dürfen.

Anm.: Auch eine Nutzung der Daten durch Geheimdienste stellt eine Weitergabe dar.

Facebook & Co: Datenschutz in Social Media

Heute lauschte ich dem Vortrag der bremischen Landesdatenschutzbeauftragten Imke Sommer in der Überseestadt in Bremen.

Natürlich ging es in dem Vortrag um den Datenschutz (um was auch sonst), informationelle Selbstbestimmung etc. Der Fokus lag auf Facebook. Selbstredend ging es auch um die Arbeit der Landesdatenschutzbeauftragten und deren Ziele.

2 Punkte haben mich zum Nachdenken gebracht

Frau Sommer propagiert, es müsse anonymisierte Profile auf Facebook geben

Abgesehen davon, dass es sie bereits gibt, frage ich mich, wäre dies wirklich eine tolle Errungenschaft und würde die informationelle Selbstbestimmung und den Datenschutz von Daten der Facebookuser weiter durchsetzen? Oder würde es vielmehr Cybermobbing Tür und Tor öffnen, bestimmten Gruppierungen noch mehr Möglichkeiten geben, sich in Gruppen einzuschleusen, um dann dort unter ihrem Pseudonym irgendwelche Parolen zu posten? Warum ist es erstrebenswert, dem Bürger die Möglichkeit zu geben, sein Recht auf Meinungsfreiheit unter einem Pseudonym auszuleben? Man kann dann ja (was man mit Verlaub auch jetzt schon kann) unter fremden Namen, über alle möglichen Leute herziehen und wird dann nicht zur Verantwortung gezogen. Da fallen dann ja schnell alle Hemmungen ab. Was ist denn mit der anderen Diskussion, die heute in dem Vortrag nicht zur Sprache kam, dass Facebook Inhalte kontrollieren und ggf. löschen soll, wenn sie gegen geltendes Recht verstoßen, das würde doch dann auch in den Kontext gehören?

Ich persönlich glaube, dass dies ein Weg in eine völlig verfehlte Richtung ist und wäre vielmehr dafür, dass FB Konten validiert werden sollten.

Photos in Facebook
Jedem ist bekannt, dass Facebook der Meinung ist, dass mit dem Posten eigener selbsterstellter Photos (eindeutiges Urheberrecht in Deutschland) alle Rechte mit an Facebook übertragen werden. Das soll Facebook ändern. Ja, ok, aber muß der Bürger wirklich vor sich selbst geschützt werden?

„Ist ein Dieb noch ein Dieb, wenn ich ihm mein Portemonnaie freiwillig gebe“

Server in den USA sind nicht sicher

Ach, ging ja auch jetzt schon durch die Medien. „Andere Länder, andere Sitten“ hat schon meine Oma immer gesagt. Natürlich gilt dort anderes Recht. Und natürlich muss man überlegen, ob man Daten, für die man verantwortlich ist, im Ausland hostet, denn nichts anderes ist das. Jeder ist selber verantwortlich, für das was er tut, man kann versuchen aufzuklären und das war es dann.

Informationelle Selbstbestimmung heisst ja auch, dass ich selber bestimmen kann/muß, welche Informationen ich in soziale Netzwerke einstelle.

Was unbestritten für mich ist, auch Facebook muss der Auskunftspflicht nach BDSG umfassend genügen und Inhalte müssen nicht wiedwerherstellbar gelöscht werden können, das ist ja jetzt nicht so.

siehe auch: IT-Sicherheit für private Nutzer; IT-Sicherheit Einführung

Die betr. Datenschutzbeauftragte / Aufgaben

Welches sind die Aufgaben der betrieblichen Datenschutzbeauftragten? Was tut denn nun diese Datenschutzbeauftragte?

Die betr. Datenschutzbeauftragte (DSB) stellt die Einhaltung des BDSG (Bundesdatenschutzgesetz) sicher. Und was bedeutet das? In den von mir neu übernommenen Betrieben herrscht insbesondere bei denen, die vorher noch keine Datenschutzbeauftragte hatten, Unsicherheit über die Tätigkeiten, die im Rahmen dieses Vertrages zu erbringen sind. Hier ein paar Beispiele für Firmen, die das erste Mal eine betr. Datenschutzbeauftragte bestellt haben:

Etablierung des Schutzes personenbezogener Daten und damit verbundener IT-Sicherheitseinrichtungen

  • Erstellung der öffentlichen Verfahrensverzeichnisse, die nach dem „jedermann-Prinzip“ jedem! zugänglich gemacht werden müssen und über die jede Firma verfügen muss!
  • Überprüfung des Kenntnisstandes derjenigen Mitarbeiter, die regelmäßig mit personenbezogenen Daten umgehen
  • Durchführung von regelmäßigen Unterweisungen für Mitarbeiter, z.B. bei Prozessänderungen, neuen gesetzl. Auflagen, in Schadensfällen, bei besonderen Anlässen…
  • Prüfung der Systeme auf Zugangssicherheit, Optimierung von Zugängen u.ä.
  • Schwachstellenanalysen, Zutritt, Zugang, Apps, mobile etc.
  • Erteilung von Auskünften u.ä. bei Anfragen von Betroffenen
  • Übernahme der Gespräche mit dem Beauftragten für den Datenschutz des jeweiligen Bundeslandes bei Kontrollbesuchen
  • Zusammenarbeit mit dem Betriebsrat, Erstellung von Mitarbeitervereinbarungen u.ä.
  • Beratung der Geschäftsführung zu Themen rund um den Datenschutz
  • ….

Wie geht das in der Praxis? Der Gesetzgeber geht davon aus, dass nicht alle Punkte immer sofort nach Bestellung einer neuen Datenschutzbeauftragten erfüllt werden können. Vielmehr ist betr. Datenschutz ein Prozess, der sich immer weiter entwickelt und verändert. Mehr Wissen schafft mehr Sicherheit. Jeder Betrieb hat seine Besonderheiten. Je nach Branche ist ein anderes Sicherheitsniveau anzustreben.

Aus diesem Grund empfiehlt der Gesetzgeber, diese Tätigkeit, wenn eine externe Datenschutzbeauftragte bestellt werden soll, im Rahmen eines Vertrages durchzuführen. Wegen der erhöhten Anforderungen sollte dieser Vertrag über min. 2 Jahre abgeschlossen werden.

Wir bieten für unsere Kunden deshalb Verträge an, die über 2 Jahre laufen und sich jeweils um 1 weiteres Jahr verlängern, wenn man miteinander weiterarbeiten möchte. Die Preise sind gestaffelt nach Unternehmensgrösse:

Wartungsvertrag 1: <15 Mitarbeiter
Wartungsvertrag 2: <25 Mitarbeiter
Wartungsvertrag 3: <50 Mitarbeiter

Unsere Kunden kommen aus den folgenden Bereichen: Medizin, techn. Gewerbe und Auftragsdatenverarbeitung (Versicherungen, Hausverwaltungen u.ä.)

Gerne beraten wir Sie unverbindlich, rufen Sie uns an!
Flyer Datenschutz und IT-Sicherheit