Datenschutz Archive - Seite 4 von 5

Safe-Harbor Abkommen / neues Urteil

Seit dem 6. Oktober 2015 gibt ein neues Urteil des europäischen Gerichtshofes zum Thema Kontrolle der Verarbeitung von personenbezogenen Daten von EU-Bürgern durch die Landesdatenschutzbeauftragten der Mitgliedsstaaten.

Was ist das Safe-Harbor Abkommen?

Das Safe-Harbor Abkommen wurde im Jahr 2000 zwischen der europäischen Kommission und der US-Regierung geschlossen. Es wurde vereinbart, weil nach Art. 25 und 26 der Europäischen Datenschutzrichtlinie, der Export von personenbezogenen Daten in Drittländer verboten ist. Bei dem Safe-Harbor Abkommen handelt es sich um Prinzipien zur Verarbeitung von personenbezogenen Daten, dadurch ist es möglich, Daten in die USA zu exportieren. Es müssen folgende Prinzipien erfüllt werden: “

Informationspflicht: die Unternehmen müssen die Betroffenen darüber unterrichten, welche Daten sie für welche Zwecke erheben und welche Rechte die Betroffenen haben.
Wahlmöglichkeit: die Unternehmen müssen den Betroffenen die Möglichkeit geben, der Weitergabe ihrer Daten an Dritte oder der Nutzung für andere Zwecke zu widersprechen.
Weitergabe: wenn ein Unternehmen Daten an Dritte weitergibt, muss es die Betroffenen darüber und die unter 2. aufgeführte Wahlmöglichkeit informieren.
Zugangsrecht: die Betroffenen müssen die Möglichkeit haben, die über sie gespeicherten Daten einzusehen und sie ggfs. berichtigen, ergänzen oder löschen können.
Sicherheit: die Unternehmen müssen angemessene Sicherheitsvorkehrungen treffen, um die Daten vor unbefugtem Zugang oder vor Zerstörung und Missbrauch zu schützen.
Datenintegrität: die Unternehmen müssen sicherstellen, dass die von ihnen erhobenen Daten korrekt, vollständig und zweckdienlich sind.
Durchsetzung: die dem Safe Harbor beigetretenen Unternehmen verpflichten sich zudem, Streitschlichtungsmechanismen beizutreten, so dass die Betroffenen ihre Beschwerden und Klagen untersuchen lassen können und ihnen im gegebenen Fall Schadensersatz zukommt.„

Quelle: http://www.bfdi.bund.de/DE/Europa_International/International/Artikel/SafeHarbor.html

Interessant!

Beispiel: Dienste wie Facebook und WhatsApp verdienen ihr Geld über das sammeln, kategorisieren und weitergeben von personenbezogenen Daten. Deshalb sind sie scheinbar kostenlos. Wie sähe es z.B. mit dem Punkt 2 Wahlmöglichkeit bei Facebook aus? Normalerweise müßte Facebook schon jetzt das Abkommen erfüllen, das tut Facebook aber nicht.

Das neue Gesetz macht es nun möglich, dass Betreiber von Diensten, bei denen die Einhaltung fragwürdig ist, kontrolliert werden dürfen.

Anm.: Auch eine Nutzung der Daten durch Geheimdienste stellt eine Weitergabe dar.

Facebook & Co: Datenschutz in Social Media

Heute lauschte ich dem Vortrag der bremischen Landesdatenschutzbeauftragten Imke Sommer in der Überseestadt in Bremen.

Natürlich ging es in dem Vortrag um den Datenschutz (um was auch sonst), informationelle Selbstbestimmung etc. Der Fokus lag auf Facebook. Selbstredend ging es auch um die Arbeit der Landesdatenschutzbeauftragten und deren Ziele.

2 Punkte haben mich zum Nachdenken gebracht

Frau Sommer propagiert, es müsse anonymisierte Profile auf Facebook geben

Abgesehen davon, dass es sie bereits gibt, frage ich mich, wäre dies wirklich eine tolle Errungenschaft und würde die informationelle Selbstbestimmung und den Datenschutz von Daten der Facebookuser weiter durchsetzen? Oder würde es vielmehr Cybermobbing Tür und Tor öffnen, bestimmten Gruppierungen noch mehr Möglichkeiten geben, sich in Gruppen einzuschleusen, um dann dort unter ihrem Pseudonym irgendwelche Parolen zu posten? Warum ist es erstrebenswert, dem Bürger die Möglichkeit zu geben, sein Recht auf Meinungsfreiheit unter einem Pseudonym auszuleben? Man kann dann ja (was man mit Verlaub auch jetzt schon kann) unter fremden Namen, über alle möglichen Leute herziehen und wird dann nicht zur Verantwortung gezogen. Da fallen dann ja schnell alle Hemmungen ab. Was ist denn mit der anderen Diskussion, die heute in dem Vortrag nicht zur Sprache kam, dass Facebook Inhalte kontrollieren und ggf. löschen soll, wenn sie gegen geltendes Recht verstoßen, das würde doch dann auch in den Kontext gehören?

Ich persönlich glaube, dass dies ein Weg in eine völlig verfehlte Richtung ist und wäre vielmehr dafür, dass FB Konten validiert werden sollten.

Photos in Facebook
Jedem ist bekannt, dass Facebook der Meinung ist, dass mit dem Posten eigener selbsterstellter Photos (eindeutiges Urheberrecht in Deutschland) alle Rechte mit an Facebook übertragen werden. Das soll Facebook ändern. Ja, ok, aber muß der Bürger wirklich vor sich selbst geschützt werden?

„Ist ein Dieb noch ein Dieb, wenn ich ihm mein Portemonnaie freiwillig gebe“

Server in den USA sind nicht sicher

Ach, ging ja auch jetzt schon durch die Medien. „Andere Länder, andere Sitten“ hat schon meine Oma immer gesagt. Natürlich gilt dort anderes Recht. Und natürlich muss man überlegen, ob man Daten, für die man verantwortlich ist, im Ausland hostet, denn nichts anderes ist das. Jeder ist selber verantwortlich, für das was er tut, man kann versuchen aufzuklären und das war es dann.

Informationelle Selbstbestimmung heisst ja auch, dass ich selber bestimmen kann/muß, welche Informationen ich in soziale Netzwerke einstelle.

Was unbestritten für mich ist, auch Facebook muss der Auskunftspflicht nach BDSG umfassend genügen und Inhalte müssen nicht wiedwerherstellbar gelöscht werden können, das ist ja jetzt nicht so.

siehe auch: IT-Sicherheit für private Nutzer; IT-Sicherheit Einführung

Die betr. Datenschutzbeauftragte / Aufgaben

Welches sind die Aufgaben der betrieblichen Datenschutzbeauftragten? Was tut denn nun diese Datenschutzbeauftragte?

Die betr. Datenschutzbeauftragte (DSB) stellt die Einhaltung des BDSG (Bundesdatenschutzgesetz) sicher. Und was bedeutet das? In den von mir neu übernommenen Betrieben herrscht insbesondere bei denen, die vorher noch keine Datenschutzbeauftragte hatten, Unsicherheit über die Tätigkeiten, die im Rahmen dieses Vertrages zu erbringen sind. Hier ein paar Beispiele für Firmen, die das erste Mal eine betr. Datenschutzbeauftragte bestellt haben:

Etablierung des Schutzes personenbezogener Daten und damit verbundener IT-Sicherheitseinrichtungen

Erstellung der öffentlichen Verfahrensverzeichnisse, die nach dem „jedermann-Prinzip“ jedem! zugänglich gemacht werden müssen und über die jede Firma verfügen muss!
Überprüfung des Kenntnisstandes derjenigen Mitarbeiter, die regelmäßig mit personenbezogenen Daten umgehen
Durchführung von regelmäßigen Unterweisungen für Mitarbeiter, z.B. bei Prozessänderungen, neuen gesetzl. Auflagen, in Schadensfällen, bei besonderen Anlässen…
Prüfung der Systeme auf Zugangssicherheit, Optimierung von Zugängen u.ä.
Schwachstellenanalysen, Zutritt, Zugang, Apps, mobile etc.
Erteilung von Auskünften u.ä. bei Anfragen von Betroffenen
Übernahme der Gespräche mit dem Beauftragten für den Datenschutz des jeweiligen Bundeslandes bei Kontrollbesuchen
Zusammenarbeit mit dem Betriebsrat, Erstellung von Mitarbeitervereinbarungen u.ä.
Beratung der Geschäftsführung zu Themen rund um den Datenschutz
….

Wie geht das in der Praxis? Der Gesetzgeber geht davon aus, dass nicht alle Punkte immer sofort nach Bestellung einer neuen Datenschutzbeauftragten erfüllt werden können. Vielmehr ist betr. Datenschutz ein Prozess, der sich immer weiter entwickelt und verändert. Mehr Wissen schafft mehr Sicherheit. Jeder Betrieb hat seine Besonderheiten. Je nach Branche ist ein anderes Sicherheitsniveau anzustreben.

Aus diesem Grund empfiehlt der Gesetzgeber, diese Tätigkeit, wenn eine externe Datenschutzbeauftragte bestellt werden soll, im Rahmen eines Vertrages durchzuführen. Wegen der erhöhten Anforderungen sollte dieser Vertrag über min. 2 Jahre abgeschlossen werden.

Wir bieten für unsere Kunden deshalb Verträge an, die über 2 Jahre laufen und sich jeweils um 1 weiteres Jahr verlängern, wenn man miteinander weiterarbeiten möchte. Die Preise sind gestaffelt nach Unternehmensgrösse:

Wartungsvertrag 1: <15 Mitarbeiter
Wartungsvertrag 2: <25 Mitarbeiter
Wartungsvertrag 3: <50 Mitarbeiter

Unsere Kunden kommen aus den folgenden Bereichen: Medizin, techn. Gewerbe und Auftragsdatenverarbeitung (Versicherungen, Hausverwaltungen u.ä.)

Gerne beraten wir Sie unverbindlich, rufen Sie uns an!
Flyer Datenschutz und IT-Sicherheit

Freihandelsabkommen TTIP und Datenschutz

Wie ist das geplante Freihandelsabkommen in Bezug auf den Datenschutz zu bewerten? Das ist, denke ich, eine interessante Fragestellung.

(TTIP – „Trans-Atlantic Trade and Investment Partnership“)

Bei Aufnahme der Gespräche wurde von verschiedenen offiziellen Stellen zugesichert, dass die EU in Bezug auf den bereits etablierten Datenschutzstandard keine Rückschritte zulassen wird. Auch Wirtschaftsminister Gabriel hat dies mehrfach auf verschiedene Art und Weise betont.

Wie soll das gehen? „Andere Länder, andere Sitten“! Wie jeder weiß, wird in den USA der Datenschutz für wesentlich weniger wichtig gehalten als bei uns.

In Deutschland hat das Bundesverfassungsgericht bereits 1983 in seinem Volkszählungsurteil den Datenschutz als Grundrecht anerkannt. Bereits damals wurden Rechte und Pflichten etabliert, wie bespielsweise das Zweckbindungsgrundatz und Erforderlichkeitsprinzip, ebenso wie die Verpflichtung auf unabhängige Kontrollen etc. Wir sind da also bereits länger im Thema.

Wenn man unabhängig des TTIP der Berichtserstattung in den Medien folgt, kann man lesen, daß in anderen Ländern ansässige Unternehmen, deren Zweck das Akqirieren und Verbinden von Daten ist, also google, facebook, whatsapp etc. eine grundsätzliche andere Auffassung davon haben, wie Daten verwendet werden können. Bereits hier tun sich breite Schluchten auf.

Im Jahr 2000 wurde versucht mit dem „Safe-Harbor-Beschluss“ der EU Kommission, ein Ausgleich zwischen Datenschutz und freiem Handel zu schaffen. Bis jetzt kann man nicht sagen, dass mit dem „Safe-Harbor-Beschluss“ in den USA eine Sicherstellung oder Angleichung der inzwischen international anerkannten Datenschutzgrundsätze erreicht wurde.

Wenn man weiter bedenkt, daß US Behörden jederzeit Zugriff auf die gespeicherten Daten von US Unternehmen gewährt werden muss, unabhängig davon, in welchem Land die Server stehen, kann man an 2 Fingern abzählen, dass von einer Angleichung oder zumindest Ähnlichkeit der beiden Gesetzgebungen in Bezug auf den Datenschutz keine Rede sein kann. Auch erkennen die USA unser Grundrecht auf den Datenschutz nicht an.

Wir können also alle gespannt sein, wohin das ganze führen wird. Auch interessant die Entwicklungen zu CETA als Testphase für TTIP.

IT-Sicherheit: Validierungsmails von Banken eigentlich ein alter Hut, oder?

Sollte eigentlich jedem klar sein, ist es aber nicht, wie ich vor kurzem im Gespräch mit einem Kunden feststellen mußte:

„Sie tätigen doch Zahlungen auch über xyz, die haben jetzt eine Sicherheitslücke bekannt gegeben, man muß unbedingt ein neues Passwort vergeben, das kann man ganz bequem mit einem Link aus einer Email machen….“ IT-Sicherheit: Validierungsmails von Banken eigentlich ein alter Hut, oder? weiterlesen