Querschnittsprüfung

Querschnittsprüfung der LFD Niedersachsen

Die DSGVO ist nun seit geraumer Zeit in Kraft getreten, ein guter Anlass einmal nachzusehen, wie es denn so aussieht. Die LFD hat darum eine Querschnittsprüfung durchgeführt, um sich einen Überblick zu verschaffen.

Die Querschnittsprüfung der Landesbeauftragten für den Datenschutz Niedersachsen fällt sehr mäßig aus. Diese Ergebnisse sind aus meiner Sicht wie erwartet.

50 mittelgroße und große Unternehmen erhielten einen Fragebogen. Mithilfe eines Kriterienkataloges wurde dieser Fragebogen zur Querschnittsprüfung ausgewertet. Das Ergebnis ist wie bereits erwähnt ernüchternd.

9 Unternehmenüberwiegend zufriedenst. Antworten
Querschnittsprüfung32 Unternehmenvereinzelter Handlungsbedarf
9 Unternehmenerhebliche Defizite

Defizite bei der Querschnittsprüfung

technisch-organisatorischer Datenschutz

Der technisch-organisatorischer Datenschutz  soll sicherstellen, dass die Rechte der betroffenen Personen, das sind die, deren Daten verarbeitet werden, angemessen geschützt werden. Hierzu zählen auch Schutzmassnahmen gegen Angriffe, wie z.B. Trojaner, Servereinbrüche, Notfallpläne u.ä.

Die Unternehmen scheinen immer noch nicht verstanden zu haben, dass es hier nicht vorrangig um den Schutz der eigenen Interessen geht, sondern dass der Schutz der verarbeiteten personenbezogenen Daten im Fokus steht.

Datenschutz-Folgenabschätzung

Die Datenschutz-Folgenabschätzung ist grundsätzlich vor der Umsetzung neuer Datenverarbeitungsverfahren zu erstellen, bei denen die Verarbeitung personenbezogener Daten voraussichtlich ein großes Risiko darstellt oder darstellen könnte. Hier soll das Risiko für die Betroffenen-Daten eingeschätzt werden, um das Sicherheitsniveau festzustellen und ggf. zu erhöhen.

Positive Ergebnisse bei der Querschnittsprüfung

Zufriedenstellende Antworten hat es gegeben zu den Themen Auftragsverarbeitung, Datenschutzbeauftragte, Meldung von Datenpannen und Dokumentationspflichten.

Wie geht es weiter?

Die LFD wird natürlich die mit rot bewerteten Unternehmen nachprüfen und dann ggf. auch Bussgelder verhängen. Aber natürlich wird sie diesen Bericht auch dazu nutzen, Unterstützung bei der Umsetzung derjenigen Themen zu geben, bei denen es mit der Umsetzung noch hapert.

20191105_Abschlussbericht_Querschnittsprfung

Vortrag für den URV am 12. April 2016

Vortrag für den URV am 12. April 2016

Mein Vortrag für den URV zum Thema betrieblicher Datenschutz letzte Woche Vortrag beim URVwar gut besucht. Die Teilnehmer waren interessiert am Thema, es wurden viele Fragen gestellt und nicht zuletzt kamen im Nachgang interessante Anfragen. Vielen Dank an die Firma Deuteron für die Ausrichtung der Veranstaltung und an den  URV für die wie immer gute Organisation.

Besonderes Interesse erzeugten erwartungsgemäß die Themen: Datenschutz und SocialMedia, Datenschutz in Bezug auf cloud computing und die Fragestellung wer benötigt einen betrieblichen Datenschutzbeauftragten.

Wie ist es um den Datenschutz in Ihrem Unternehmen bestellt? Ab dem 10. Mitarbeiter, der regelmäßig mit elektronisch gespeicherten, personenbezogenen Daten arbeitet, ist ein betrieblicher Datenschutzbeauftragter gesetzlich vorgeschrieben.
Gerne können Sie mich zu diesem Thema unverbindlich ansprechen.

http://www.urv-online.de/index.php/einzelansicht/vortragsveranstaltung-betrieblicher-datenschutz.php

Vortrag im April: „Datenschutz im Unternehmen“

Am 12. April in der Zeit zwischen 16.00 bis 18.00 Uhr werde ich für den URV Unternehmensverband Rotenburg-Verden einen Vortrag zum Thema „Datenschutz im Unternehmen – muß das sein?“ halten.

Hier die vorläufige Agenda:

  • betr. Datenschutz eine Einführung
  • personenbezogene Daten
  • Zweckbindungs- und Erforderlichkeitsprinzip
  • Rechte von Betroffenen (Auswahl)
  • Datenschutz in Bezug auf Email, WhatsAPP & Co
  • Homeoffice, Umleitung auf priv. Mailadressen u.ä.
  • Sammeln von Mailadressen für Werbezwecke (opt-in)
  • Aufgaben des betr. Datenschutzbeauftragten
  • interner Mitarbeiter vs. ext. Dienstleister

Der Ort steht erst kurz vorher fest.

Safe-Harbor Abkommen / neues Urteil

Seit dem 6. Oktober 2015 gibt ein neues Urteil des europäischen Gerichtshofes zum Thema Kontrolle der Verarbeitung von personenbezogenen Daten von EU-Bürgern durch die  Landesdatenschutzbeauftragten der Mitgliedsstaaten.

Was ist das Safe-Harbor Abkommen?

Das Safe-Harbor Abkommen wurde im Jahr 2000 zwischen der europäischen Kommission und der US-Regierung geschlossen. Es wurde vereinbart, weil nach Art. 25 und 26 der Europäischen Datenschutzrichtlinie, der Export von personenbezogenen Daten in Drittländer verboten ist. Bei dem Safe-Harbor Abkommen handelt es sich um Prinzipien zur Verarbeitung von personenbezogenen Daten, dadurch ist es möglich, Daten in die USA zu exportieren. Es müssen folgende Prinzipien erfüllt werden: “

  1. Informationspflicht: die Unternehmen müssen die Betroffenen darüber unterrichten, welche Daten sie für welche Zwecke erheben und welche Rechte die Betroffenen haben.
  2. Wahlmöglichkeit: die Unternehmen müssen den Betroffenen die Möglichkeit geben, der Weitergabe ihrer Daten an Dritte oder der Nutzung für andere Zwecke zu widersprechen.
  3. Weitergabe: wenn ein Unternehmen Daten an Dritte weitergibt, muss es die Betroffenen darüber und die unter 2. aufgeführte Wahlmöglichkeit informieren.
  4. Zugangsrecht: die Betroffenen müssen die Möglichkeit haben, die über sie gespeicherten Daten einzusehen und sie ggfs. berichtigen, ergänzen oder löschen können.
  5. Sicherheit: die Unternehmen müssen angemessene Sicherheitsvorkehrungen treffen, um die Daten vor unbefugtem Zugang oder vor Zerstörung und Missbrauch zu schützen.
  6. Datenintegrität: die Unternehmen müssen sicherstellen, dass die von ihnen erhobenen Daten korrekt, vollständig und zweckdienlich sind.
  7. Durchsetzung: die dem Safe Harbor beigetretenen Unternehmen verpflichten sich zudem, Streitschlichtungsmechanismen beizutreten, so dass die Betroffenen ihre Beschwerden und Klagen untersuchen lassen können und ihnen im gegebenen Fall Schadensersatz zukommt.

Quelle: http://www.bfdi.bund.de/DE/Europa_International/International/Artikel/SafeHarbor.html

Interessant!

Beispiel: Dienste wie Facebook und WhatsApp verdienen ihr Geld über das sammeln, kategorisieren und weitergeben von personenbezogenen Daten. Deshalb sind sie scheinbar kostenlos. Wie sähe es z.B. mit dem Punkt 2 Wahlmöglichkeit bei Facebook aus? Normalerweise müßte Facebook schon jetzt das Abkommen erfüllen, das tut Facebook aber nicht.

Das neue Gesetz macht es nun möglich, dass Betreiber von Diensten, bei denen die Einhaltung fragwürdig ist, kontrolliert werden dürfen.

Anm.: Auch eine Nutzung der Daten durch Geheimdienste stellt eine Weitergabe dar.

Die betr. Datenschutzbeauftragte / Aufgaben

Welches sind die Aufgaben der betrieblichen Datenschutzbeauftragten? Was tut denn nun diese Datenschutzbeauftragte?

Die betr. Datenschutzbeauftragte (DSB) stellt die Einhaltung des BDSG (Bundesdatenschutzgesetz) sicher. Und was bedeutet das? In den von mir neu übernommenen Betrieben herrscht insbesondere bei denen, die vorher noch keine Datenschutzbeauftragte hatten, Unsicherheit über die Tätigkeiten, die im Rahmen dieses Vertrages zu erbringen sind. Hier ein paar Beispiele für Firmen, die das erste Mal eine betr. Datenschutzbeauftragte bestellt haben:

Etablierung des Schutzes personenbezogener Daten und damit verbundener IT-Sicherheitseinrichtungen

  • Erstellung der öffentlichen Verfahrensverzeichnisse, die nach dem „jedermann-Prinzip“ jedem! zugänglich gemacht werden müssen und über die jede Firma verfügen muss!
  • Überprüfung des Kenntnisstandes derjenigen Mitarbeiter, die regelmäßig mit personenbezogenen Daten umgehen
  • Durchführung von regelmäßigen Unterweisungen für Mitarbeiter, z.B. bei Prozessänderungen, neuen gesetzl. Auflagen, in Schadensfällen, bei besonderen Anlässen…
  • Prüfung der Systeme auf Zugangssicherheit, Optimierung von Zugängen u.ä.
  • Schwachstellenanalysen, Zutritt, Zugang, Apps, mobile etc.
  • Erteilung von Auskünften u.ä. bei Anfragen von Betroffenen
  • Übernahme der Gespräche mit dem Beauftragten für den Datenschutz des jeweiligen Bundeslandes bei Kontrollbesuchen
  • Zusammenarbeit mit dem Betriebsrat, Erstellung von Mitarbeitervereinbarungen u.ä.
  • Beratung der Geschäftsführung zu Themen rund um den Datenschutz
  • ….

Wie geht das in der Praxis? Der Gesetzgeber geht davon aus, dass nicht alle Punkte immer sofort nach Bestellung einer neuen Datenschutzbeauftragten erfüllt werden können. Vielmehr ist betr. Datenschutz ein Prozess, der sich immer weiter entwickelt und verändert. Mehr Wissen schafft mehr Sicherheit. Jeder Betrieb hat seine Besonderheiten. Je nach Branche ist ein anderes Sicherheitsniveau anzustreben.

Aus diesem Grund empfiehlt der Gesetzgeber, diese Tätigkeit, wenn eine externe Datenschutzbeauftragte bestellt werden soll, im Rahmen eines Vertrages durchzuführen. Wegen der erhöhten Anforderungen sollte dieser Vertrag über min. 2 Jahre abgeschlossen werden.

Wir bieten für unsere Kunden deshalb Verträge an, die über 2 Jahre laufen und sich jeweils um 1 weiteres Jahr verlängern, wenn man miteinander weiterarbeiten möchte. Die Preise sind gestaffelt nach Unternehmensgrösse:

Wartungsvertrag 1: <15 Mitarbeiter
Wartungsvertrag 2: <25 Mitarbeiter
Wartungsvertrag 3: <50 Mitarbeiter

Unsere Kunden kommen aus den folgenden Bereichen: Medizin, techn. Gewerbe und Auftragsdatenverarbeitung (Versicherungen, Hausverwaltungen u.ä.)

Gerne beraten wir Sie unverbindlich, rufen Sie uns an!
Flyer Datenschutz und IT-Sicherheit

Datenschutz und Impressum auf Webseiten

Aus gegebenem Anlass, ich habe mir gerade mal wieder einige Webseiten derer angesehen, die ich kürzlich kennenlernte bzw. deren Veranstaltungen ich besucht habe. Jeder bastelt heute mit WordPress herum, trotzdem müssen einige Punkte beachtet werden:

Impressum
und
Datenschutzerklärung

sind Pflicht gehören als Link auf die Startseite jeder deutschen Webseite. In einem älteren Urteil zur Auffindbarkeit des Impressums urteilte der zuständige Richter, es müsse Impressum heissen und dürfe maximal 2 Klicks entfernt sein.

Die Datenschutzerklärung gehört ebenso dazu. Nach neuesten Urteilen muss diese gesondert erreichbar sein und darf nicht mehr in das Impressum eingefügt werden.

Es ist also nicht so wichtig, wer der Designer der Seite ist, sondern, dass sie rechtssicher erstellt wurde. Auch ändern sich diese Gesetze öfter als man denkt, bzw. es gibt Grundsatzurteile oder Empfehlungen (auch europäisch), diese müssen beachtet werden. Sonst sponsort man Rechtsanwälte ohne Job, die sich mit dem Schreiben von Abmahnungen verdingen.

Für Firmen, die die Pflicht haben, einen betr. Datenschutzbeauftragten zu bestellen, empfehle ich, dessen Kontaktdaten gleich in der Datenschutzerklärung mit anzugeben,

Wer Lust hat zu lesen, dem empfehle ich:

BDSG, Bundesdatenschutgesetz
TMG, Telemediengesetz

Beauftragter für den Datenschutz BDSG §4f

Der betriebliche Datenschutz ist im BDSG (Bundesdatenschutzgesetz) geregelt. Das BDSG gilt für öffentl. und nicht öffentl. Stellen! Der Gesetzgeber sieht weiterhin vor, dass Firmen, ab dem 10. Mitarbeiter, der regelmäßig personenbezogene Daten automatisiert verarbeitet, einen betriebl. Datenschutzbeauftragten (Beauftragter für den Datenschutz BDSG §4f) benötigt. Beauftragter für den Datenschutz BDSG §4f weiterlesen