Tipps & News

Neue Termine: Ausbildung Datenschutzkoordinator/in und Externe/r Datenschutzbeauftragte/r

Mon, 16 Mar 2026 14:19:30 GMT

Neuer Termin ab Juni: Jetzt durchstarten im Datenschutz

Im Juni 2026 starten wieder zwei praxisnahe Weiterbildungen rund um den betrieblichen Datenschutz: der Lehrgang Datenschutzkoordinator/in und der Zertifikatslehrgang Externe/r Datenschutzbeauftragte/r. Beide vermitteln fundiertes Wissen zur Umsetzung der DSGVO im Unternehmen.

Die wichtigsten Grundlagen im Datenschutz

Beide Qualifizierungen starten gemeinsam mit einer dreitägigen Grundlagenschulung . In dieser Zeit erwerben die Teilnehmenden fundiertes Wissen zu den zentralen Anforderungen der DSGVO , zu Datenschutzorganisation , Dokumentation und typischen Aufgaben im betrieblichen Datenschutz .

Diese drei Tage bilden die vollständige Ausbildung als Datenschutzkoordinator oder Datenschutzkoordinatorin. In dieser Rolle unterstützen Mitarbeitende Datenschutzbeauftragte im Unternehmen, etwa beim Verzeichnis der Verarbeitungstätigkeiten , bei der Bewertung von Risiken oder bei der Umsetzung von Datenschutzmaßnahmen .

Know-how für Datenschutzbeauftragte

Wer darüber hinaus gleich die Qualifikation als externe/r Datenschutzbeauftragte/r erwerben möchte, hat dazu gleich die Gelegenheit:
Mit zwei zusätzlichen Seminartagen am 30. Juni und 1. Juli 2026 werden vertiefte Inhalte zu Beratungspraxis, Verantwortlichkeiten und typischen Herausforderungen externer Datenschutzbeauftragter vermittelt.

Die Weiterbildung verbindet praxisnahe Beispiele aus der Datenschutzberatung mit klar strukturiertem Fachwissen . Teilnehmende lernen, Datenschutzprozesse im Unternehmen sicher zu begleiten und rechtliche Anforderungen systematisch umzusetzen .

Neue Termine ab Juni 2026

Datenschutzkoordinator/in

16.–18. Juni 2026 (3 Tage)

Externe/r Datenschutzbeauftragte/r
16., 17., 18., 30. Juni und 1. Juli 2026 (5 Tage)

Referent

Eberhard Häcker, externer Datenschutzbeauftragter (IHK), KI-Experte und Geschäftsführer der TDSSG GmbH und HäckerSoft GmbH, langjähriger Fachautor und Kongressredner.

Teilnehmende erhalten eine Teilnahmebestätigung bzw. ein Zertifikat (EUWIS).

Jetzt Platz sichern und im Datenschutz durchstarten!

Neuer Termin für das Seminar „KI-Manager“

Sat, 31 Jan 2026 14:47:16 GMT

Neuer Termin im März: Seminar „KI-Manager – nicht nur für Führungskräfte“

Künstliche Intelligenz bietet enorme Chancen – bringt aber auch klare rechtliche und organisatorische Pflichten mit sich. Unser bewährtes Kompaktseminar „KI-Manager – nicht nur für Führungskräfte“ geht in die nächste Runde. Für März gibt es jetzt einen neuen Termin.

In drei intensiven Online-Seminartagen erhalten Teilnehmende einen fundierten Überblick darüber, wie KI-Projekte rechtskonform, sicher und verantwortungsvoll geplant, bewertet und begleitet werden können. Im Mittelpunkt stehen der EU AI Act , die neue ISO/IEC 42001 sowie konkrete Rollen, Pflichten und Entscheidungsgrundlagen für den praktischen KI-Einsatz im Unternehmen.

Das Webinar richtet sich an Führungskräfte, Projektverantwortliche und alle Interessierten, die wissen möchten,

welche Verantwortung sie beim Einsatz von KI tragen,
wie Risiken realistisch eingeschätzt werden,
und wie sich Transparenz, Governance und Vertrauen im Unternehmen aufbauen lassen.

Neue Termine (online)

Dienstag, 10. März , 9:00–16:30 Uhr

Mittwoch, 11. März , 9:00–16:30 Uhr

Mittwoch, 18. März , 9:00–16:00 Uhr

Referent

Eberhard Häcker, externer Datenschutzbeauftragter (IHK), KI-Experte und Geschäftsführer der TDSSG GmbH und HäckerSoft GmbH, langjähriger Fachautor und Kongressredner.

Teilnehmende erhalten eine Teilnahmebestätigung „KI-Manager – nicht nur für Führungskräfte“ .

Jetzt Platz sichern und KI im Unternehmen sicher und verantwortungsvoll steuern.

Der Datenschutz-Adventskalender 2025

Sun, 30 Nov 2025 12:29:02 GMT

DATSIPrUse und Eberhard sind zurück

24 neue Abenteuer rund um Datenschutz und Cybersicherheit – zum Schmunzeln, Staunen und Dazulernen!

Die Adventszeit ist da!

Die Tage werden kürzer, die Luft duftet nach Plätzchen und Tannengrün, und die Vorfreude auf gemütliche Momente mit Familie und Freunden steigt.

Auch 2025 haben wir ein besonderes Geschenk für Sie vorbereitet: den Datenschutz-Adventskalender 2025 – gefüllt mit brandneuen Abenteuern unseres neugierigen Besuchers DATSIPrUse und Datenschützer Eberhard.

Datenschutz spielerisch lernen

DATSIPrUse, der kleine Entdecker vom Planeten DATSIS, begibt sich erneut auf eine Mission: Er möchte alles über Datenschutz und Cybersicherheit erfahren. Zusammen mit Eberhard erlebt er lustige, spannende und lehrreiche Momente – inklusive praktischer Tipps, die sich leicht im Alltag umsetzen lassen.

Jeden Tag ein neues Türchen

Hinter jedem Türchen wartet ein kurzes, unterhaltsames Video, das Datenschutz auf charmante Weise erklärt. Ideal, um in der hektischen Vorweihnachtszeit einen Moment zu entspannen und gleichzeitig etwas Neues zu lernen.

Hier geht’s zum Datenschutz-Adventskalender:
www.team-datenschutz.de/advent

Kein Türchen verpassen!

Sie möchten kein Abenteuer verpassen? Dann melden Sie sich für unseren Newsletter an – wir senden Ihnen täglich das neue Türchen direkt in Ihr Postfach.

Unser Tipp

Wenn Ihnen die Abenteuer von Eberhard und DATSIPrUse gefallen, dürfen Sie die Videos gerne herunterladen und in Ihren Datenschutz-Schulungen verwenden. DATSIPrUse hat eingewilligt!

Wir wünschen eine wunderbare Adventszeit und viel Freude beim Entdecken der neuen Abenteuer von Eberhard und DATSIPrUse!

Transkription in Videokonferenzen: Datenschutz richtig umsetzen

Wed, 09 Apr 2025 11:20:27 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

„Einfach praktisch“ – dachten viele, als die ersten Transkripte automatisch nach dem Online-Meeting auftauchten. Doch was als smarte Funktion begann, kann schnell zum echten Datenschutzproblem werden.

Ob in Microsoft Teams, Google Meet, Zoom oder Webex: Transkriptionen machen Besprechungen effizienter, aber auch riskanter. Denn wer mitschreibt, verarbeitet personenbezogene Daten – und sollte die damit verbundenen Stolpersteine kennen.

Der aktuelle Datentipp zeigt an einem praktischen Beispiel, warum automatische Transkription in Videokonferenzen rechtlich heikel ist – und wie sich Unternehmen mit klaren Regeln, Einwilligungen und einer passenden Richtlinie schützen.

Ein Fall aus der Praxis: Wenn das Transkript plötzlich da ist

Ein harmloses Online-Meeting. Ein Projektgespräch. Eine Routinebesprechung. Und dann passiert es:

Am nächsten Morgen liegt ein perfekt formuliertes Transkript in der gemeinsamen Ablage. Zeitstempel, Sprecherzuordnung, Zusammenfassung – alles automatisch erzeugt.

„Wow, wie praktisch“, sagt die eine.

„Moment mal – wussten das eigentlich alle?“, fragt der andere.

„Ich dachte, das macht Teams jetzt automatisch …“, murmelt jemand.

Und plötzlich steht ein Unternehmen mitten in einem Datenschutzproblem.

Es ist nicht die Technik. Nicht das Transkript.

Sondern der fehlende Plan. Keine vorherige Einwilligung. Keine Information in der Einladung. Keine Klarheit, was mit dem Transkript passiert.

Und – wie so oft – keine böse Absicht. Nur ein Klick. Eine neue Funktion. Ein offener Kanal.

Warum Transkriptionen in Videokonferenzen rechtlich heikel sind

In vielen Videokonferenzsystemen (Microsoft Teams, Zoom, Webex oder Google Meet) lassen sich Gespräche transkribieren – also automatisch mitschreiben und in Text umwandeln. Häufig wird zusätzlich Ton und Bild aufgezeichnet. Das Ergebnis: ein vollständiges Protokoll, technisch sauber, juristisch fragwürdig.

Denn: In Deutschland ist jede Form der Aufzeichnung – ob Ton, Bild oder Text – nur dann zulässig, wenn alle Personen vorher eindeutig informiert wurden und freiwillig eingewilligt haben . Eine Einwilligung im Meeting selbst ist nicht freiwillig – sondern Gruppenzwang.

Und: Transkription ist ein eigenständiger Verarbeitungsvorgang, der ins Verzeichnis der Verarbeitungstätigkeiten gehört . Wenn dabei besondere Risiken bestehen – etwa durch KI-Systeme, neue Tools oder sensible Daten – ist eine Datenschutz-Folgenabschätzung (DSFA) notwendig.

Datenschutzverstoß durch automatische Transkription – was kann passieren?

In unserem Fall meldet sich ein Teilnehmer später beim Datenschutzbeauftragten. Er war nicht einverstanden, aufgenommen und transkribiert zu werden – habe aber im Meeting nichts gesagt, um den Ablauf nicht zu stören.
Seine Aussagen sind im Transkript dokumentiert, weitergegeben – und nun auch im System gespeichert.

Plötzlich stehen die Fragen im Raum:

Haben wir eine Rechtsgrundlage?
Hätten wir eine DSFA gebraucht?
Wer hat Zugriff auf das Transkript?
Wann wird es gelöscht?
Was passiert mit dem Video?

Und vor allem:

Wer übernimmt die Verantwortung?

Transkription & Datenschutz:
10 wichtige Risiken

Verstoß gegen § 201 StGB – Verletzung der Vertraulichkeit des Wortes

Gespräche dürfen nur mit Einwilligung aller Beteiligten aufgezeichnet oder mitgeschrieben werden. Wer heimlich aufzeichnet, macht sich strafbar – auch bei automatischer Transkription.

DSGVO-Verstoß durch fehlende Einwilligung oder Zweckbindung

Personenbezogene Daten dürfen nur verarbeitet werden, wenn ein klarer Zweck besteht und die betroffenen Personen vorher zugestimmt haben. Fehlt das, liegt ein Datenschutzverstoß vor.

Keine Freiwilligkeit – Gruppendruck macht Einwilligung angreifbar

Wird im laufenden Meeting gefragt, ob alle mit der Transkription einverstanden sind, stimmen viele aus Gruppenzwang zu – das gilt nicht als freiwillig und ist damit rechtlich unsicher .

Fehlende oder unvollständige Dokumentation

Ohne saubere Dokumentation (z. B. im Verzeichnis der Verarbeitungstätigkeiten) fehlt der Nachweis, dass rechtskonform gearbeitet wurde – ein Problem bei internen Prüfungen oder externen Audits.

Unkontrollierte Speicherung oder KI-Auswertung

Wird das Transkript automatisch gespeichert oder mit KI-Tools analysiert, entstehen zusätzliche Risiken – etwa durch unerwünschte Weiterverarbeitung oder unklare Speicherorte.

Fehlender Eintrag im Verzeichnis der Verarbeitungstätigkeiten

Jede regelmäßige Verarbeitung personenbezogener Daten muss im Verzeichnis der Verarbeitungstätigkeiten stehen – auch Transkriptionen. Fehlt dieser Eintrag, ist das ein formaler Verstoß gegen die DSGVO.

Versäumnis einer DSFA trotz Risikolage

Wenn bei der Transkription besondere Risiken bestehen (z. B. durch KI, sensible Inhalte oder neue Tools), ist eine Datenschutz-Folgenabschätzung Pflicht. Ohne sie drohen Bußgelder.

Konflikt mit Betriebsrat oder Compliance-Abteilung

Die Einführung neuer Überwachungs- oder Dokumentationstechniken ist mitbestimmungspflichtig . Ohne Abstimmung mit dem Betriebsrat oder der Compliance kann es zu internen Konflikten kommen.

Schaden für das Vertrauensverhältnis

Werden Mitarbeitende oder Externe ohne ausreichende Information mitprotokolliert , leidet das Vertrauen – besonders bei wiederholten Verstößen oder unklarer Kommunikation.

Erhöhtes Risiko bei Betroffenenanfragen oder Prüfungen

Kommen Auskunfts- oder Löschanfragen , müssen Unternehmen genau wissen, was gespeichert wurde und wie damit umzugehen ist. Fehlt der Überblick, entstehen rechtliche Risiken , die vermeidbar sind.

"Eine Einwilligung im Meeting selbst ist nicht freiwillig – sondern Gruppenzwang."

Richtlinien, Checklisten & mehr für sichere Transkription

Im Shop der Richtlinienmanufaktur finden Sie Vorlagen zum fairen Preis, mit denen Sie Transkriptionen in Online-Meetings rechtssicher regeln.

10 Tipps für Datenschutz bei Transkriptionen in Videokonferenzen

Die Technik allein löst das Problem nicht – im Gegenteil: Neue Funktionen können sogar zusätzliche Risiken schaffen. Was wirklich hilft, ist ein strukturierter Umgang mit dem Thema. Wer klare Abläufe etabliert, Beteiligte informiert und Verantwortung definiert, macht aus der Transkription ein sicheres und hilfreiches Werkzeug.
Mit diesen 10 Maßnahmen transkribieren Sie Videokonferenzen sicherer.

Tipp Nr. 1: Hinweis auf Transkription bereits in der Einladung

Teilnehmende müssen frühzeitig wissen, ob eine Mitschrift geplant ist – idealerweise schon in der Kalendereinladung oder Agenda . Nur dann können sie sich bewusst dafür oder dagegen entscheiden.

Tipp Nr. 2: Einwilligung einholen – nachweisbar, vorab, freiwillig

Die Einwilligung sollte vor dem Termin , schriftlich und ohne Druck erfolgen. So ist sie rechtlich belastbar und kann im Zweifel auch belegt werden.

Tipp Nr. 3: Alternativen anbieten

Wer sich unwohl fühlt, sollte datensparsame Optionen nutzen können – z. B. Teilnahme ohne Kamera oder mit einem Pseudonym. Das stärkt die Freiwilligkeit und schützt Persönlichkeitsrechte.

Tipp Nr. 4: Transkription beschreiben und dokumentieren

Jede wiederkehrende Verarbeitung personenbezogener Daten – auch Transkription – muss im Verzeichnis der Verarbeitungstätigkeiten erfassen werden. Das schafft Transparenz und schützt vor Beanstandungen.

Tipp Nr. 5: Risiken prüfen und DSFA bei Bedarf durchführen

Kommen sensible Inhalte, KI-gestützte Tools oder externe Anbieter ins Spiel, sollte eine Datenschutz-Folgenabschätzung geprüft oder durchgeführt werden. Das zeigt, dass Risiken erkannt und aktiv gemanagt werden.

Tipp Nr. 6: Löschkonzept festlegen und technisch umsetzen

Transkripte dürfen nicht „einfach so“ gespeichert bleiben. Es braucht ein Löschkonzept mit klaren Fristen und technischen Vorkehrungen – sonst entstehen unnötige Altlasten.

Tipp Nr. 7: Verantwortlichkeiten definieren

Wer darf aktivieren, speichern, löschen? Ohne klare Zuständigkeiten passieren Fehler. Wer darf Transkriptionen starten? Wer verwaltet sie? Wer sorgt für die Löschung? Diese Fragen sollten eindeutig geregelt sein.

Tipp Nr. 8: Moderatoren und Systemverantwortliche schulen

Wer Besprechungen moderiert oder Tools administriert, muss wissen, wie Transkription funktioniert – technisch und rechtlich . Eine kurze Schulung schafft Sicherheit.

Tipp Nr. 9: Regeln zur internen und externen Weitergabe

Nicht jede Information darf frei geteilt werden. Es braucht klare Vorgaben , ob und wie Transkripte an andere Personen oder Abteilungen weitergegeben werden dürfen.

Tipp Nr. 10: Eine verbindliche Richtlinie zur Transkription aufsetzen

Eine interne Richtlinie bündelt alle Regeln – von der Einwilligung über die Nutzung bis zur Löschung. Sie schafft Verbindlichkeit und hilft, den Überblick zu behalten.

Der Tipp des Tages

Digitale Besprechungen mit Transkription laufen oft strukturierter und effizienter – das ist ein echter Vorteil. Aber dieser Vorteil lässt sich nur nutzen, wenn Einwilligung, Löschung und Dokumentation geregelt sind .

Wer Transparenz schafft, Alternativen anbietet und Einwilligungen strukturiert einholt, vermeidet Konflikte – und gewinnt Sicherheit für alle Beteiligten.

Transkription im Online-Meeting: Diese Fragen müssen vorab geklärt sein

Mini-Checkliste: Kernfragen zum Thema Transkription in Webkonferenzen

✓ Wissen alle , dass mitgeschrieben wird?

✓ Liegt eine Einwilligung vor – nachweisbar, vorab und freiwillig?

✓ Ist der Transkriptionsprozess dokumentiert und rechtlich geprüft ?

✓ Haben wir eine Datenschutz-Folgenabschätzung durchgeführt – oder übersehen?

✓ Ist geregelt, was mit den Daten passiert – und wann sie gelöscht werden?

Fazit: Transkription in Videokonferenzen – sinnvoll, aber nur mit Regeln

Transkriptionen können ein echter Gewinn für die Zusammenarbeit sein – sie erleichtern die Nachbereitung, schaffen Klarheit und helfen, Inhalte besser zugänglich zu machen. Aber: Nur mit klaren Regeln sind sie auch rechtlich sicher.

Technik allein reicht nicht. Wer Transkription sinnvoll nutzen will, braucht ein durchdachtes Konzept: Einwilligung, Löschung, Dokumentation und Zuständigkeiten müssen geklärt sein – am besten verbindlich geregelt in einer unternehmensweiten Richtlinie.

Denn:

Ohne Zustimmung wird Vertrauen beschädigt.
Ohne Struktur entstehen Risiken .
Ohne Regeln wird eine praktische Funktion schnell zum Problemfall.

Wer dagegen Transparenz schafft, Alternativen anbietet und mit Augenmaß vorgeht, nutzt die Vorteile – und schützt gleichzeitig die Beteiligten.

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Richtlinien, Checklisten und mehr für sichere Transkription

Im Shop der Richtlinienmanufaktur finden Sie Vorlagen zum fairen Preis, mit denen Sie Transkriptionen in Online-Meetings rechtssicher regeln.

Webinar-Reihe: IT-Sicherheit & Datenschutz 2025

Fri, 04 Apr 2025 14:51:38 GMT

Bereit für die neuen Herausforderungen in IT-Sicherheit & Datenschutz?

Cyberangriffe, gesetzliche Änderungen und neue Technologien – Unternehmen müssen sich kontinuierlich anpassen. Unsere Webinar-Reihe 2025 liefert Ihnen kompakte, praxisnahe und verständliche Einblicke in drei zentrale Themen.

KI im Arbeitsalltag | 10.04.2025

Chancen & Risiken von Microsoft Copilot, ChatGPT & Co.

NIS2 & Unternehmenssicherheit | 22.05.2025

Was die neue EU-Richtlinie für Sie bedeutet

ISMS & ISO 27001:2022 | 03.07.2025

IT-Sicherheit effizient und rechtssicher gestalten

Erfahren Sie, wie Sie Datenschutz, IT-Sicherheit und Compliance optimal umsetzen – mit wertvollen Praxistipps und konkreten Handlungsempfehlungen.

Jetzt anmelden und Ihr Wissen auf den neuesten Stand bringen!

IT-Sicherheit & Datenschutz 2025: Ihre Webinar-Reihe für den Durchblick

Die digitale Welt verändert sich rasant – und mit ihr die Anforderungen an Unternehmen. KI-Systeme , neue gesetzliche Vorgaben und steigende Cyberangriffe erfordern ein solides Fundament in IT-Sicherheit und Datenschutz. Doch wo fängt man an? Welche Maßnahmen sind wirklich relevant?

Unsere Webinar-Reihe 2025 liefert Ihnen präzise, praxisnahe und verständliche Antworten. Egal, ob Sie als Datenschutzbeauftragter, IT-Leiter oder Unternehmer tätig sind – diese drei Webinare geben Ihnen das nötige Wissen an die Hand.

Drei Webinare – Drei zentrale Themen

KI im Arbeitsalltag

Online-Webinar am 10.04.2025

Künstliche Intelligenz ist längst kein Zukunftsthema mehr – sie ist Teil des Arbeitsalltags. Doch wie nutzen Unternehmen KI-Tools wie Microsoft Copilot, ChatGPT oder Gemini sicher und datenschutzkonform?

Unser Webinar zeigt Ihnen:

Welche KI-Anwendungen im Jahr 2025 besonders relevant sind
Welche Risiken bei Datenschutz, NDAs und Fehlinformationen lauern
Wie Sie klare Richtlinien für den sicheren Einsatz von KI aufstellen
Wie Sie Mitarbeitende für den richtigen Umgang mit KI sensibilisieren

Tipp: Legen Sie schon jetzt fest, welche KI-Tools in Ihrem Unternehmen genutzt werden dürfen – und welche nicht.

NIS2 & Unternehmenssicherheit

Online-Webinar am 22.05.2025

Die neue NIS2-Richtlinie stellt Unternehmen vor große Herausforderungen. Zwar wurde das deutsche Umsetzungsgesetz noch nicht final beschlossen, doch Unternehmen sollten sich frühzeitig vorbereiten.

In diesem Webinar erfahren Sie:

Was die NIS2-Richtlinie vorschreibt und welche Unternehmen betroffen sind
Welche Risikoanalysen, Meldepflichten & Sicherheitsmaßnahmen erforderlich sind
Wie Sie Ihre Lieferkettensicherheit stärken
Wie Sie mit minimalem Aufwand die NIS2-Anforderungen erfüllen

Tipp: Nutzen Sie die Verzögerung der deutschen Gesetzgebung als Vorteil und bereiten Sie sich strukturiert vor, bevor der Gesetzgeber Sie unter Druck setzt.

ISMS & ISO 27001:2022

Online-Webinar am 03.07.2025

Mit der neuen Version der ISO 27001:2022 und den Anforderungen aus NIS2 rückt das Informationssicherheitsmanagementsystem (ISMS) in den Fokus vieler Unternehmen. Doch wie führt man ein ISMS effizient ein – ohne explodierende Kosten?

In unserem Webinar erfahren Sie:

Was sich in der ISO 27001:2022 geändert hat
Warum ein ISMS auch ohne NIS2-Pflicht sinnvoll ist
Wie Sie Datenschutz, IT-Sicherheit & Business Continuity optimal kombinieren
Welche praxisbewährten Methoden wie BSI-Grundschutz oder TEPRIS Ihnen helfen
Warum eine Cyberversicherung sinnvoll sein kann und welche Voraussetzungen diese heute erwarten

Tipp: Ein ISMS hilft nicht nur bei Compliance-Anforderungen – es ist auch ein starkes Instrument zur Risikominimierung und verbessert die Cybersicherheit Ihres Unternehmens nachhaltig.

Sichern Sie sich Ihren Platz – Jetzt anmelden!

Unsere Webinar-Reihe bietet Ihnen kompaktes Fachwissen, praxisnahe Lösungen und wertvolle Einblicke in aktuelle IT-Sicherheits- und Datenschutzthemen. Melden Sie sich jetzt an und profitieren Sie von Expertenwissen aus erster Hand!

10 Tipps für den sicheren Einsatz von Copilot V3.5 in Microsoft 365

Fri, 28 Mar 2025 15:52:04 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Microsoft hat Copilot V3.5 in Microsoft 365 freigeschaltet – und plötzlich steht Unternehmen eine mächtige KI zur Verfügung, die Texte in Word, Tabellen in Excel, Präsentationen in PowerPoint und E-Mails in Outlook analysiert, verarbeitet und verbessert.
Klingt nach einer Revolution im Arbeitsalltag? Ist es. Zugleich ist Vorsicht geboten.

Microsoft Copilot Enterprise vs. Version 3.5

Copilot unterstützt die Anwender also in Word, Excel, Power Point und Outlook. Da kann man sich Textvorschläge machen lassen, Mails vorformulieren, Angebote schreiben und vieles mehr. Super bequem in der heutigen Zeit. Her damit, oder?

Was viele nicht wissen: Copilot hat derzeit mehrere Versionen im Einsatz . Da ist zum einen die Version Enterprise , Bestandteil von kostenpflichtigen Abonnements mit grundsätzlich geschützten Daten.

Zum anderen gibt es die Version 3.5 – kostenfrei, mit der Maßgabe, dass die Daten alle ins Training der KI bei Microsoft einfließen. Denn alles, was Copilot sieht, kann Teil seines Trainings werden – und damit kann schon der nächste User, der mit Copilot irgendwo auf dieser Welt arbeitet, das sehen, was Sie gerade eingegeben haben. Das mag unwahrscheinlich sein, aber lässt sich eben leider nicht ausschließen.

Was bedeutet das in der Praxis?

Jede bearbeitete Datei, jede getippte E-Mail, jede Tabellenkalkulation kann ins Training einfließen und als Trainingsdaten genutzt werden.
Sensible Inhalte landen dadurch außerhalb der Kontrolle des Unternehmens .
Rein rechtlich kann eine Verarbeitung durch Copilot als Veröffentlichung gewertet werden.
Dann verstoßen Sie auch gegen Verträge mit Kunden , gegen die DSGVO und andere rechtlich verbindliche Vorgaben.

Fakt ist: Wer Copilot V3.5 unkontrolliert nutzt, gibt potenziell vertrauliche Informationen frei – und bemerkt es nicht einmal.

Praxisbeispiel: Die nicht erkannte Datenpanne

Ein Team in einem Unternehmen nutzt Copilot V3.5 in Microsoft 365, um eine Strategiepräsentation in PowerPoint zu optimieren. Die KI analysiert den Inhalt, schlägt Formulierungen vor und verbessert das Design. Die Präsentation ist in Rekordzeit fertig. Und sie ist sehr gut geworden. Aber ist das wirklich alles?

Im Hintergrund hat Copilot die Datei verarbeitet, die Inhalte in sein Training übernommen und damit für alle zukünftigen KI-Nutzer gespeichert. Die nächste Version der KI kann damit ähnliche Inhalte generieren – und Fragmente vertraulicher Daten ausgeben . So kann schon der nächste User weltweit plötzlich unsere Informationen bekommen. Ja, das ist unwahrscheinlich. Aber möglich.

Das bedeutet: Ein anderes Unternehmen könnte auf ähnliche Formulierungen oder Geschäftsideen zugreifen, ohne dass es auffällt. Plötzlich steht nicht nur die Strategie anderen zur Verfügung, auch sensible Informationen sind indirekt öffentlich.

Und jetzt? Ist das wirklich eine Veröffentlichung ? Ein Datenleck ? Ein DSGVO-Verstoß ? Fakt ist: Die Kontrolle über diese Daten ist verloren. Mit allen Konsequenzen.

10 Risiken mit Microsoft Copilot Version 3.5

Die Nutzung von Copilot V3.5 in Microsoft 365 ist ein Risiko für Datenschutz und Sicherheit.

Daten fließen in das KI-Training ein
Inhalte aus Word, Excel, PowerPoint und Outlook können zur Verbesserung des KI-Modells genutzt werden.
Sensible Unternehmensinformationen werden verarbeitet
Geschäftsstrategien, Verträge, Kalkulationen oder Kundenlisten könnten unbewusst weitergegeben werden.
Keine Transparenz, wo die Daten gespeichert werden
Sind die Informationen nur temporär oder dauerhaft in Microsofts Systemen?
DSGVO-Problem unbefugte Verarbeitung durch Dritte
Unternehmen müssen sicherstellen, dass personenbezogene Daten nicht an Dritte übermittelt werden – das passiert hier, wenn vielleicht auch unbewusst.
Betroffenenrechte können nicht sichergestellt werden
Aus Sicht des Datenschutzes muss der Verantwortliche stets die Kontrolle über die Daten behalten.
Risiko der Reproduktion
Copilot könnte aus trainierten Daten Muster generieren und ähnliche Inhalte später erneut ausgeben.
Vertraulichkeitsverletzungen
Falls E-Mails mit geschützten Inhalten analysiert werden, ist dies eine unkontrollierte Weitergabe und damit eine Offenlegung.
Schwierige rechtliche Einordnung
Ist eine Verarbeitung durch Copilot bereits eine „Veröffentlichung“? Das wird im Zweifelsfall je nach Kontext so ausgelegt werden. Sie hätten die Daten ja nicht eingeben dürfen.
Keine einfache Rücknahme möglich
Einmal verarbeitete Daten sind nicht ohne Weiteres wieder löschbar oder zurückholbar.
Damit liegt nach Art. 4 Ziff.12 Verlust von personenbezogenen Daten vor
– die Kontrolle über die Daten ist nicht mehr gegeben, so die Definition. Die Konsequenz ist die Prüfung, ob eine Meldepflicht bei der Aufsichtsbehörde für den Datenschutz vorliegt.

"Rein rechtlich kann eine Verarbeitung durch Copilot als Veröffentlichung gewertet werden."

Tipp: Unternehmensrichtlinie zu Microsoft Copilot

Haben Sie eine Richtlinie zum Einsatz von Microsoft Copilot? Falls nicht, wird es höchste Zeit! Die KI-Verordnung verlangt klare Regeln – Verstöße können hohe Geldbußen nach sich ziehen.

Wir unterstützen Sie gerne! Unsere Vorlagen für KI-Richtlinien helfen Ihnen, schnell eine rechtskonforme und unternehmensspezifische Regelung zu erstellen.

Die Richtlinien-Vorlagen können Sie jetzt in der Richtlinienmanufaktur bequem online kaufen und downloaden.

Gerne beraten und begleiten wir Sie bei der Umsetzung. Melden Sie sich bei uns!

Microsoft Copilot und der Datenschutz

Der unkontrollierte Einsatz von Copilot kann zu mehreren Datenschutzverletzungen führen:

Verletzung der Vertraulichkeit – Wenn interne oder personenbezogene Daten unbeabsichtigt in das KI-Training einfließen.
Verletzung der Integrität – Falls Copilot falsche oder unsichere Inhalte generiert und diese ungeprüft übernommen werden.
Verletzung der Verfügbarkeit – Falls Inhalte durch Copilot verändert oder ersetzt werden und Originaldaten nicht mehr abrufbar sind.
Schutzverletzung Verlust personenbezogener Daten – die Kontrolle ist wie oben schon beschrieben verloren gegangen.

Hinzu kommt:

Unternehmen haften für Datenschutzverletzungen – auch, wenn sie durch KI-Nutzung entstehen.
Falls personenbezogene Daten verarbeitet werden, kann eine Meldepflicht nach Art. 33 DSGVO bestehen. Ob sie tatsächlich vorliegt, muss im Einzelfall geprüft werden.
Die Grenze zwischen interner Verarbeitung und ungewollter Veröffentlichung ist allerdings nicht mehr vorhanden.

10 Tipps für den sicheren Einsatz von Microsoft Copilot

Damit Copilot nicht der Pilot wird, der den Datenschutz zum Absturz bringt, sollten Unternehmen folgende Tipps umsetzen.

Tipp Nr. 1: Prüfen, welche Copilot-Version verwendet wird

Die Enterprise-Variante speichert keine Daten im KI-Training, V3.5 hingegen schon.

Tipp Nr. 2: Vertrauliche und personenbezogene Daten nicht in Copilot verarbeiten

Keine sensiblen Inhalte mit der KI teilen.

Tipp Nr. 3: Nutzung von Copilot regeln

Vorgaben erstellen und ausrollen, in welchen Bereichen Copilot verwendet werden darf und in welchen nicht.

Tipp Nr. 4: Mitarbeitende sensibilisieren

Aufklären, welche Inhalte sicher verarbeitet werden können und welche nicht.

Tipp Nr. 5: KI-generierte Inhalte stets überprüfen

Die KI kann fehlerhafte oder riskante Vorschläge machen.

Tipp Nr. 6: Datenschutz-Folgenabschätzung (DSFA) durchführen

Ist Copilot ein Risiko für die Einhaltung der DSGVO ?

Tipp Nr. 7: Verträge mit Microsoft prüfen

Welche Datenschutzgarantien bietet Microsoft für Copilot-Nutzer?

Tipp Nr. 8: Technische Einschränkungen setzen

Copilot für bestimmte Anwendungen oder Gruppen deaktivieren , falls nötig.

Tipp Nr. 9: Regelmäßige Sicherheitsüberprüfungen durchführen

Evaluieren, ob sich die Nutzung von Copilot mit den Datenschutz- und Sicherheitszielen des Unternehmens deckt.

Tipp Nr. 10: Verbindliche Vorgaben

Verbindliche Vorgaben für den sicheren Umgang mit Copilot prüfen, aktuell halten oder jetzt erstellen !

Und hier der absolut heiße Tipp des Tages

Copilot ist auf dem Rechner. Beim Einsatz in Word, Excel, Power Point und Outlook können Sie ihn aktivieren und deaktivieren.

Öffnen Sie die Anwendung – also Word, Excel, PowerPoint oder Outlook
Klicken Sie auf „ Datei “ oben Links im Menü
Wählen Sie „ Optionen “ am unteren Rand des Menüs
Navigieren Sie zum Abschnitt „ Copilot “ in den Optionen
Deaktivieren oder aktivieren Sie das Kontrollkästchen „ Copilot aktivieren “, je nach Wunsch
Klicken Sie auf „ OK “ und starten Sie die Anwendung neu , um die Änderungen zu übernehmen
Diese Einstellung gilt nur für die jeweilige Anwendung auf dem aktuellen Gerät. Wenn Sie Copilot in mehreren Anwendungen oder auf mehreren Geräten deaktivieren möchten, müssen Sie diesen Vorgang entsprechend wiederholen.

Alternative: Copilot entfernen

Sie möchten den Copilot aus dem Menüband entfernen? Kein Problem – mit der entsprechenden Anleitung. Wenden Sie sich gerne an Team Datenschutz oder greifen Sie auf unsere Richtlinien und Prozessanweisungen zum Copilot zurück.

Wir unterstützen Sie gerne!

Kernfragen zu Microsoft Copilot

Bevor Sie KI in Ihrem Unternehmen nutzen, sollten Sie sich diese zentralen Fragen stellen.

Nutzen Sie Copilot sicher – oder könnte Ihre KI Sie unbeabsichtigt verraten?
Sind alle Nutzenden angemessen geschult?
Sind die Regeln für den Einsatz von Copilot per Richtlinie definiert?

Wenn ja: Dann sollten Sie die Richtlinie kennenlernen, prüfen und gegebenenfalls ergänzen.

Wenn nein: Dann haben wir Vorlagen für verbindliche Dokumente wie Richtlinien, Arbeitsanweisungen, Prozessanweisungen und mehr – wir unterstützen Sie bei der Einrichtung und Umsetzung.

Hochwertige Richtlinien für Microsoft Copilot

In der Richtlinienmanufaktur bieten wir Ihnen professionelle Vorlagen für Richtlinien, Arbeitsanweisungen und Prozesse, die Sie sofort nutzen oder individuell anpassen können. Auf Wunsch unterstützen wir Sie gerne bei der Umsetzung.

Fazit zu Copilot V3.5 in Microsoft 365

Copilot ist eine enorme Erleichterung – wenn die Risiken unter Kontrolle sind. Wer unbedacht startet, riskiert, dass geschäftskritische oder personenbezogene Daten unkontrolliert gespeichert und verarbeitet werden.
Besser vorher prüfen, als später böse überrascht werden!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Copilot in Edge: Datenschutzrisiken & sichere Nutzung im Unternehmen

Mon, 03 Mar 2025 16:06:55 GMT

Hoffentlich hat jeder den Pilotenschein!

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Microsoft hat den Copilot in Edge für alle freigeschaltet – ein KI-gestützter Assistent, der Texte analysiert, Inhalte zusammenfasst, Fragen beantwortet und sogar komplette Formulierungen erstellt. Klingt praktisch? Ist es auch!

Mensch und Microsoft Copilot.
Wer steuert hier eigentlich wen?

Doch was bedeutet das für Datenschutz und Informationssicherheit? Wer Copilot nutzt, sollte sich bewusst sein, welche Daten verarbeitet werden und welche Risiken damit verbunden sind. Viele Unternehmen setzen bereits auf KI-gestützte Tools, doch die Kontrolle über die eigenen Daten bleibt dabei oft auf der Strecke. Die wichtigsten Überlegungen und Fragen, die sich jetzt stellen:

Wer Copilot nutzt, gibt Daten preis – oft ungewollt und ohne es zu merken, weil das Bewusstsein für die Risiken fehlt
Copilot analysiert, speichert und verarbeitet Informationen. Wo landen die Daten?
Was tut Microsoft mit den Daten außer KI-Training möglicherweise noch?
Unternehmen haben oft keine Kontrolle darüber, welche Inhalte an die KI gehen und ob sie gespeichert werden.
In Unternehmen fehlt häufig das Bewusstsein, dass in einigen KI-Anwendungen die Daten in das Training einließen und damit rechtlich eigentlich veröffentlicht werden!
Wer kennt den Unterschied zwischen Copilot Version 3.5 und Enterprise ?
Wer weiß, was in Browsern an KI im Einsatz ist?

Ohne „Pilotenschein“ kann der Copilot schnell zur Datenschutz-Notlandung werden.

Praxisbeispiel: Ein smarter Assistent mit fatalen Folgen

Eine Mitarbeiterin nutzt Copilot in Edge, um eine vertrauliche E-Mail schnell zusammenfassen zu lassen. In Sekundenschnelle fasst die KI den Inhalt zusammen – beeindruckend!

Doch was passiert hinter den Kulissen?

Der Copilot analysiert den Inhalt der Mail und übermittelt ihn an Microsoft-Server.
Die KI verarbeitet den Text und lernt daraus – in der Standardversion könnte das Modell die Infos für zukünftige Nutzer optimieren.
Falls personenbezogene oder geschäftskritische Daten in der Mail stehen, könnten sie potenziell gespeichert werden.

Das Ergebnis: Vertrauliche Unternehmensinformationen fließen unkontrolliert in eine KI-Wissensbasis ein.

Schon der erste Anwender der nächsten Version könnte diese Daten nutzen. Das mag unwahrscheinlich sein, ist aber nicht ausgeschlossen.

"Vertrauliche Unternehmensinformationen fließen unkontrolliert in eine KI-Wissensbasis ein. Schon der erste Anwender der nächsten Version könnte diese Daten nutzen."

10 wichtige Risiken beim Einsatz von Microsoft Copilot in Edge

Der unkontrollierte Einsatz von Copilot in Edge birgt erhebliche Risiken für Datenschutz, Informationssicherheit und Compliance:

1. Analyse und Speicherung vertraulicher Inhalte

Texte, die Copilot verarbeitet, können auf externen Servern landen.

2. Fehlende Transparenz, wo die Daten verarbeitet werden

Werden die Daten für Trainingszwecke genutzt? Werden sie langfristig gespeichert?

3. Unkontrollierter Zugriff auf Unternehmensdaten

Mitarbeitende könnten sensible Dokumente, Kundendaten oder Strategien mit der KI teilen.

4. Datenabfluss an Dritte

Falls Copilot mit anderen Diensten verknüpft ist, werden Inhalte ungewollt weitergegeben.

5. Fehlende Trennung von privaten und geschäftlichen Inhalten

Ohne Regelungen könnten Mitarbeitende auch persönliche Informationen in Copilot verarbeiten.

6. Verletzung von Vertraulichkeitsvereinbarungen

Falls KI-generierte Texte auf Unternehmensdaten basieren, verstößt das gegen Vertraulichkeitsvereinbarungen in Verträgen.

7. Datenschutzverletzungen

Wenn personenbezogene Daten eingegeben werden, verstößt dies gegen Datenschutzbestimmungen und ist eigentlich meldepflichtig!

8. Falsche oder unsichere Antworten der KI

Copilot kann Inhalte verfälschen oder Halbwahrheiten liefern, die unbemerkt übernommen werden. Die Verantwortung tragen Sie als die Person, die die Daten erhebt und nutzt!

9. Fehlende Richtlinien zur Nutzung

Ohne Regeln wie Richtlinien oder Arbeitsanweisungen setzen Unternehmen sich rechtlichen und sicherheitstechnischen Risiken aus.

10. Complianceverletzungen

Wenn Texte der KI aus einem anderen Land stammen und dort legal sind, können sie hier unerkannt rechtliche Fehler enthalten, weil wir andere Gesetze haben. Darum gilt: nie KI-Texte ungeprüft übernehmen!

Microsoft Copilot in Edge: Deaktivieren oder sicher nutzen?

Unsere Prozessanweisung zeigt, wie Sie Microsoft Copilot rechtskonform deaktivieren oder kontrolliert einsetzen – mit klaren technischen Anleitungen, Compliance-Vorgaben und Schulungspflichten .

Die Prozessanweisung können Sie jetzt in der Richtlinienmanufaktur bequem online kaufen und downloaden .

Gerne beraten wir Sie und begleiten Sie nach Ihrem Bedarf bei der Umsetzung. Melden Sie sich bei uns!

Datenschutzrisiko Copilot: Welche Gefahren drohen?

Der Einsatz von Microsoft Copilot in Edge kann erhebliche Datenschutzrisiken mit sich bringen – insbesondere dann, wenn Unternehmen keine klaren Richtlinien zur Nutzung definiert haben. Mögliche Datenschutzverstöße:

Verletzung der Vertraulichkeit – Vertrauliche Informationen könnten unkontrolliert in die KI-Wissensbasis einfließen oder extern verarbeitet werden.
Verletzung der Integrität – Copilot kann falsche oder irreführende Inhalte generieren, was zu geschäftskritischen Fehlern führt.
Verletzung der Verfügbarkeit – Ohne klare Regeln zur Nutzung kann es zu unerwarteten Datenverlusten oder Missbrauch kommen.

Das gilt es beim Einsatz von Copilot besonders zu beachten:

✔ Copilot Version 3.5 speichert alle verarbeiteten Daten und nutzt sie möglicherweise für KI-Training – ein potenzieller Datenschutzverstoß und damit DSGVO-relevant!

✔ Die Enterprise-Version bietet mehr Schutz, aber ist sie in Ihrem Unternehmen richtig konfiguriert und flächendeckend im Einsatz?

✔ Sensible Daten per KI analysieren? Das kann unbeabsichtigt gegen Compliance-Vorgaben verstoßen.

Unternehmen sollten sich dieser Risiken bewusst sein und entsprechende Sicherheitsmaßnahmen sowie klare Richtlinien für den Einsatz von Copilot umsetzen.

10 Tipps für den sicheren Einsatz von Microsoft Copilot in Edge

Damit Copilot kein unkontrollierter Autopilot wird, sollten Unternehmen folgende Maßnahmen ergreifen.

Tipp Nr. 1: Copilot-Einstellungen prüfen und anpassen

Welche Version wird genutzt? Ist die Enterprise-Variante aktiviert?

Tipp Nr. 2: Vertrauliche Inhalte nicht über Copilot verarbeiten

Keine personenbezogenen oder geschäftskritischen Daten in KI-Tools hochladen.

Tipp Nr. 3: Unternehmensrichtlinien zur Nutzung festlegen

Wer darf Copilot f ür welche Aufgaben einsetzen?

Tipp Nr. 4: Mitarbeitende sensibilisieren

Schulungen und klare Vorgaben zur Nutzung von KI-Tools sind essenziell.

Tipp Nr. 5: KI-generierte Inhalte immer gegenprüfen

Copilot kann irreführende oder fehlerhafte Antworten liefern.

Tipp Nr. 6: Datenverarbeitung in der Cloud kontrollieren

Welche Server werden genutzt? Wo landen die verarbeiteten Daten?

Tipp Nr. 7: Alternative Tools für vertrauliche Analysen bereitstellen

Unternehmen sollten eigene, DSGVO-konforme Lösungen für interne Analysen nutzen.

Tipp Nr. 8: Protokollierung und Monitoring einführen

Wer nutzt Copilot , und für welche Inhalte ?

Tipp Nr. 9: Regelmäßige Updates der KI-Nutzungspolitik

Da sich KI-Tools stetig weiterentwickeln, muss auch die Unternehmensrichtlinie regelmäßig angepasst werden.

Tipp Nr. 10: Verbindliche Vorgaben

Verbindliche Vorgaben für den sicheren Umgang mit Copilot prüfen, aktuell halten oder jetzt erstellen!

Und hier der absolut heiße Tipp des Tages

Copilot in Microsoft Edge deaktivieren – falls Sie das wirklich möchten

Besser ist es, achtsam mit KI umzugehen und die Vorteile gezielt zu nutzen . Doch falls Sie Copilot dennoch abschalten möchten, hier ein hilfreicher Tipp!

1. Microsoft Edge aktivieren.

2. Klicken Sie auf das Drei-Punkte-Menü (⋯) in der oberen rechten Ecke und wählen Sie „Einstellungen“

3. Navigieren Sie zu „Randleiste“ im linken Menü

4. Klicken Sie auf „Copilot“ unter den App-spezifischen Einstellungen

5. Deaktivieren Sie den Schalter neben „Copilot anzeigen“

Dadurch wird das Copilot-Symbol von der Edge-Oberfläche entfernt

Wieder einschalten: Zum Wiedereinschalten: selbes Vorgehen, nur beim Punkt 5 den Schalter neben „Copilot anzeigen“ aktivieren.

So können Sie den Copilot im Browser nach Bedarf aktivieren und deaktivieren.

Noch zwei wichtige Hinweise, damit der Copilot nicht Daten frei ins Training abgibt

Wenn Sie sich mit Ihrem Microsoft Entra-Konto (ehemals Azure Active Directory) bei Microsoft Edge anmelden, erhalten Sie den Enterprise Data Protection (EDP) . Diese Version von Copilot bietet einen erhöhten Sicherheitsschutz für vertrauliche Unternehmensdaten.

Um Copilot in Edge mit einer möglicherweise gebuchten Enterprise-Version zu nutzen, sollten Sie sicherstellen, dass Sie mit Ihrem Geschäftskonto angemeldet sind. Dies aktiviert automatisch die entsprechenden Sicherheits- und Datenschutzfunktionen – falls diese gebucht sind.

Kernfragen zu Microsoft Copilot

Steuert Ihr Unternehmen die Nutzung von Copilot – oder steuert Copilot Ihr Unternehmen?

Gibt es klare Regeln für den Einsatz von KI-Tools wie Copilot?
Falls ja: Überprüfen Sie Ihre Richtlinie und ergänzen Sie sie bei Bedarf.
Falls nein: Höchste Zeit zu handeln! Ohne verbindliche Vorgaben kann Copilot schnell zum Datenschutzrisiko werden.

Hochwertige Richtlinien für Microsoft Copilot

Fazit zu Microsoft Copilot in Edge

Copilot in Edge ist mehr als eine nette Spielerei – es ist ein mächtiges Tool, das Datenverarbeitung, Datenschutz und Sicherheit betrifft. Ohne klare Regeln kann es gleichwohl schnell zur ungewollten Datenschutzverletzung führen .

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Spannende Datenschutz-Schulungen mit DATSIPrUse

Mon, 17 Feb 2025 10:28:43 GMT

Die Abenteuer gehen weiter
– jetzt das ganze Jahr über!

Viele kennen und lieben ihn aus dem Datenschutz-Adventskalender: DATSIPrUse, der neugierige Außerirdische, der mit Datenschützer Eberhard die Erde erkundet, um alles über Datenschutz zu lernen. Bisher war er nur in der Adventszeit zu Besuch – doch jetzt gibt es eine gute Nachricht: Die Abenteuer gehen weiter! Ab sofort kann DATSIPrUse Ihr Team das ganze Jahr über begleiten und vermittelt Datenschutz auf gewohnt unterhaltsame und sympathische Weise.

Das war der Datenschutz-Adventskalender 2024

Bereits zum dritten Mal hat DATSIPrUse die Erde besucht, um für seinen Heimatplaneten mehr über Datenschutz zu erfahren. Datenschützer Eberhard stand ihm wie immer mit Rat und Tat zur Seite – mit ebenso lehrreichen wie unterhaltsamen kleinen Geschichten, die Datenschutz so richtig lebendig und greifbar machen.

Die Abenteuer gehen weiter!

Für alle, die DATSIPrUse schon vermissen: Seine Datenschutz-Geschichten gibt es jetzt das ganze Jahr über!
Nutzen Sie die unterhaltsamen Schulungsvideos, um Ihr Team auf sympathische, lockere Art für Datenschutz zu begeistern.

Möchten Sie mehr erfahren, haben Sie Wunschthemen? Wir helfen gerne weiter!

→ Jetzt Kontakt aufnehmen:

Pssst ... Hier haben wir eins unserer beliebtesten Videos aus dem Datenschutz-Adventskalender 2024 ins neue Jahr gerettet!

Der Datenschutz-Adventskalender 2024

Thu, 28 Nov 2024 20:29:49 GMT

Wieder da: DATSIPrUse und Eberhard

mit 24 brandneuen Datenschutz-Abenteuern zum Schmunzeln und Dazulernen!

Die Adventszeit steht vor der Tür!

Die schönste Zeit des Jahres naht. Wir erfreuen uns am Tannenduft und kosten die ersten Plätzchen, während die Vorfreude auf besinnliche Tage mit Familie und Freunden wächst.

Um die Zeit bis Weihnachten auf unterhaltsame und lehrreiche Weise zu verkürzen, haben wir auch dieses Jahr ein besonderes Geschenk für Sie:

den Datenschutz-Adventskalender 2024 mit brandneuen Abenteuern von DATSIPrUse!

Datenschutz leicht gemacht
mit DATSIPrUse

DATSIPrUse, der neugierige Besucher vom fernen Planeten DATSIS, ist wieder da! Auf seiner Mission, mehr über Datenschutz und Cybersicherheit zu lernen, trifft er erneut auf Datenschützer Eberhard. Gemeinsam meistern sie lustige und spannende Herausforderungen und teilen dabei wertvolle Tipps für den Alltag.

Täglich ein neues Abenteuer

Hinter jedem Türchen unseres Adventskalenders verbirgt sich ein kurzes, unterhaltsames Video – eine neue Episode, die Datenschutz auf charmante und humorvolle Weise näherbringt. Die Clips sind nicht nur lehrreich, sondern auch ideal, um in der hektischen Vorweihnachtszeit kurz abzuschalten.

Hier geht’s zum Datenschutz-Adventskalender:
www.team-datenschutz.de/advent

Kein Türchen verpassen!

Sie möchten kein Abenteuer verpassen? Dann tragen Sie sich hier für den Newsletter ein und wir senden Ihnen täglich das neueste Türchen in Ihr Postfach!

Unser Tipp

Wenn Ihnen die Abenteuer von Eberhard und DATSIPrUse gefallen, dürfen Sie die Videos gerne herunterladen und in Ihren Datenschutz-Schulungen einsetzen. DATSIPrUse hat selbstverständlich eingewilligt!

Wir wünschen Ihnen eine wunderschöne Adventszeit und viel Spaß beim Entdecken der neuen Abenteuer von Eberhard und DATSIPrUse!

Gelungenes Event: Das war das Datenschutz-Update 2024

Fri, 22 Nov 2024 14:49:34 GMT

Aktuelle Trends und Entwicklungen aus Datenschutz und Informationssicherheit

Lesezeit: ca. 3 Minuten

Auch in diesem Jahr hat das Tagesseminar „Datenschutz-Update“ wieder zahlreiche Interessierte aus Datenschutz und Informationssicherheit zusammengebracht. Mit rund 40 Teilnehmenden fand das virtuelle Event regen Zuspruch und bot spannende Einblicke in die Herausforderungen und Chancen, die 2025 und darüber hinaus auf Unternehmen und Datenschutzbeauftragte zukommen.

Die DSGVO, künstliche Intelligenz, NIS2 und vieles mehr

Das verflixte 7. Jahr nach der DSGVO war nur eines der vielen Themen, die Speaker Eberhard Häcker, langjähriger Datenschutzberater und Datenschutzcoach, mit großer Fachkenntnis und gewohnt unterhaltsam beleuchtete. Ein zentraler Punkt: Datenschutz tritt immer mehr in den Hintergrund, während Informationssicherheit zunehmend im Fokus steht – eine Entwicklung, die Unternehmen nicht unterschätzen sollten. Schwerpunkte in diesem Jahr waren:

Künstliche Intelligenz und der AI Act : Chancen und Risiken, Optimierung von Abläufen und die Vermeidung von Datenpannen und Bußgeldern
NIS-2-Richtlinie und Digitalisierung : Warum Informationssicherheit zunehmend an Bedeutung gewinnt und wie Unternehmen darauf reagieren können
DSFA und Schwellwertanalysen : Neue Herausforderungen durch KI und EU-Regulierungen wie den Digital Services Act
Wichtige Themengebiete wie Augmented Reality , Big Data , grenzüberschreitender Datentransfer und Deepfakes

Microsoft Copilot und der Schutz vor Bußgeldern

Ein Kernthema des Seminars war die Bedeutung von Schulungen und klaren Vorgaben durch Unternehmen, um Datenschutzverstöße und Bußgelder zu vermeiden. Eberhard Häcker betonte, wie wichtig es ist, Mitarbeitende regelmäßig zu schulen und für Risiken in Sachen Datenschutz und Cybersicherheit zu sensibilisieren .

Besonders spannend war die Diskussion um den Microsoft Copilot : Das Tool lehnen viele ab aus Sorge vor Datenschutzpannen. Richtig eingesetzt bietet es aber auch Chancen gerade in Sachen Datenschutz. Der Copilot könnte etwa auch Datenschutzvorgaben prüfen und gezielt zum Einsatz kommen, um Prozesse im Datenschutzmanagement effizienter zu gestalten . Häcker zeigte praxisnah, wie der Copilot Zeit und Ressourcen sparen kann, beispielsweise durch die Überprüfung auf Compliance oder die Automatisierung von Routineaufgaben. Gleichzeitig hat er die Risiken beleuchtet, etwa beim Umgang mit personenbezogenen Daten im Zusammenhang mit KI.

Dank Häckers sympathischer und vorausschauender Erläuterungen konnten die Teilnehmenden auch in diesem Jahr wieder wertvolle Anregungen und Impulse mitnehmen, wie sich Technologien wie KI gewinnbringend im Arbeitsalltag nutzen lässt.

Mit seiner gewohnt kurzweiligen Art brachte Häcker nicht nur aktuelle Entwicklungen näher, sondern auch praktische Tipps aus dem Arbeitsalltag eines Datenschutzberaters. Erfahrungen, Anekdoten und wertvolle Insights machten das Seminar zu einem Highlight .

Bis zum nächsten Datenschutz-Update!

Ein herzliches Dankeschön an alle Teilnehmenden fürs Dabeisein und wieder einmal einen gelungenen Austausch!

Wir freuen uns darauf, Sie auch im kommenden Jahr wieder begrüßen zu dürfen – mit topaktuellen Themen, Trends und Schwerpunkten aus Datenschutz und Informationssicherheit!

Hat Ihnen der Beitrag gefallen? Empfehlen Sie ihn weiter!

Team Datenschutz auf der IDACON 2024

Tue, 01 Oct 2024 10:36:03 GMT

Vorträgen, Seminare, Diskussionen und Wissensaustausch rund ums Thema Datenschutz

Auch in diesem Jahr ist Team Datenschutz wieder bei der 24. IDACON 2024 mit dabei. Vom 5. bis 7. November dreht sich auf dem hybriden Kongress für Datenschutz in München und virtuell alles um aktuelle Entwicklungen und praxisnahe Lösungen im Datenschutz.

Datenschutz-Speaker Eberhard Häcker mit spannenden Ausblicken auf 2025

Unser Geschäftsführer und beliebter Datenschutz-Speaker Eberhard Häcker wird auch diesmal wieder ein Fachseminar leiten. Mit seinem Intensivseminar am dritten Kongresstag gibt er spannende Ausblicke auf die Zukunft. Sein Thema: „Auch 2025 erfolgreich durch das Datenschutzlabyrinth navigieren“.

Gewohnt praxisnah und humorvoll geht er darin der Frage nach, wie man sich im Datenschutz der modernen Welt überhaupt noch zurechtfindet.

Welche Chancen bieten aktuelle Gesetzesänderungen in der EU und international, wie lässt sich die Widerstandskraft von Unternehmen stärken, welche Risiken lauern bei Datenschutzverletzungen?

Die Teilnehmenden erwarten erkenntnisreiche Einblicke in aktuelle Herausforderungen und Lösungen rund um Datenschutz, DSGVO und Informationssicherheit.

.

Die IDACON 2024 im Überblick

Datum: 5.–7. November 2024
Ort: München & virtuell

Top-Themen 2024:

Einheitliche Anwendung und Durchsetzung der DSGVO
Profiling und Scoring nach dem SCHUFA-Urteil
KI-Regulierung und ihre Folgen
Data Act: Rückschritt, Fortschritt oder neue Fragen?
Neues DSGVO-Sanktionsregime

Neben Fachvorträgen und praxisnahen Foren bietet das Event eine interaktive Fachausstellung und Raum für intensiven Austausch zwischen Teilnehmenden und Experten.

Jetzt anmelden und dabei sein – bei der IDACON 2024!

.

Vor Ort oder virtuell bei der IDACON 2024

Das Event findet auch in diesem Jahr als hybrider Kongress statt. Sie haben die Wahl, ob sie lieber live vor Ort dabei sind zum persönlichen Austausch und Networking oder lieber virtuell via Livestream teilnehmen.

In jedem Fall erwartet Sie ein vielfältiges Programm mit spannenden Datenschutzthemen – und mit Team Datenschutz.

Aktuelle Tipps zu

Datensicherung und Datenlöschen

Tipps & News

Sensoren, Aktoren und der Datenschutz

Fri, 23 Aug 2024 10:36:47 GMT

Der kleine feine Datentipp

Lesezeit: ca. 9 Minuten

In einer immer digitaler werdenden Welt begegnen uns Sensoren und Aktoren in nahezu allen Lebensbereichen: Sie stecken in Autos, im Smart Home, in Industrie, Medizintechnik und vielem mehr. Die Technologie ist unerlässlich für die Automatisierung und Steuerung komplexer Abläufe und macht vieles schneller und sicherer. Dabei sammeln und verarbeiten Sensoren und Aktoren eine Vielzahl an Daten, die oft direkt oder indirekt mit Menschen in Verbindung stehen. Klarer Fall für den Datenschutz.

Was Sensoren und Aktoren mit Datenschutz zu tun haben

Was sind Sensoren und Aktoren?

Sensoren und Aktoren sind Schlüsselelemente in der Automatisierungstechnik und der industriellen Steuerung. Sie spielen eine wichtige Rolle bei der Erfassung von Daten, der Verarbeitung von Informationen und der Steuerung von Systemen.

Geht doch den Datenschutz nichts an – oder?

Messen und Steuern – das hat doch nichts mit Datenschutz zu tun, oder?

Doch, hat es. Ein Beispiel gefällig?

Praxisbeispiel Sensoren, Aktoren und Datenschutz

Bei einem Automobil-Hersteller ist seit einigen Jahren eine Produktionsmaschine verlässlich im Einsatz, als es zu Betriebsfehlern kommt. Das Unternehmen meldet das Problem dem Hersteller der Maschine. Um dem Fehler auf die Schliche zu kommen, soll eine Kamera den Betrieb der Maschine aufzeichnen.

So weit, so gut. Nur: Die Kamera ist ein Sensor und soll "nur" Produktionsabläufe erfassen. Dass sie dabei Mitarbeitende erfasst, kann jedoch nicht ausgeschlossen werden. Passiert das, geht es um personenbezogene oder auf Personen beziehbare Daten . Das gilt bereits, wenn etwa der Arm einer Mitarbeiterin gefilmt wird, der sich beispielsweise durch eine Tätowierung klar zuordnen lässt.

Sensoren

Was ist ein Sensor?

Sensoren sind Geräte oder Komponenten, die physikalische, chemische oder elektrische Eigenschaften aus ihrer Umgebung erfassen und in elektrische Signale umwandeln. Diese Signale lassen sich mit Computern oder Steuerungssystemen verarbeiten.

Sensoren in der industriellen Automatisierung

In Fertigungsanlagen werden Sensoren eingesetzt, um bestimmte Werte zu messen, also beispielsweise Temperatur, Druck, Feuchtigkeit, Füllstand und Durchfluss .

Sensoren in der Fahrzeugtechnik

In Autos und anderen Fahrzeugen kommen Sensoren zum Einsatz, um Werte wie Geschwindigkeit, Drehmoment, Abgasemissionen und Abstandsregelung zu erfassen.

Sensoren in der Umweltüberwachung

Sensoren werden verwendet, um bestimmte Umweltparameter zu überwachen, zum Beispiel Luftqualität, Wasserqualität, Lärmpegel und Bodenfeuchtigkeit .

Sensoren in der Medizintechnik

Sensoren messen physiologische Parameter wie Herzfrequenz, Blutdruck, Sauerstoffsättigung und Temperatur in medizinischen Geräten.

Sensoren und Consumer Electronics

Auch Smartphones, Wearables und andere Geräte enthalten Sensoren. Das sind etwa Gyroskope, Beschleunigungsmesser und Umgebungslichtsensoren .

Sensoren in Sicherheits- und Überwachungssystemen

Sensoren erkennen Bewegungen, Rauch, Gaslecks und andere Gefahre n in Sicherheitssystemen.

Luft- und Raumfahrt

In Flugzeugen und Raumfahrzeugen dienen Sensoren zur Überwachung von Flugparametern, Navigation und Luft- und Raumfahrtforschung.

"Manipulierte Sensoren und Aktoren bergen ernstzunehmende Gefahren für die Informationssicherheit. Um sie zu minimieren, braucht es wirkungsvolle Maßnahmen."

Aktoren

Was sind Aktoren?

Aktoren sind Vorrichtungen oder Komponenten, die auf elektrische Signale oder Steuersignale reagieren und physische Aktionen ausführen. Sie setzen die von den Sensoren erfassten Informationen in Handlungen um.

Aktoren in der industriellen Automatisierung

Aktoren steuern Maschinen, Ventile, Motoren und Förderbänder in Fertigungsprozessen.

Aktoren in der Fahrzeugtechnik

In Fahrzeugen kontrollieren Aktoren die Motorleistung, die Bremsen, die Lenkung und andere Systeme.

Aktoren in der Robotik

Aktoren sind entscheidend für die Bewegung und die Handhabung von Robotern in der Fertigung und in anderen Anwendungen.

Aktoren in Klimatisierung und Heizung

Aktoren regulieren die Temperatur und den Luftstrom in Gebäuden und Anlagen.

Aktoren in der Medizintechnik

In medizinischen Geräten steuern Aktoren chirurgische Instrumente, Pumpen und andere Vorrichtungen .

Aktoren in der Klimatechnik

In Smart Homes und Gebäude-Automations-Systemen steuern Aktoren die Beleuchtung, die Jalousien, die Türschlösser und die Heizung/Kühlung .

Aktoren in der Luft- und Raumfahrt

In Flugzeugen und Raumfahrzeugen steuern Aktoren die Bewegung von Steuerflächen und Klappen .

Grundlegender Einsatz von Sensoren und Aktoren

Sensoren und Aktoren sind grundlegend für die Automatisierung und Steuerung von Prozessen und Systemen in verschiedenen Branchen. Sie ermöglichen es, Daten zu sammeln, Informationen zu verarbeiten und physische Aktionen auszuführen . Das erhöht die Effizienz, Sicherheit und Präzision in vielen Anwendungen.

Sensoren, Aktoren und die Risiken

Die Nutzung von Sensoren und Aktoren in verschiedenen Anwendungsbereichen bringt Informationssicherheitsrisiken mit sich. Hier einige der Risiken, die in den genannten Einsatzgebieten auftreten können.

Risiken in der industriellen Automatisierung

Cyberangriffe: Industrielle Steuerungssysteme (ICS) sind anfällig für Cyberangriffe. Wenn Hacker Zugriff auf Sensoren und Aktoren erlangen, können sie Produktionsprozesse stören, manipulieren oder stilllegen.

Datensicherheit: Sensoren erfassen oft sensible Betriebsdaten. Wenn diese Daten nicht angemessen geschützt sind, können sie von Angreifern gestohlen oder manipuliert werden.

Risiken in der Fahrzeugtechnik

Fahrzeugmanipulation: Stellen Sie sich einmal vor, Sie sitzen am Steuer eines Autos und mit einem Mal reagiert die Lenkung nicht. Die mögliche Folge eines Cyberangriffs. Wer Fahrzeugsensoren und Aktoren steuert, gewinnt die Kontrolle über Bremsen, Lenkung oder Antrieb.

Vernetzung: Auch die Vernetzung moderner Fahrzeuge ist ein möglicher Angriffspunkt. Unsichere Kommunikationsverbindungen führen schnell zu Sicherheitsproblemen.

Risiken in der Umweltüberwachung

Falsche Daten: Manipulation von Umweltsensordaten kann zu ungenauen oder gefälschten Umweltberichten führen. Das wiederum kann massiven Einfluss auf Umweltauflagen und Umweltschutzprogramme haben.

Datensicherheit: Umweltdaten, die von Sensoren erfasst und an zentrale Server gesendet werden, müssen verlässlich vor Diebstahl und unbefugtem Zugriff sicher sein.

Risiken in der Medizintechnik

Patientensicherheit: Fehler bei medizinischen Sensoren oder Aktoren können die Gesundheit und Sicherheit von Patienten gefährden.

Datenschutz: In medizinischen Geräten gespeicherte Patientendaten müssen vor unbefugtem Zugriff geschützt werden.

Risiken in Klimatisierung und Heizung

Unbefugter Zugriff: Die Manipulation von Heizungs- oder Klimasystemen in Gebäuden kann den Komfort und die Sicherheit der Bewohner beeinträchtigen.

Energieeffizienz: Unzureichend geschützte Sensoren und Aktoren können Angreifer nutzen, um unnötige Energiekosten zu verursachen.

Risiken in Luft- und Raumfahrt

Sicherheitsrisiken: Cyberangriffe auf Sensoren und Aktoren in Luftfahrt- und Raumfahrtsystemen können zu katastrophalen Sicherheitsproblemen führen.

Datenintegrität: Fehlfunktionen von Sensoren oder Aktoren in Raumfahrzeugen können zu Fehlern bei der Navigation und Steuerung führen. Was etwa bei einem fehlgeleiteten Hubschrauber so alles schiefgehen, mag sich jeder selbst ausmalen.

Gegenmaßnahmen

Gefahren wirkungsvoll eindämmen

Manipulierte Sensoren und Aktoren bergen also ernstzunehmende Gefahren für die Informationssicherheit . Um sie zu minimieren, braucht es wirkungsvolle Maßnahmen. Dazu zählen Netzwerksicherheit, Zugangskontrolle, Verschlüsselung, regelmäßige Sicherheitsüberprüfungen und Schulungen der Mitarbeiter im Bereich Cybersicherheit . Wichtiger Bestandteil eines umfassenden Sicherheitsansatzes ist darüber hinaus die Aktualisierung von Software und Hardware , um bekannte Schwachstellen zu beheben.

Sensoren, Aktoren und personenbezogene Daten

Der Einsatz von Sensoren und Aktoren in verschiedenen Anwendungsbereichen kann Datenschutzrisiken mit sich bringen. Hier einige der Risiken, die in den genannten Einsatzgebieten beim Datenschutz auftreten können.

Industrielle Automatisierung und Datenschutz

Datenlecks: Wenn Sensoren Personendaten als Betriebsdaten erfassen und diese Daten in die Hände Unbefugter geraten, können Datenschutzverletzungen auftreten.

Verarbeitung personenbezogener Daten: Personal wird von Kameras erfasst, die eigentlich den Fertigungsverlauf dokumentieren sollen.

Fahrzeugtechnik und Datenschutz

Fahrzeugdaten: Moderne Fahrzeuge erfassen eine Vielzahl von Daten über Fahrverhalten, Fahrzeugleistung und Insassen.

Vernetzung: Vernetzte Fahrzeuge können personenbezogene Daten an Hersteller oder Dritte übertragen. Wer diese Daten ohne Rechtsgrundlage laut Datenschutz-Grundverordnung (DSGVO) offenlegt, missachtet den Datenschutz.

Umweltüberwachung und Datenschutz

Überwachung von Personen: In manchen Fällen können Umweltsensoren auch Personen in der Umgebung überwachen.

Medizintechnik und Datenschutz

Patientendaten: Medizinische Sensoren in Geräten können empfindliche Patientendaten erfassen. Für Patienten können Datenschutzverletzungen in diesem Bereich schwerwiegende Folgen haben.

Telemedizin: Die Übertragung von medizinischen Daten über Sensoren kann Datenschutzrisiken darstellen, wenn die Daten nicht sicher übertragen und gespeichert werden.

Klimatisierung und Heizung und Datenschutz

Smart-Home-Daten: In intelligenten Gebäuden und Smart Homes können Sensoren und Aktoren Daten über das Verhalten der Bewohner sammeln.

10 Tipps für den sicheren Einsatz von Sensoren und Aktoren

Maßnahmen , um Datenpannen rund um Sensoren und Aktoren zu vermeiden .

Tipp Nr. 1: Sicheres Netzwerk

Stellen Sie die nötige Netzwerksicherheit bei Sensoren und Aktoren sicher.

Tipp Nr. 2: Zugangskontrolle

Tragen Sie Sorge, dass niemand Unbefugtes Zugang zu von Sensoren und Aktoren erfassten Daten erhält.

Tipp Nr. 3: Verschlüsselung

Sorgen Sie dafür, dass sensible Daten ausreichend verschlüsselt sind.

Tipp Nr. 4: Sicherheitsüberprüfungen

Nehmen Sie regelmäßige Sicherheitsüberprüfungen vor.

Tipp Nr. 5: Mitarbeiterschulungen

Sorgen Sie für wirkungsvolle Schulungsangebote im Bereich Cybersicherheit bei Sensoren und Aktoren.

Tipp Nr. 6: Datenschutzrichtlinien

Stellen Sie sicher, dass die Datenschutzrichtlinien Sensoren und Aktoren angemessen berücksichtigen.

Tipp Nr. 7: Begrenzung des Zugriffs

Stellen Sie sicher, dass der Zugriff auf personenbezogene Informationen auf das absolut Erforderliche begrenzt ist.

Tipp Nr. 8: Betroffenenrechte

Sorgen Sie bei Sensoren und Aktoren für die Einhaltung der Betroffenenrechte nach DSGVO .

Tipp Nr. 9: Vorausschauender Datenschutz

Beziehen Sie Datenschutz von Anfang an in den Planungs- und Entwicklungsprozess bei Sensoren und Aktoren ein.

Tipp Nr. 10: Überwachung laut DSGVO

Stellen Sie sicher, dass Datenschutzbeauftragte die Nutzung von Sensoren und Aktoren hinsichtlich Datenschutzes regelmäßig überwachen.

Und die Kernfrage: Kann sichergestellt werden, dass Sensoren und Aktoren datenschutzkonform eingesetzt sind?

Viel Erfolg beim DSGVO-gerechten Umgang mit Sensoren und Aktoren!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Netzwerktopologie verständlich erklärt & Tipps für ein sicheres Netzwerk

Wed, 07 Aug 2024 14:06:25 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Die Art und Weise, wie die Geräte in Computer-Netzwerken miteinander verbunden sind, wird als Netzwerktopologie bezeichnet. Die häufigsten Topologien sind Stern, Ring, Bus und Masche. Da ohne Netzwerke heute gar nichts mehr geht und dabei umfangreich personenbezogene Daten verarbeitet werden, verwundert es, dass sich relativ wenig Datenschutzbeauftragte um Netzwerktopologie kümmern. Das sollte sich ändern. Darum greife ich das Thema gerne auf und gebe einen Überblick und Tipps für die sichere Handhabung des Unternehmens-Netzwerks.

Netzwerktopologien und ihre Bedeutung

Netzwerktopologien beschreiben die Struktur von Netzwerken und bestimmen, wie Geräte miteinander verbunden sind. In diesem Artikel stelle ich die gängigsten Netzwerktopologien vor. Jede bringt Vorteile und Nachteile mit sich und ist damit für unterschiedliche Anwendungsszenarien geeignet. Sehen wir uns die Eigenschaften und Einsatzmöglichkeiten dieser Netzwerktopologien genauer an.

Stern-Topologie

Bei der Stern-Topologie sind alle Geräte eines Netzwerks mit einem zentralen Knotenpunkt verbunden, dem sogenannten Hub oder Switch . Der Hub oder Switch fungiert als Vermittler und leitet Datenpakete zwischen den Geräten hin und her. Diese Topologie ist einfach zu installieren und zu erweitern : Um neue Geräte zu ersetzen oder hinzuzufügen, muss nur der Hub oder Switch ersetzt oder hinzugefügt werden. Der Nachteil : Ein Ausfall des Hubs oder Switchs kann das gesamte Netzwerk lahmlegen . Ein weiteres Risiko: Ein Angreifer kann den zentralen Switch oder Router kompromittieren und damit Zugriff auf alle Geräte im Netzwerk erhalten.

Ring-Topologie

Bei der Ring-Topologie sind alle Geräte in einem geschlossenen Kreislauf miteinander verbunden. Jedes Gerät steht im Austausch mit seinen Nachbarn, so dass Datenpakete im Kreis durch das Netzwerk laufen. Diese Topologie ist einfach zu installieren und besonders effektiv in kleinen Netzwerken . Der Nachteil hier: Fällt ein Gerät aus, unterbricht es den gesamten Ring. Ein weiteres Risiko: Kompromittieren Angreifer den Ring, erhalten sie Zugriff auf alle Geräte im Netzwerk .

Bus-Topologie

Bei der Bus-Topologie sind alle Geräte an ein gemeinsames Übertragungsmedium, den Bus, angeschlossen. Datenpakete werden in beiden Richtungen über den Bus gesendet. Diese Topologie ist einfach zu installieren und zu erweitern . Doch auch sie ist nicht ohne Risiko: Wird das zentrale Kabel oder der Bus beschädigt , wird das gesamte Netzwerk unzugänglich . Und auch hier gilt: Wenn ein Angreifer das zentrale Kabel oder Bus kompromittiert, erhält er Zugriff auf alle Geräte im Netzwerk.

Maschen-Topologie

Bei der Maschen-Topologie sind alle Geräte direkt miteinander verbunden. Jedes Gerät ist mit jedem anderen Gerät im Austausch, so dass zwischen jedem Gerätepaar mehrere Pfade existieren. Diese Topologie ist sehr robust , da ein Ausfall eines Geräts keine Auswirkungen auf das Netzwerk hat. Aber: Sie ist nicht nur teuer , sondern auch aufwendig zu installieren und zu warten . Hier gilt es, eine große Anzahl von Verbindungen zu verwalten, was sie komplex und verwundbar macht. Ein Angreifer kann mehrere Geräte gleichzeitig kompromittieren und damit Zugriff auf alle Geräte im Netzwerk erhalten.

"Je nach Topologie unterscheiden sich die Auswirkungen auf den Schutz von Personendaten und damit auch die Auswirkungen auf den Datenschutz."

Netzwerktopologie und Datenschutz

In Netzwerken werden in vielfältiger Weise personenbezogene oder auf Personen beziehbare Daten verarbeitet. Je nach Topologie unterscheiden sich die Auswirkungen auf den Schutz von Personendaten und damit auch die Auswirkungen auf den Datenschutz . Damit es im Unternehmen nicht zu Datenlecks oder Erpressung kommt, sollten Datenschutzbeauftragte und das Datenschutz-Team die Unterschiede kennen.

Datenschutz in der Stern-Topologie

Da in der Stern-Topologie alle Geräte mit einem zentralen Switch oder Router verbunden sind, läuft aller Datenverkehr durch einen zentralen Punkt. Wird dieser kompromittiert, kann ein Angreifer auf alle Daten zugreifen , die durch das Netzwerk fließen. Datenschutzbeauftragte sollten also sicherstellen, dass der zentrale Switch oder Router angemessen geschützt wird.

Datenschutz in der Ring-Topologie

In der Ring-Topologie sind alle Geräte in einem Kreislauf miteinander verbunden, wodurch ein r edundantes Netzwerk entsteht. Wenn ein Gerät ausfällt, kann der Datenverkehr weiterhin um den Ring herumfließen. Datenschutzbeauftragte sollten jedoch sicherstellen, dass alle Geräte im Ring angemessen geschützt sind, um die Sicherheit des Netzwerks zu gewährleisten.

Datenschutz in der Bus-Topologie

Da in der Bus-Topologie alle Geräte an einem zentralen Kabel oder Bus angeschlossen sind, haben alle Geräte Zugriff auf den Datenverkehr im Netzwerk. Datenschutzbeauftragte sollten also Sorge tragen, dass sensible Daten angemessen verschlüsselt werden. So verhindern sie, dass die Daten von anderen Geräten im Netzwerk abgefangen werden.

Datenschutz in der Maschen-Topologie

In der Maschen-Topologie sind alle Geräte miteinander verbunden, wodurch ein redundantes Netzwerk entsteht. Datenschutzbeauftragte sollten sicherstellen, dass alle Verbindungen im Netzwerk angemessen geschützt sind. So lässt sich verhindern, dass ein Angreifer auf alle Geräte im Netzwerk zugreifen kann.

Tipps für den sicheren Umgang mit Netzwerktopologien

Tipps und Maßnahmen , um verschiedene Arten von Netzwerken sicher zu verwalten.

Tipp Nr. 1

Ermitteln Sie, welche Netzwerktopologie im Einsatz ist.

Tipp Nr. 2

Stellen Sie sicher, dass in der Netzwerktopologie Datenschutzgrundsätze angemessen beachtet werden.

Tipp Nr. 3

Sorgen Sie dafür, dass Personen mit dem erforderlichen Sachverstand zu den Prüfungen hinzugezogen werden.

Tipps zur Stern-Topologie

Wenn alle Geräte mit einem zentralen Hub oder Switch verbunden sind.

Tipp Nr. 1

Stellen Sie sicher, dass der Hub oder Switch regelmäßig gewartet wird.

Tipp Nr. 2

Überprüfen Sie, ob die Firmware des Geräts auf dem neuesten Stand ist.

Tipp Nr. 3

Prüfen Sie, dass es keine bekannten Sicherheitslücken gibt.

Tipp Nr. 4

Stellen Sie sicher, dass der Zugriff auf den Hub oder Switch nur autorisierten Personen möglich ist.

Tipps zur Ring-Topologie

Wenn alle Geräte in einem Kreislauf miteinander verbunden sind.

Tipp Nr. 1

Stellen Sie sicher, dass die Geräte regelmäßig gewartet werden.

Tipp Nr. 2

Prüfen Sie, dass die physische Verkabelung in Ordnung ist.

Tipp Nr. 3

Überprüfen Sie, ob das Ring-Protokoll korrekt konfiguriert ist.

Tipp Nr. 4

Schließen Sie Sicherheitslücken aus , die Angreifer ausnutzen könnten.

Tipps zur Bus-Topologie

Wenn alle Geräte an ein gemeinsames Übertragungsmedium angeschlossen sind.

Tipp Nr. 1

Stellen Sie sicher, dass die physische Verkabelung in Ordnung ist.

Tipp Nr. 2

Stellen Sie sicher, dass das Bus-Protokoll korrekt konfiguriert ist.

Tipp Nr. 3

Schließen Sie Sicherheitslücken aus.

Tipps zur Maschen-Topologie

Wenn alle Geräte direkt miteinander verbunden sind.

Tipp Nr. 1

Diese Topologie ist teuer und komplex ist. Setzen Sie sie nur ein, wenn es wirklich nötig ist.

Tipp Nr. 2

Überprüfen Sie, ob alle Geräte korrekt funktionieren und ob es bekannte Sicherheitslücken gibt.

Tipps zur Netzwerktopologie für Datenschutzbeauftragte

Insgesamt gilt für Datenschutzbeauftragte in Sachen Netzwerktopologien: Prüfen Sie, was vorhanden ist, und lassen Sie sich frühzeitig in Planungen einbinden.

Tipp Nr. 1

Datenschutzbeauftragte müssen regelmäßig die Netzwerktopologien überprüfen .

Tipp Nr. 2

Stellen Sie sicher, dass die Anforderungen an Datenschutz und Informationssicherheit eingehalten werden.

Tipp Nr. 3

Führen Sie Schulungen für beschäftigte Personen durch und bringen Sie ihnen die Risiken und Best Practices im Zusammenhang mit Netzwerksicherheit nahe.

Tipp Nr. 4

Dokumentieren Sie die Überprüfungen und nehmen Sie sie gegebenenfalls in den Jahresbericht auf.

Und die Kernfrage: Haben Sie sichergestellt, dass Netzwerktopologien datenschutzkonform aufgebaut und eingesetzt sind?

Mit diesen Tipps haben Sie das Rüstzeug, Netzwerktopologien gezielt und DSGVO-gerecht zu begleiten.

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Unsichere WLAN-Netzwerke erkennen und wichtige Daten schützen

Tue, 09 Jul 2024 08:00:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Heute ist es völlig normal, ständig online zu sein. WLAN gibt es eigentlich überall. Aber sind die Netze auch sicher? Nicht vertrauenswürdige Netze gibt es viele – typischerweise finden sie sich in öffentlichen WLAN-Netzwerken, in Internetcafés, Flughäfen, Hotels, Bibliotheken und an anderen öffentlichen Orten mit freiem WLAN-Zugang. Auch in Firmen (Gastnetze) oder auf Reisen greifen viele auch nicht vertrauenswürdige Netzwerke zurück, meist, da es an Alternativen mangelt.

Unsichere WLAN-Netzwerke und wie man damit umgeht

Wie erkennt man unsichere Netze?

Einige Merkmale helfen zu erkennen, um welche Netze man beim Surfen mit wichtigen Daten besser einen großen Bogen macht:

Fehlende oder unzureichende Authentifizierungsmöglichkeiten: Wenn ein Netzwerk keinen ausreichenden Schutzmechanismus für den Zugriff bietet oder eine schwache Authentifizierungsmethode verwendet, muss es als nicht vertrauenswürdig eingestuft werden.

Fehlende oder unzureichende Verschlüsselung: Wenn das Netzwerk keine ausreichende Verschlüsselung verwendet, die übertragene Daten schützt, gilt es als nicht vertrauenswürdig. Allerdings: Das muss man erst einmal erkennen!

Öffentlich zugängliche Netzwerke: Wenn ein Netzwerk öffentlich zugänglich ist, ohne dass eine Authentifizierung erforderlich ist, ist es nicht vertrauenswürdig.

Unbekannte Netzwerke: Wenn ein Netzwerk unbekannt ist oder sich an einem ungewöhnlichen Standort befindet, ist es bis zum Beweis des Gegenteils als nicht vertrauenswürdig einzustufen.

Netzwerke mit verdächtigem Verhalten: Wenn ein Netzwerk verdächtiges Verhalten zeigt, zum Beispiel den Versuch, unautorisierten Zugriff auf ein anderes Netzwerk zu erlangen, ist es nicht vertrauenswürdig.

Netzwerke mit einem schlechten Ruf: Wenn ein Netzwerk einen schlechten Ruf hat (auch das soll es geben) oder dafür bekannt ist, dass es in der Vergangenheit Angriffe oder Datenschutzverletzungen ausgelöst hat, ist es ebenfalls als nicht vertrauenswürdig einzustufen.

Was droht, wenn man unsichere Netze nutzt?

Wer nicht vertrauenswürdige Netze nutzt, riskiert, Angreifern Zugriff auf Informationen und Ressourcen zu geben, die sie nicht sehen oder verarbeiten dürfen. Wenn beispielsweise beschäftigte Personen in einem unsicheren WLAN arbeiten, kann womöglich ein Angreifer über dasselbe Netzwerk auf Daten zugreifen, die vom Gerät des Mitarbeiters gesendet oder empfangen werden.

Ebenso kann Malware über nicht vertrauenswürdige Netze auf die Geräte gelangen und dauerhaft Schaden anrichten. Daher ist dringend zu empfehlen, dass bei der Nutzung von nicht vertrauenswürdigen Netzen die Sicherheitsvorkehrungen besonders streng sind und alle nutzenden Personen entsprechend sensibilisiert und geschult sind.

Risiken unsicherer Netze

Risiken im Zusammenhang mit nicht vertrauenswürdigen Netzen sind:

• Diebstahl von Zugangsdaten und Passwörtern

• Einschleusen von Schadsoftware wie Viren, Trojanern oder Würmern

• Abhören und Mitlesen von sensiblen Daten wie Passwörtern oder vertraulichen Informationen

• Man-in-the-Middle-Angriffe , bei denen der Angreifer den Datenverkehr unbemerkt abfängt und manipuliert

• Phishing-Angriffe , bei denen der Angreifer versucht, über gefälschte Websites oder E-Mails an vertrauliche Infos wie Passwörter oder Bankdaten zu gelangen

"Wer nicht vertrauenswürdige Netze nutzt, riskiert, Angreifern Zugriff auf Informationen und Ressourcen zu geben."

Unsichere WLAN-Netzwerke und der Datenschutz

Nicht vertrauenswürdige Netze können ein erhebliches Risiko für den Datenschutz darstellen.

Da ist einmal die Gefahr , dass Unbefugte Zugriff auf personenbezogene Daten bekommen, wenn diese über ein unsicheres Netzwerk übertragen werden. Das ist eine Schutzverletzung, die gegebenenfalls an die Aufsichtsbehörde gemeldet werden muss, und zwar binnen 72 Stunden .

Dazu können Netzwerk-Administratoren oder Betreiber des nicht vertrauenswürdigen Netzes Zugriff auf diese Daten haben und diese möglicherweise missbrauchen oder weitergeben. Dies sind ebenfalls Schutzverletzungen, die streng genommen meldepflichtig sind.

Datenschutz-Risiken

Kritische Punkte für den Datenschutz im Zusammenhang mit nicht vertrauenswürdigen Netzen sind:

Phishing: Nicht vertrauenswürdige Netze können eine erhöhte Gefahr von Phishing-Angriffen darstellen. Benutzer sollten darauf geschult werden, wie sie solche Angriffe erkennen und vermeiden.

Man-in-the-Middle-Angriffe: In unsicheren Netzwerken besteht auch ein höheres Risiko von Man-in-the-Middle-Angriffen, bei denen ein Angreifer den Netzwerkverkehr zwischen zwei Geräten abfängt und manipuliert. Hierdurch können Passwörter oder andere vertrauliche Informationen gestohlen werden.

Schadsoftware: Unsichere Netzwerke können auch ein erhöhtes Risiko von Schadsoftware-Infektionen darstellen, wenn z.B. ein infiziertes Gerät ins Netzwerk eingebunden wird.

Datenlecks: In unsicheren Netzwerken kann auch ein höheres Risiko von Datenlecks bestehen, wenn beispielsweise unsichere Übertragungsprotokolle genutzt werden oder unverschlüsselte Daten über das Netzwerk übertragen werden.

Tipps für einen DSGVO-gerechten Umgang mit nicht vertrauenswürdigen Netzwerken

12 Maßnahmen , um Datenpannen rund um unsichere WLAN-Netzwerke zu vermeiden .

Tipp Nr. 1

Die Risiken unsicherer Netze im Unternehmen thematisieren

Tipp Nr. 2

VPNs (Virtual Private Networks) verwenden zur Verschlüsselung des Datenverkehrs und zum Schutz der Privatsphäre

Tipp Nr. 3

Antivirus-Software nutzen , um sich gegen Malware-Infektionen zu schützen

Tipp Nr. 4

Automatische Verbindungen zu Netzwerken deaktivieren und das manuelle Herstellen von Verbindungen zu vertrauenswürdigen Netzwerken unterbinden

Tipp Nr. 5

Die Nutzung öffentlicher Netzwerke für vertrauliche oder persönliche Daten vermeiden

Tipp Nr. 6

Betriebssystem und Software aktualisieren und regelmäßige Updates einspielen, um bekannte Sicherheitslücken zu schließen

Tipp Nr. 7

U ngesicherte Websites vermeiden und nur HTTPS-basierte Websites verwenden , um Daten verschlüsselt zu übertragen

Tipp Nr. 8

Sichere Passwörter verwenden und die Zwei-Faktor-Authentifizierung nutzen , wo immer möglich

Tipp Nr. 9

Zugriffe auf vertrauliche Informationen über nicht vertrauenswürdige Netzwerke vermeiden und die Freigabe von Dateien und Druckern in unsicheren Netzen deaktivieren

Tipp Nr. 10

Keine unsicheren Protokolle wie FTP (File Transfer Protocol) verwenden und stattdessen sichere Alternativen wie SFTP (Secure File Transfer Protocol) oder SCP (Secure Copy) nutzen

Tipp Nr. 11

Die Firewall des Betriebssystems nutzen , um den Zugriff auf den Computer zu erschweren

Tipp Nr. 12

Mitarbeiterschulungen zur Nutzung nicht vertrauenswürdiger Netze durchführen

Mitarbeiter-Schulungen zu unsicheren Netzen

Hier sind wir an einem besonders wichtigen Bestandteil des Umgangs mit unsicheren Netzwerken angelangt. Schulungen sind ein ganz wesentlicher Baustein für eine sichere Netzwerk-Nutzung. Sie sollten folgende Themen beinhalten:

Was ist ein nicht vertrauenswürdiges Netzwerk und welche Risiken sind damit verbunden?
Wie sollte man sich in einem nicht vertrauenswürdigen Netzwerk verhalten , welche Aktivitäten gilt es zu vermeiden ?
Welche spezifischen Maßnahmen können ergriffen werden, um sich in einem nicht vertrauenswürdigen Netzwerk zu schützen , z.B. die Verwendung von VPNs?
Wie und an wen sind verdächtiges Verhalten oder Sicherheitsprobleme zu melden ?
Tipps, wie man Phishing-E-Mails erkennt und mit bösartigen Anhängen umgeht .
Wie man vermeidet , sensible Informationen über unsichere Kanäle wie nicht verschlüsselte E-Mails oder Instant-Messaging-Apps zu teilen
Sicherstellen, dass Beschäftigte in nicht vertrauenswürdigen Netzwerken besonders vorsichtig sind
Sicherstellen, dass niemand absichtlich Unbefugte auf den Rechner lassen will!

Und die Kernfrage: Kann sichergestellt werden, dass unsichere Netze wo möglich vermieden werden – und wenn, sie nur mit der gebotenen Vorsicht genutzt werden?

Viel Erfolg beim DSGVO-gerechten Umgang mit unsicheren Netzwerken!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Agile Datenschutzbeauftragte. Fachseminar mit Eberhard Häcker

Wed, 26 Jun 2024 09:00:03 GMT

Das neue Seminar
"Agile Datenschutzbeauftragte
– Immer einen Schritt voraus"

Wir laden ein zu einem spannenden neuen Datenschutz-Event: Das Fachseminar "Agile Datenschutzbeauftragte – Immer einen Schritt voraus" richtet sich an Datenschutzbeauftragte, die mit modernen, agilen Methoden den Anforderungen der veränderten Arbeitswelt begegnen und immer einen Schritt voraus sein möchten. Seminarleiter Eberhard Häcker freut sich auf den Austausch mit den Teilnehmenden.

Praxisnahes Tagesseminar mit Eberhard Häcker

Der gefragte Speaker und Mitbegründer von Team Datenschutz ist bekannt dafür, in Seminaren und Coachings die wesentlichen Entwicklungen im Datenschutz treffsicher herauszuarbeiten und das nötige Rüstzeug an die Hand zu geben, Herausforderungen gezielt zu meistern.

Die Teilnehmer erwartet also ein vielseitiger Tag mit vielen neuen Erkenntnissen für den Alltag als Datenschützer . Lernen Sie, wie Sie agile Datenschutzprozesse entwickeln und vorausschauend handeln, anstatt aktuellen Entwicklungen hinterherzulaufen. Erfahren Sie, wie Sie Datenschutz als Teamarbeit gestalten, mit geduldiger Hartnäckigkeit die Umsetzung vorantreiben und Datenschutz als aktives Umweltmanagement begreifen.

Weitere Schwerpunkte des Online-Seminars: die Vermeidung von Schadenersatzforderungen und der clevere, gesetzeskonforme Einsatz künstlicher Intelligenz .

Agilität im Datenschutz

Ein agiler Umgang mit Datenschutz ist heute wichtiger denn je. Er macht den Unterschied zwischen dem produktiven Umgang mit modernen Herausforderungen und Unbeweglichkeit. Im Seminar erfahren Sie, wie Sie agile Prozesse im Alltag anwenden. Die Rolle von Datenschutzbeauftragten lautet längst: Teamplayer! Die enge Zusammenarbeit zwischen Informationssicherheit und Datenschutz spart eine Menge Ressourcen und erleichtert die Umsetzung enorm.

Im Seminar vermittelt Eberhard Häcker die passenden Tools und Methoden, um risikobewusst und lösungsorientiert zu arbeiten. Anhand von Praxisbeispielen beleuchtet er neue Herausforderungen im Datenschutz und behandelt aktuelle Themen wie den Umgang mit Beschäftigtendaten, die Automatisierung von Auskunftsanfragen, das agile Bewältigen von Cyber-Angriffen und die Gestaltung von Schulungen mit neuen Konzepten.

Agieren statt reagieren

Praxisnah und alltagstauglich führt er in die Betriebsdatenerfassung (BDE) und die Produktionsdatenkontrolle ein. Erfahren Sie, wie Sie Fernwartung datenschutzkonform prüfen und künstliche Intelligenz zur Produktivitätssteigerung einsetzen .

Dazu lernen Sie, aktuelle Herausforderungen im Datenschutz früh zu erkennen und vorausschauend zu agieren, anstatt nur zu reagieren. Sie erfahren, wie Sie die gesetzlichen Möglichkeiten der DSGVO rechtskonform und agil nutzen und gezielt anwenden.

Das Seminar bietet Ihnen wertvolle Tipps zur Arbeitserleichterung und Prozessoptimierung. So meistern Sie Ihr Arbeitspensum erfolgreich und zielgerichtet.

Wer dabei sein sollte

Das Seminar richtet sich an Datenschutzbeauftragte, Datenschutzkoordinatoren, Compliance-Beauftragte, Qualitätsmanagementbeauftragte (QMB) und Informationssicherheitsbeauftragte.

Anmeldung zum Seminar
"Agile Datenschutzbeauftragte"

Freuen Sie sich auf einen spannenden Tag voller Anregungen und Erkenntnisse für agile Datenschutzbeauftragte!

Termine 2024

Mittwoch, 10. Juli 2024

9:00 bis 17:00 Uhr

Mittwoch, 18. September 2024

9:00 bis 17:00 Uhr

Mittwoch, 13. November 2024

9:00 bis 17:00 Uhr

Teilnahme online im virtuellen Seminarraum.

Die Teilnahmegebühr beträgt € 795,00 zzgl. MwSt., weitere Teilnehmende erhalten 10 % Rabatt!

Rüsten Sie sich und Ihr Team für die Herausforderungen des modernen Datenschutzes.
Anmelden und dabei sein!

Zur Anmeldung

Sichern Sie sich jetzt Ihre Teilnahme über das Forum für Datenschutz der WEKA Akademie.

DSGVO-gerechte Systemhärtung. 13 Tipps für eine sichere IT

Fri, 07 Jun 2024 06:45:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

Das beste Schutz gegen Angriffe auf die Unternehmens-IT ist die Härtung der Systeme – also die gezielte Absicherung von Rechnern, Servern und anderen Komponenten. Wie das geht, verrät der Datentipp!

Systemhärtung zielgerichtet angehen

IT und ihre Tücken

Computer, Laptops, Tablets, Smartphones, Router, Drucker – sie alle haben zu Beginn bestimmte Werkseinstellungen . Wie die Hersteller das eben für richtig halten. Oder wie es wenig Aufwand verursacht. Mit anderen Worten: Man muss sich selbst darum kümmern. Und da fängt die Herausforderung an: Wer keine Maßnahmen ergreift, riskiert Sicherheitslücken.

Was ist systemisches Härten?

Eine möglichst sichere Konfiguration von informationstechnischen Systemen wird als Systemhärtung bezeichnet, System Hardening im Englischen. Systemhärtung betrifft Geräte und Systeme aller Art: Server, Netzwerke, PCs, Notebooks, Tablets, Smartphones ebenso wie Drucker, Produktionsmaschinen mit IT-Komponenten und die smarte Kaffeemaschine in der Kantine.

Welches Ziel hat die Systemhärtung?

Das Ziel ist klar: Mit angemessenen Maßnahmen der Systemhärtung erkennen Sie Sicherheitsrisiken und verhindern, dass diese zu Sicherheits- oder Datenschutzvorfällen werden.

Wie lange dauert das Härten der Systeme?

Eine Frage, die mancher sich stellt: Wie aufwendig wird das mit der Systemhärtung? Wie lange dauert es? Eines muss klar sein: Systemhärtung ist kein einmaliges Projekt. Wer IT im Einsatz hat, muss regelmäßig prüfen, ob sie angemessenen Sicherheitsanforderungen entspricht. Das gilt also für den gesamten Lebenszyklus. Und selbst nach Außerbetriebnahme sind unter Umständen Maßnahmen erforderlich.

Mindestens zu härtende IT-Systeme

Härtung informationstechnischer Systeme umfasst vielfältige Bereiche. Darunter fallen Hardware wie Server und Router ebenso wie Software wie Firewall und geeignete Verschlüsselungssysteme, Server und Serverräume ebenso wie Versorgungssysteme wie Strom und Klimasteuerung , die für eine funktionierende IT unabdingbar sind.

Wer seine Systeme erfolgreich härten möchte, behält außerdem Komponenten wie Updates und Patches im Blick und kümmert sich um Anwendungsregeln wie Benutzerrechte und Gruppenrichtlinien . Weiter unten finden Sie eine Übersicht der Tipps und Maßnahmen.

Härten Sie genug?

Jede Organisation härtet ihre IT mehr oder weniger. Dass zu wenig gehärtet wurde, weiß man nach einem erfolgreichen Angriff oder nach folgenschweren Fehlern durch die Beschäftigten. Kaum jemand kann guten Gewissens sagen, in Sachen Systemhärtung genug getan zu haben. Hand aufs Herz – wie ists bei Ihnen?

"Systemhärtung ist kein einmaliges Projekt. Solange ein informationstechnisches System im Einsatz ist, muss regelmäßig geprüft werden, ob es den angemessenen Sicherheitsanforderungen entspricht."

Wie gefährlich sind unzureichend gehärtete Systeme?

Systemhärtung verkleinert die Angriffsfläche

Je dürftiger die IT gehärtet ist, desto größer ist die Angriffsfläche. Oder, um es positiv zu formulieren: Je besser die Systemhärtung, desto besser ist das Unternehmen vor Angriffen geschützt.

Datenschutzvorfälle reduzieren

Eine gezielte Systemhärtung bedeutet also weniger Vorfälle bei Informationssicherheit und Datenschutz . Sie beugt vor, dass ungebetene Benutzer auf die Systeme gelangen und Schaden anrichten. Auch unbeabsichtigte Datenschutzverstöße werden unwahrscheinlicher.

Permanent systematisch härten

Kurz und gut, alle Risiken im Zusammenhang mit der IT können kritisch sein und zu Datenverlusten und Meldepflichten führen. Daher muss permanente Systemhärtung ganz oben auf der To-Do-Liste stehen.

Systemhärtung und Datenschutz

Laufende Systemhärtung? Unverzichtbar.

In Sachen Systemhärtung spricht die Datenschutz-Grundverordnung (DSGVO) eine klare Sprache. Die Forderungen aus Artikel 24 DSGVO machen eine permanente Systemhärtung im Grunde unverzichtbar . Das allerdings als alleinige Datenschutzanforderung zu betrachten, greift zu kurz. Ohne IT geht in heutigen Unternehmen schließlich nichts mehr. Wer Systemhärtung betreibt, betreibt aktiven Datenschutz und sichert die Infrastruktur seines Unternehmens .

Das sagt die DSGVO

„Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt.“

Artikel 24 Abs. 1 Satz 1 DSGVO

13 Tipps zur Härtung der Systeme

Mit gezielten Maßnahmen gewährleisten Sie die Sicherheit der Unternehmens-IT.

Tipp Nr. 1

Begreifen Sie Härtung als permanente Aufgabe .

Tipp Nr. 2

Erarbeiten Sie einen Projektplan zur systematischen Härtung der IT .

Tipp Nr. 3

Stellen Sie „weiche“ Aspekte der IT zusammen wie beispielsweise schwache Passwörter – und vermerken Sie die damit verbundenen Sicherheitsrisiken .

Tipp Nr. 4

Planen Sie die Härtung der Versorgungssysteme wie Strom, Wasser und Klimaanlage.

Tipp Nr. 5

Planen Sie die Härtung der Netzwerke und leiten Sie sie ein, damit nur erlaubte Netzwerkzugriffe erfolgen – mit allen Komponenten der Hardware (wie Server, Router, Switches, Verkabelungen usw.) und Software (wie Firewall und Verschlüsselungssysteme).

Tipp Nr. 6

Planen Sie die Härtung der Server und Serverräume und setzen Sie sie um.

Tipp Nr. 7

Härten Sie Komponenten wie Geräte und Software zum Betrieb der Anwendungen – mit allen Einstellungen, Updates, Patches usw.

Tipp Nr. 8

Planen und verwirklichen Sie die Härtung von Datenbanken zur Absicherung der Datenbestände sowohl auf dem Betriebsgelände (on Premises) als auch in der Cloud.

Tipp Nr. 9

Nehmen Sie die Härtung von Betriebssystemen in Angriff (wie automatisierte Updates und Patches) und entfernen Sie unnötige Funktionen und Treiber.

Tipp Nr. 10

Härten Sie die Anwendungsregeln wie Benutzerrechte und Gruppenrichtlinien.

Tipp Nr. 11

Planen Sie die Härtung der Archivsysteme und gehen Sie sie an.

Tipp Nr. 12

Planen Sie regelmäßige Unterweisungen der Mitarbeitenden und führen Sie Erfolgskontrollen durch.

Tipp Nr. 13

Nutzen Sie regelmäßige Fortbildungen und praxisnahe Informationen .

Und die Kernfrage: Haben Sie sichergestellt, dass Ihre IT permanent mögliche Risiken im Blick hat und systematisch Maßnahmen zur Härtung der Systeme erfolgen?

Viel Erfolg bei der Härtung Ihrer Unternehmens-IT!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Sicherheit des Unternehmensgebäudes – und was das mit Datenschutz zu tun hat

Wed, 29 May 2024 15:09:21 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

Für Unternehmen sind angemessene Sicherheitsvorkehrungen von entscheidender Bedeutung. Das betrifft natürlich auch Firmengebäude und Firmengelände. Ob Einbruchschutz, eine resiliente IT oder der Umgang mit Notfallsituationen – eine umfassende Sicherheitsstrategie leistet einen wichtigen Beitrag, Ihr Unternehmen vor Gefahren verschiedenster Art zu schützen. Wir geben Tipps, wie Sie gezielt vorbeugen, ein sicheres Arbeitsumfeld schaffen und sensible Daten und Unternehmenswerte wirksam schützen.

Gebäude und Gelände sichern

Es gibt viele Wege, das Eigentum, das Personal und die kritischen Infrastrukturen eines Unternehmens zu schützen . Um Gebäude und Gelände zu sichern, gilt es zunächst, mögliche Bedrohungen zu erkennen und zu bewerten . Anschließend ergreifen Sie Sicherheitsmaßnahmen , um diese zu minimieren. Dazu schulen Sie die Beschäftigten, damit diese auf Krisensituationen vorbereitet sind und im Ernstfall richtig reagieren .

Mehr Gebäudeschutz dank Sicherheitskonzept

Der erste Schritt ist die Erstellung eines Sicherheitskonzepts , das die Eigenheit vor Ort berücksichtigt. Darin halten Sie die Gefährdungen für Unternehmensgelände und -gebäude fest. Daraus leiten sich die zu ergreifenden Maßnahmen ab.

Überwachungskameras, Zutrittskontrollsysteme und Alarmsysteme aller Art (von der Videoüberwachung bis zu Sensoren zur Messung von Erschütterungen) tragen dazu bei, unbefugten Zutritt zu verhindern. Ebenso kann es sinnvoll sein, das Gelände mit Zäunen, Toren und Sicherheitspersonal abzusichern. Außerdem sollten Sie regelmäßig das Personal schulen und auf dem neuesten Stand der Sicherheitstechnologien und -verfahren halten.

Im Idealfall erreicht man die bestmögliche Sicherheit für Gebäude und Gelände von Unternehmen bei überschaubarem Aufwand . So schützen Sie das Eigentum ebenso wie die Menschen, die auf dem Gelände arbeiten, und gewährleisten einen stabilen Geschäftsbetrieb.

"Um Gebäude und Gelände zu sichern, gilt es zunächst, mögliche Bedrohungen zu erkennen und zu bewerten."

Risiken für Bürogebäude und Unternehmensgelände

Von Einbruch, Sabotage und Vandalismus

Was gefährdet die Sicherheit von Gebäuden und Geländen von Unternehmen?
Hier einige der häufigsten Risikofaktoren.

Einbruch und Diebstahl

Eines der zentralen Risiken für Unternehmen ist Diebstahl. Einbrecher können Inventar und wertvolle Informationen stehlen. Ebenso können Mitarbeitende in Gefahr geraten.

Vandalismus

Vandalismus ist ein weiteres Risiko für Unternehmen. Dadurch können Gebäude, Gelände oder Fahrzeuge Schaden nehmen und ebenfalls Mitarbeitende gefährdet werden.

Sabotage

Bei Sabotage denken viele an mutwilligen Schaden von außen. Häufig passiert Sabotage jedoch von innen. Wie kommt es dazu? Oft sind es Versehen, die durch Unkenntnis oder Unachtsamkeit entstehen, es passieren technische Fehler – oder unzufriedene Beschäftigte versuchen, die Sicherheit des Unternehmens zu gefährden. Und wenn externe Akteure wie Konkurrenten oder politische Aktivisten versuchen, das Unternehmen zu sabotieren? Das kann passieren, ist aber die Ausnahme.

Naturkatastrophen

Naturkatastrophen wie Stürme, Überschwemmungen oder Erdbeben können die Sicherheit von Gebäuden und Geländen gefährden und die Mitarbeiter gefährden, ebenso Brände.

Cyberkriminalität

Durch die zunehmende Digitalisierung sind Unternehmen immer mehr auf elektronische Systeme und Daten angewiesen. Tagtäglich versuchen Cyberkriminelle, diese Systeme anzugreifen, lahmzulegen und Zugang zu vertraulichen Informationen zu erlangen.

Die Sicherheit von Gebäuden und Geländen von Unternehmen wird also aus ganz unterschiedlichen Richtungen bedroht. Um die Gefahren zu minimieren, ist eine umfassende Sicherheitsstrategie sinnvoll, die diese Risikofaktoren berücksichtigt.

Sichere Gebäude und der Datenschutz

Die Sicherheit der Gebäude und des Geländes eines Unternehmens ist eng mit dem Datenschutz verbunden. Im Zusammenhang mit Perimetrieüberwachung verarbeiten Unternehmen häufig personenbezogene Daten . Denken Sie Datenschutz mit, wenn Sie Ihre Sicherheitsstrategie entwickeln.

Es gilt also, Datenschutzgrundsätze zu berücksichtigen – wie Datensparsamkeit, Zweckbindung und die Vertraulichkeit der personenbezogenen Daten. Dazu zählen außerdem die Schulung der Mitarbeitenden und die Berücksichtigung des Datenschutzes bei der Auswahl von Dienstleistern .

Es ist auch dringend zu empfehlen, dass Unternehmen die Beschäftigten über die Bedeutung des Datenschutzes im Zusammenhang mit der Sicherheit von Gebäuden und Gelände schulen . So können sie sicherzustellen, dass die Belegschaft angemessene Anweisungen befolgt und sensibel mit personenbezogenen Daten umgeht .

Wenn Unternehmen Dritte beauftragen , Sicherheitsmaßnahmen umzusetzen oder Sicherheitsdienstleistungen zu erbringen, sollten sie sicherstellen, dass diese Dritten als ihre Auftragnehmer auch angemessene Datenschutzmaßnahmen ergreifen und sich an die einschlägigen Datenschutzgesetze und -vorschriften halten.

Tipps für DSGVO-gerechte Sicherheitsmaßnahmen

15 Tipps, um Gebäude und Gelände zielführend abzusichern.

Tipp Nr. 1:
Installation von Alarmanlagen

Falls noch nicht geschehen, prüfen Sie den Einsatz von Alarmanlagen. Diese können Einbrecher abschrecken und bei einem Einbruchversuch das Sicherheitspersonal oder die Polizei benachrichtigen.

Tipp Nr. 2: Einrichtung von Überwachungskameras

Wo nötig und sinnvoll, installieren Sie Kameras. Sie können dazu beitragen, verdächtige Aktivitäten aufzuzeichnen und Beweise für Straftaten zu sammeln.

Tipp Nr. 3: Zutrittskontrollen

Zutrittskontrollen wie elektronische Schlösser oder Schlüsselkarten beschränken den Zutritt zu sensiblen Bereichen und verhindern unerlaubten Zutritt.

Tipp Nr. 4: Sicherheitsbeleuchtung

Leuchten Sie das Gelände angemessen aus. Helle Beleuchtung im Freien kann verdächtige Aktivitäten abschrecken und die Überwachungskameras unterstützen.

Tipp Nr. 5:

Schulung der Beschäftigten

Die Beschäftigten, Leiharbeitnehmende und Dienstleistende sollten für Sicherheitsfragen sensibilisiert und in Sicherheitsprozeduren geschult werden, um Bedrohungen zu erkennen und angemessen darauf zu reagieren.

Tipp Nr. 6:

Regelmäßige Überprüfung von Sicherheitsprozeduren

Unternehmen sollten ihre Sicherheitsprozeduren regelmäßig überprüfen und aktualisieren, damit sie aktuell und effektiv sind.

Tipp Nr. 7:

Notfallvorsorgeplan

Unternehmen sollten einen Notfallvorsorgeplan entwickeln, um schnell auf unerwartete Ereignisse wie Naturkatastrophen oder Angriffe zu reagieren.

Tipp Nr. 8: Installation von Brandschutzsystemen

Brandschutzsysteme wie Rauchmelder oder Sprinkleranlagen können dazu beitragen, Brände zu erkennen und zu löschen.

Tipp Nr. 9: Absicherung von Netzwerk und IT-Infrastruktur

Unternehmen sollten ihre Netzwerke und IT-Infrastruktur gegen Cyberangriffe absichern und regelmäßige Sicherheitsüberprüfungen durchführen.

Tipp Nr. 10: Sicherung von sensiblen Daten

Unternehmen sollten vertrauliche Daten verschlüsseln und sicher speichern, um sicherzustellen, dass sie nicht gestohlen oder kompromittiert werden.

Tipp Nr. 11:

Regelmäßige Wartung von Sicherheitsausrüstungen

Sicherheitsausrüstungen wie Alarmanlagen oder Kameras sollten regelmäßig gewartet werden, um ihre Funktionsfähigkeit sicherzustellen.

Tipp Nr. 12: Zusammenarbeit mit lokalen Strafverfolgungsbehörden

Unternehmen sollten mit den örtlichen Strafverfolgungsbehörden zusammenarbeiten, um verdächtige Aktivitäten zu melden und gemeinsam an der Verbesserung der Sicherheit der Gemeinde zu arbeiten.

Tipp Nr. 13: Beschränkung von Informationen

Unternehmen sollten sensible Informationen schützen, um Angriffe von außen zu verhindern.

Tipp Nr. 14: Identifizierung von potenziellen Risiken

Unternehmen sollten regelmäßige Risikobewertungen durchführen, um potenzielle Risiken zu identifizieren und zu verringern.

Tipp Nr. 15: Überwachung durch Datenschutzbeauftragte

Auch bei der Sicherheit on Gebäuden und Gelände sollten Datenschutzbeauftragte ihre Überwachungsaufgabe wahrnehmen und prüfen, ob der Datenschutz eingehalten wird.

Und die Kernfrage: Kann sichergestellt werden, dass Gelände und Gebäude angemessen vor Gefährdungen geschützt sind?

Viel Erfolg bei der Sicherung des Unternehmensgebäudes!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Großereignisse und ihre datenschutzrechtlichen Risiken für Unternehmen

Mon, 29 Apr 2024 12:42:50 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

Bei Großereignissen wie Demonstrationen, Festen oder sportlichen Ereignissen sind viele Menschen unterwegs. In der nahen Umgebung des Unternehmens können solche Events Auswirkungen haben von logistischen Herausforderungen bis hin zu möglichen Datenschutzverletzungen. 11 Tipps, wie Unternehmen sich auf solche Ereignisse vorbereiten und rechtliche Probleme umgehen.

Mögliche Auswirkungen von Großereignissen in der Nähe des Unternehmens

Großereignisse wie Demonstrationen oder Feste können Auswirkungen auf Unternehmen haben, wenn sie in der Nähe des Betriebsgeländes stattfinden. Ob direkt oder indirekt, Events können den Geschäftsbetrieb beeinträchtigen. Verkehrsprobleme oder Straßensperrungen etwa können die Erreichbarkeit für Kunden, Mitarbeiter und Lieferanten beeinträchtigen. Auch Lärm, Menschenansammlungen und damit verbundene Sicherheitsrisiken beeinflussen schnell die Arbeitsbedingungen und den Umgang mit personenbezogenen Daten und können die Effizienz der Mitarbeiter einschränken.

Darüber hinaus können Demonstrationen und Feste, je nach Art und Umfang, auch direkte Auswirkungen auf das Unternehmen haben. Beispielsweise können Protestaktionen gegen ein bestimmtes Unternehmen gerichtet sein oder das Unternehmen selbst aufgrund seiner Lage oder Größe direkt beeinflussen. In solchen Fällen kann das Unternehmen einer erhöhten Gefahr von Beschädigungen oder Vandalismus ausgesetzt sein. Das wiederum kann den Betrieb einschränken oder sogar schädigen. Auch wenn es keine direkte Bedrohung für das Unternehmen geben sollte, kann das Ereignis den Ruf des Unternehmens beeinträchtigen . Das gilt insbesondere, wenn das Unternehmen als Teil einer kontroversen politischen oder sozialen Debatte wahrgenommen wird.

Damit können Großereignisse wie Demonstrationen oder Feste eine Vielzahl von Risiken für Unternehmen darstellen. Sie reichen von kurzfristigen Geschäftsschließungen bis hin zu langfristigen Imageschäden oder Auswirkungen auf die Finanzen des Unternehmens. Umso wichtiger, dass Unternehmen sich auf mögliche Auswirkungen vorbereiten und geeignete Vorkehrungen treffen. So schützen sie beschäftigte Personen und Unternehmenseigentum und erhalten ihren Geschäftsbetrieb aufrecht.

Risiken von Demonstrationen und Festen für den Geschäftsbetrieb

Es gibt eine Vielzahl von Risiken im Zusammenhang mit Großveranstaltungen wie Festen, Demonstrationen oder Konzerten. Die tatsächlichen Risiken sollten in einem internen Gremium erarbeitet werden. Hier ist ein Auszug möglicher Risiken :

Bei Demonstrationen kann es zu Beeinträchtigungen des Geschäftsbetriebs kommen, darunter etwa verminderte Kundenfrequenz , Störungen des Verkehrs oder Beschädigungen des Eigentums .

Bei Festivals oder großen Veranstaltungen können Straßen gesperrt werden, was die Erreichbarkeit des Unternehmens beeinträchtigt und die Anlieferung von Waren und Materialien erschwert.

Eine Ansammlung von Menschen in der Umgebung des Unternehmens kann zu einer erhöhten Gefahr von Straftaten wie Diebstahl oder Vandalismus führen.

Wenn das Unternehmen in der Nähe einer Demonstration oder eines Festes liegt, kann dies zu einer erhöhten Lärmbelastung führen, was die Konzentration der Mitarbeiter beeinträchtigen kann.

Verkehrsprobleme können den Geschäftsbetrieb beeinträchtigen, wenn Straßen gesperrt oder umgeleitet werden.

Die Sicherheit von Mitarbeitern und Kunden kann gefährdet sein, wenn Ereignisse außer Kontrolle geraten oder Gewalt ausbricht.

Bei erhöhtem Verkehrsaufkommen bleiben auch mal LKW und Lieferwagen stecken. In der Umgebung des Unternehmens es kann zu Lieferverzögerungen und Engpässen in der Logistik führen.

Das Unternehmen hat sich nicht angemessen auf ein Ereignis vorbereitet? Unannehmlichkeiten und Sicherheitsbedenken können Kunden verärgern , der Ruf Schaden nehmen .

Aufgrund von kurzfristigen Geschäftsschließungen oder Lieferverzögerungen können sich Verluste von Umsatz oder Geschäftschancen ergeben.

Wird das Unternehmen als Teil eines öffentlich diskutierten Konflikts wahrgenommen, kann das negative Auswirkungen auf das Image des Unternehmens haben.

"Es gibt eine Vielzahl von Risiken im Zusammenhang mit Großveranstaltungen wie Festen, Demonstrationen oder Konzerten."

Datenschutzfragen bei Großveranstaltungen

Und was geht das nun den Datenschutz an? Großereignisse in der nahen Umgebung des Unternehmens können datenschutzrechtliche Fragen aufwerfen. Hier ein Überblick über mögliche Bereiche, die betroffen sein können:

Videoüberwachung

Vorbeiziehende Demonstranten oder Besucher einer Großveranstaltung geraten schnell in den Bannkreis einer unternehmenseigenen Überwachungskamera , die etwa das Gebäude oder den Parkplatz filmt. Besonders wichtig ist hier, dass die rechtlichen Bedingungen wie Beschilderung und Datenschutzerklärungen stimmen.

Besucherregistrierung

Falls Menschen im Zusammenhang mit dem Ereignis das Unternehmen besuchen, ist möglicherweise mit erhöhtem Besucheraufkommen bzw. stärkeren Kundenströmen zu rechnen. Darauf sollte das Unternehmen vorbereitet sein.

Zutrittskontrolle

Im Zusammenhang mit Großereignissen müssen Zutritte zum Gelände und in Gebäuden so geschützt sein, dass unbefugte Zutritte wirksam verhindert werden und ein möglicher Ansturm bewältigt werden kann.

Parkplatzüberwachung

Falls das Unternehmen Parklätze zur Verfügung stellt, muss dies angemessen organisiert sein. Wenn Parkplätze nicht geöffnet werden sollen, sind geeignete Kontrollmaßnahmen zu treffen. Das gilt insbesondere, wenn die Parkplätze für Kunden und Beschäftigte reserviert bleiben sollen.

Social-Media-Präsenz und Interaktionen

Entsprechende Aktivitäten sollten, soweit die Ereignisse bekannt und planbar sind, frühzeitig in Angriff genommen und auf Übereinstimmung mit dem Datenschutzrecht geprüft werden.

Kundenkommunikation

Möchte das Unternehmen mit positiven Ereignissen gezielt Kunden ansprechen , sollte der Datenschutz eingebunden werden. Es ist zu prüfen, wie die Ansprache erfolgen soll und ob das mit rechtlichen Regelungen wie dem Gesetz gegen unlauteren Wettbewerb (UWG) vereinbar ist. Bei zu erwartenden negativen Beeinträchtigungen ist zu überlegen, ob Kunden möglicherweise vor einem Besuch des Unternehmens gewarnt werden sollten.

Marketingaktivitäten

Bei positiven Ereignissen ist zu prüfen, wie sich das Ereignis aus Sicht des Marketings für eine positive Außenwirkung nutzen lässt.

Zusammenarbeit mit Sicherheitsbehörden

Je nach Anlass können Besuchende wie Einsatzkräften vorhandene Ressourcen nutzen wie Parkplätze oder die Kantine . Kommt es zu Ausschreitungen, ist denkbar, dass Behörden etwaige Videoaufzeichnungen durch das Unternehmen einsehen möchten.

Lieferanten- und Partnerbeziehungen

Bei positiven Ereignissen sollte überlegt werden, Lieferanten, Kunden und andere Geschäftspartner einzuladen , bei befürchteten negativen Ereignissen kann eine Warnung sinnvoll sein.

Kundendatenmanagement

Falls in der Nähe eine kulturelle Großveranstaltung abgehalten wird, können Vergünstigungen für Kunden angeboten werden. Dies ist aber im Vorfeld datenschutzrechtlich zu prüfen.

Mitarbeiterschulungen

Falls Beschäftigte bei Veranstaltungen direkt beteiligt sind, müssen sie angemessen auf ihre Rolle vorbereitet werden. Auch bei unvorhersehbaren Ereignissen sollten mögliche Gelegenheiten genutzt werden, die Beschäftigten angemessen vorzubereiten .

Datensicherheit

Im Zusammenhang mit Großereignissen ist ein Risikoplan für erkennbare Risiken der Veranstaltungen zu erstellen, der im Laufe der Zeit bei Wiederholungen immer wieder auf Aktualität und Vollständigkeit zu prüfen ist.

Tipps für einen DSGVO-gerechten Umgang mit Großereignissen nahe dem Unternehmen

11 Tipps, um Datenschutz-Pannen rund um Großereignisse zu vermeiden.

Tipp Nr. 1:
Risikomanagement

Erstellen Sie einen detaillierten Risikomanagement-Plan , der mögliche Risiken auslotet und Maßnahmen zur Risikominderung oder -vermeidung enthält.

Tipp Nr. 2: Risikoanalysen

Führen Sie regelmäßig Risikoanalysen durch, um die Risiken von Großereignissen zu bewerten und geeignete Maßnahmen zu ergreifen.

Tipp Nr. 3: Aufgabenverteilung

Legen Sie klare Verantwortlichkeiten und Aufgaben für das Management-Team fest, um alle notwendigen Maßnahmen zu ergreifen.

Tipp Nr. 4: Krisen-Management

Richten Sie eine Krisenmanagement-Struktur ein, welche die Entscheidungsfindung und die schnelle Reaktion auf unvorhergesehene Ereignisse erleichtert.

Tipp Nr. 5:

Schulung

Schulen Sie die Mitarbeitenden zu ihren Rollen und Verantwortlichkeiten im Krisenmanagement-Plan , um eine reibungslose Umsetzung der Maßnahmen zu gewährleisten.

Tipp Nr. 6:

Vorbereitung

Stellen Sie den Geschäftsbetrieb durch eine angemessene Vorbereitung auf die möglichen Szenarien sicher , einschließlich der Einrichtung von Backup-Systemen.

Tipp Nr. 7:

Sicherheit & Notfallpläne

Gewährleisten Sie die Sicherheit aller beschäftigten Personen und Gäste durch angemessene Sicherheitsmaßnahmen wie z. B. Sicherheitsüberprüfungen und Notfallpläne.

Tipp Nr. 8: Monitoring

Überwachen Sie soziale Medien und andere Kanäle , um frühzeitig auf eventuelle Bedrohungen oder Krisen zu reagieren.

Tipp Nr. 9: Test

Führen Sie regelmäßige Übungen und Simulationen durch, um die Effektivität des Krisenmanagement-Systems zu testen und zu verbessern.

Tipp Nr. 10: Verbesserung

Dokumentieren und analysieren Sie alle Ereignisse, um aus Erfahrungen zu lernen und den Krisenmanagement-Plan kontinuierlich zu verbessern .

Tipp Nr. 11: Datenschutzbegleitung

Identifizieren Sie Herausforderungen beim Datenschutz und bereiten Sie sich frühzeitig auf eine datenschutzkonforme Begleitung der Ereignisse vor.

Und die Kernfrage: Haben Sie sichergestellt, dass das Unternehmen auf planbare Großereignisse angemessen vorbereitet ist und bei nicht planbaren Ereignissen angemessen reagiert?

Viel Erfolg beim DSGVO-gerechten Umgang mit Groß-Events!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Network Access Control – 8 Tipps für eine DSGVO-konforme Netzzugangskontrolle

Fri, 05 Apr 2024 10:58:05 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

Wer unerlaubt in ein Netzwerk eindringt, kann erheblichen Schaden anrichten. Wie betreiben Organisationen ihre Netze in Sachen Informationssicherheit und Datenschutz rechtskonform? Die Antwort lautet Network Access Control. 8 Tipps, wie Sie die Netzzugangskontrolle sicher und DSGVO-gerecht regeln.

Was ist Network Access Control?

Ob Unternehmen, Betrieb oder Behörde – ohne Netzwerke geht in Organisationen heute nichts mehr . Die Digitalisierung lässt grüßen – und das nicht erst, seit wir vermehrt mobil arbeiten . Netzwerkzugriffskontrolllösungen (Network Access Control, NAC) sind für die Sicherheit und Zugriffsverwaltung in Unternehmensnetzwerken unerlässlich. Mit der zunehmenden Anzahl von Geräten im Unternehmensnetzwerk steigen die Sicherheitsrisiken . Network-Access-Control-Systeme bieten Transparenz, Zugriffskontrolle und Compliance-Funktionen , um die Netzwerksicherheit zu stärken. Diese Tools ermöglichen es Unternehmen, Geräten den Netzwerkzugriff zu verweigern, um mögliche Bedrohungen der Sicherheit zu minimieren.

Drei Grundarten von Netzen

Allgemein sind drei Arten von Netzen im Einsatz: LAN, WLAN und VLAN. LAN (Local Area Network) ist ein kabelgebundenes Netzwerk in kleineren Einheiten, also in Unternehmens- oder Heimnetzwerken. WLAN (Wireless Local Area Network) bezeichnet ein drahtloses Rechnernetzwerk, das Geräte über Funk räumlich begrenzt verbindet. VLAN (Virtual Local Area Network) wiederum ist ein virtuelles Netzwerk, das innerhalb eines Switches oder eines gesamten physischen Netzwerks physische Netze in Teilnetze aufteilt und dafür sorgt, dass Datenpakete nur dorthin gelangen, wo sie hindürfen.

Kontrollierter Zugang und Zugriff mittels Network Access Control

Kurz gesagt, Netze sorgen dafür, dass vertrauliche Daten , personenbezogen oder nicht, nur von jenen verarbeitet werden, die das dürfen . Daten werden zentral verarbeitet, bestimmte Anwender erhalten bestimmte Zugriffe und können so ihre Aufgaben bearbeiten.
Aber nicht nur die Netze sind geschützt und damit der Zugang zu den einzelnen Systemen, sondern auch die Systeme selbst. Wenn eine Kollegin für ihre Arbeit Projektdaten benötigt, kann sie über ein Netzwerk auf diese Daten zugreifen . Dazu muss sie zweierlei erfüllen : Sie muss nachweisen, dass sie die ist, die sie vorgibt . Und sie muss eine entsprechende Berechtigung haben, mit der auf die Daten zugegriffen werden kann. In diesem Datentipp geht es in erster Linie um Zweiteres: die Erlaubnis, im Netz zu sein .

"Wer in ein Netz eindringt, findet auch die Sicherheitslücken in den Programmen. Wer die Sicherheitslücken kennt, kann ernsthafte Schäden anrichten."

Das Risiko fehlender Network Access Control

Abgesicherte Zugänge

Der Zugang zu den Netzen einer Organisation muss abgesichert sein. Könnte sich jeder nach Lust und Laune einloggen, käme er zwar noch nicht in jede Anwendung. Aber hier ist es ähnlich wie bei einem Einbrecher. Hat jemand erst einmal die Mauer überwunden, findet er auch einen Weg ins Gebäude. Wer in ein Netz eindringt, findet auch die Sicherheitslücken in den Programmen. Wer die Sicherheitslücken kennt , kann ernsthafte Schäden anrichten .

Ein Beispiel aus dem Alltag

Eine handelsübliche Überwachungskamera ist zur Beobachtung von Produktionsabläufen installiert. Diese Kamera hat eine IP-Adresse. Diese IP-Adresse hängt vom Kameratyp ab und lässt sich, sofern sie nicht entsprechend geschützt ist, über spezialisierte Suchmaschinen wie Shodan herausfinden.

Angenommen, in der Kamera wird ein Softwarefehler entdeckt und unter Insidern veröffentlicht. Solange dieser Fehler nicht gepatcht ist, kann er von kundigen Außenstehenden für Cyber-Attacken missbraucht werden. Kämen Angreifer allerdings gar nicht erst ins Netzwerk, könnten sie darin auch keinen Schaden verursachen.

Authentisierung und Autorisierung

Netze müssen also so geschützt werden, dass Personen sich authentisieren müssen, ehe sie Zugriff erhalten . Sie müssen sich also eindeutig identifizieren und einen Autorisierungsprozess durchlaufen. Dabei werden Reglementierungen abgefragt wie Passwörter oder PIN-Codes , die neben der Identifikation sicherstellen , dass die erforderliche Erlaubnis (Berechtigung) vorliegt , die Daten zu verarbeiten.

Datenschutz und Netzzugangskontrolle

Datenpannen vermeiden

Wer mit personenbezogenen Daten arbeitet, muss verhindern, dass es zu Datenpannen kommt . Die Datenschutz-Grundverordnung (DSGVO) kennt grundsätzlich fünf Arten von Datenpannen. Daten sind vor Vernichtung zu schützen, vor Verlust (Kontrollverlust) und vor unbefugter Veränderung . Außerdem sind personenbezogene Daten davor zu schützen, dass sie unbefugt eingesehen werden (unbefugte Offenlegung) und dass unbefugt mit Ihnen gearbeitet wird (unbefugter Zugang zu Daten).

Kontrollierter Netzzugang

Kommt es zu solchen Schutzverletzungen, hat das grundsätzlich eine Meldepflicht an die Aufsichtsbehörde zur Folge. Wer in Netzwerken Daten verarbeitet, muss sicherstellen, dass sowohl die Netzwerke als auch die Daten vor Pannen sicher sind. Da ist es am einfachsten, nur autorisierte Anwender in die Netze zu lassen und Daten so zu schützen, dass nur Anwender, die damit arbeiten dürfen, den Zugriff auf diese personenbezogenen Daten bekommen.

Analyse der Gefährdungen

Zu diesem Zweck sieht Artikel 24 der DSGVO vor, vorhandene Gefährdungen mit Maßnahmen des Risikomanagements zu analysieren . So muss beispielsweise analysiert werden, was droht, wenn Unbefugte Zugang zu Netzen oder zu Daten mit Personenbezug erhalten. Mit einer Risikoanalyse untersuchen Sie die Eintrittswahrscheinlichkeit für den Vorfall und die mögliche Schadenshöhe .

Schadenshöhe beziffern

Wie ermittelt man die Schadenshöhe? Die hängt davon ab, wie stark die Rechte von Personen verletzt werden . Eine Rechteverletzung ist jedoch finanziell schwer messbar. Hier hilft es, dass die DSGVO den Schadenersatz kennt. Der wird vor deutschen Gerichten immer wichtiger. Damit lässt sich in der Regel beziffern, wie hoch ein finanzieller Schaden werden kann .

Beispiel

Ein Netzwerk ist so unzureichend gesichert, dass es im Schnitt zehn Mal im Monat zu einem unerlaubten Netzzugang kommt. Das macht im Jahr 120 unerlaubte Zugänge. Wenn jeder diese unerlaubten Zugänge zu einem durchschnittlichen Schaden von 100 € führt, ergibt sich ein potentieller Schaden von 12.000 € im Jahr. Auf dieser Grundlage entscheidet die Geschäftsleitung , ob dieses Risiko getragen werden kann oder ob sie entsprechende Maßnahmen festlegt .

Geeignete TOMs für datenschutzgemäße Network Access Control

Die Datenschutz-Grundverordnung sieht vor, dass Datenverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen, um solche Datenlecks zu vermeiden . Dazu sind in erster Linie die Gefährdungen zu ermitteln , wenn die Netzzugangskontrolle nur unvollständig funktioniert. Hierzu hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Grundschutzbausteine entwickelt. So gibt es den Grundschutzbaustein NET.3.4 Network Access Control. In der Beschreibung zu diesem Baustein sind acht Gefährdungen für die Informationssicherheit aufgeführt.

Gefährdungen ermitteln und bewerten

Daneben muss natürlich untersucht werden, welche Risiken für den Schutz personenbezogener Daten durch eine Schutzverletzung eintreten können. Hier werden natürlich weitere Gefährdungen ermittelt und analysiert. Des Weiteren sind in den Bausteinen des Grundschutzes auch Anforderungen benannt . In der aktuellen Fassung des Bausteins im Jahr 2023 sind beispielsweise 29 Anforderungen genannt. Diese beziehen sich auf die Informationssicherheit . Anforderungen zum Thema Datenschutz kommen hinzu.

Keine unerlaubten Zugänge in Netze

Es muss also datenschutzrechtlich untersucht werden, welche Gefährdungen der Zugang Unbefugter zu geschützten Netzen mit sich bringt. Dann müssen entsprechende Maßnahmen bestimmt und umgesetzt werden, um diese unbefugten Zugänge zu vermeiden. Es gilt regelmäßig zu überprüfen, ob die Maßnahmen den gewünschten Zweck erfüllen. Alle Beteiligten müssen in geeigneter Weise mit den erforderlichen Maßnahmen vertraut gemacht werden. Das alles ist zu dokumentieren .

Überprüfungsaufgabe erfüllen

Datenschutzbeauftragte haben eine Überwachungsaufgabe . Im Rahmen dieser Aufgabe müssen Sie prüfen , ob die Netzwerke aus Sicht der Informationssicherheit und des Datenschutzes rechtskonform funktionieren. Diese Prüfung ist zu dokumentieren .

Datenschutz juristisch und technisch anpacken

Sind Datenschutz-Teams vorwiegend juristisch geprägt , werden solche technischen Überprüfungen meiner Erfahrung nach oft versäumt. Es reicht aber nicht aus, den Datenschutz nur juristisch anzugehen. Prüfen Sie aus technischer Sicht , ob die Anforderungen erfüllt werden können. Datenschutzbeauftragte tun also gut daran, sich mit Informationssicherheitsbeauftragten zusammen zu tun .

8 Tipps für die datenschutzkonforme Network Access Control

Tipp Nr. 1

Stellen Sie sicher, dass alle Netze der Organisation in einem Netzplan erfasst sind.

Tipp Nr. 2

Dieser Netzplan muss vollständig und aktuell sein.

Tipp Nr. 3

Für alle diese Netze muss definiert sein, wer Zugang erhält und welche Anwendungen darin bearbeitet werden.

Tipp Nr. 4

Die Risiken für unbefugte Netzzugänge sind zu erfassen, zu analysieren, nach Eintrittswahrscheinlichkeit und Schadenshöhe zu bewerten und entsprechende Gegenmaßnahmen sind zu definieren und zu ergreifen.

Tipp Nr. 5

Alle Maßnahmen zum Schutz der Netze sind angemessen zu dokumentieren .

Tipp Nr. 6

Datenschutzbeauftragte müssen im Rahmen ihrer Überwachungsaufgabe regelmäßig prüfen , ob die Netze datenschutzkonform betrieben werden.

Tipp Nr. 7

Die Dokumentation aller Nutzungen in den Netzen ist datenschutzkonform durchzuführen und angemessen aufzubewahren .

Tipp Nr. 8

Die Dokumentation der Netznutzung unterliegt ebenfalls datenschutzrechtlichen Anforderungen , die erfüllt sein müssen.

Das ist die Kernfrage: Haben Sie sichergestellt, dass die Netze der Organisation aus Sicht von Informationssicherheit und Datenschutz rechtskonform betrieben werden?

Mit der richtigen Herangehensweise ist es gar nicht so schwer, Network Access Control gekonnt zu regeln. Ich wünsche viel Erfolg beim Umsetzen!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der VVT-Check

Passgenaue Analyse. Klare Empfehlungen.

Endlich Sicherheit beim Verzeichnis der Verarbeitungstätigkeiten.

Jetzt unverbindlich kennenlernen:

Datenpannen bei Namen von BewerberInnen im Outlook-Kalender

Wed, 27 Mar 2024 16:34:23 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

Ja, auch im Kalender kann es zu Datenlecks kommen. Viele Unternehmen nutzen Kalender wie Outlook, um ihre Termine zu organisieren. Die Schattenseite: Heikle Infos wie Namen von Bewerbenden sind schnell für Unbefugte sichtbar – wenn die Kalendereinträge nicht entsprechend geschützt sind. Unter Umständen entstehen Vertraulichkeitsprobleme und mögliche Datenschutzverletzungen. Gegen Zwischenfälle helfen die richtigen Vorkehrungen. Wir geben Tipps.

Heikle Daten im Kalender

Wer mit Bewerbungen zu tun hat oder zur Beurteilung bewerbender Personen hinzugezogen wird, ist in der Regel auch in die Terminplanung des Bewerbungsprozesses eingebunden. Arbeiten Unternehmen mit den Office-Tools von Microsoft, findet diese in der Regel mit dem Terminkalender in Outlook statt.

Und da beginnt die Herausforderung. Wenn im Outlook-Kalender Namen stehen, können sie in der Regel alle lesen, die Zugriff auf den Kalender haben . Dazu gehören neben dem Besitzer des Kalenders alle, denen er eine Kalenderfreigabe erteilt hat. Wird der Kalender zur Terminplanung von Vorstellungsgesprächen verwendet, landen schnell Namen von bewerbenden Personen im Kalender.

Oder stellen Sie sich einmal einen Kalendereintrag wie diesen vor: „ 14 Uhr Personalgespräch Anton Abele (Abmahnung) “. Man kann sich ausmalen, wie schnell bei einem solchen Eintrag der Flurfunk „auf Sendung“ geht.

Wer kommt zum Vorstellungsgespräch?

„Hast du schon gehört? Bei uns hat sich Anton Abele beworben!“ – „Wie, DER Anton Abele? Der Vorsitzende vom xy-Verein?“ – „Ja genau der, einen anderen Anton Abele gibt es im Ort ja nicht.“ – „Und woher weißt du das?“ – „Das habe ich im Kalender vom Personalleiter gesehen, da steht das Bewerbungsgespräch drin!“

Wenn alle mit Zugriff auf den entsprechenden Outlook-Kalender sehen, wann ein bestimmtes Bewerbungsgespräch stattfindet, ist möglicherweise die Vertraulichkeit verletzt – umso mehr, wenn seltene Namen oder bekannte Menschen im Spiel sind.

Interessante Infos im Kalender

Und damit nicht genug. Wie schnell werden spannende Infos für etwas anderes genutzt als gedacht? Was, wenn jemand den Kalender der Kollegin nutzt, um Informationen über Kunden oder Geschäftspartner für persönliche Zwecke zu nutzen?

Nehmen wir zum Beispiel an, dort werden Termine für die Beschaffung vereinbart. Der Lieferant möchte wissen, ob bestimmte mitbewerbende Unternehmen in der engeren Auswahl sind, und sagt dem Informanten eine Belohnung für die Information zu. Diese Information nutzt der Lieferant, um das Angebot in seinem Sinne zu verbessern.

Denkbar ist auch, dass Vorgesetzte die Terminplanung ihrer Mitarbeitenden analysieren. Sie könnten Rückschlüsse über deren Arbeitsweise ziehen, ohne dass die Betroffenen das ahnen und sich gegebenenfalls erklären könnten. Oder eine beschäftigte Person nutzt die Informationen aus den Kalendern anderer, um ihnen in bestimmten Bereichen zuvorzukommen .

Vertrauliches leicht zugänglich

Dass die Kalender der Beschäftigten ohne ihr Wissen auf unerwünschte Weise genutzt werden, ist ein Risiko. Nicht immer geht es um personenbezogene Daten geht, auch andere vertrauliche Infos geraten hier in Gefahr. Das wiederum kann Auswirkungen auf die Compliance haben. Das Risiko ist umso größer, je gedankenloser Vorgesetzte wie Mitarbeitende mit ihren Terminen umgehen.

Und wenn Namen oder andere personenbezogene Daten im Kalender stehen? Dann tritt außerdem der Datenschutz in den Ring.

"Geht es um die Besetzung einer Führungsposition, wird in vielen Fällen eine Meldepflicht vorliegen."

Kalendereinträge und der Datenschutz

Nehmen wir einen Kalender, auf den viele Zugriff haben. Sind darin Namen von bewerbenden Personen zu finden und es kann ein Zusammenhang zu einem Bewerbungsgespräch hergestellt werden, sind personenbezogene Daten unbefugt offengelegt. Denn: Das Bewerberverfahren unterliegt wie alle nicht öffentlichen Personalentscheidungen der Vertraulichkeit. Damit liegt eine der Schutzverletzungen nach Artikel 4 der Datenschutz-Grundverordnung (DSGVO) vor: die unbefugte Offenlegung personenbezogener Daten .

Datenpanne im Kalender, und jetzt?

Was ist zu tun, wenn es in Outlook zu einer Datenpanne gekommen ist? So prüfen Sie den Vorfall Schritt für Schritt.

Schritt 1: Wird die Schutzverletzung erkannt, muss geprüft werden, ob eine Meldepflicht an die zuständige Aufsichtsbehörde besteht. Dazu werden zuerst der Umfang und die Intensität der Schutzverletzung geprüft. Es gilt zu ermitteln, wie viele Personen von der Schutzverletzung betroffen sind. Im vorliegenden Beispiel können das beispielsweise all jene sein, die zu einem Vorstellungsgespräch eingeladen werden.

Schritt 2: Dann wird geprüft, welche Schutzstufe personenbezogener Daten verletzt wurde. Eine aktuelle Fassung des Schutzstufenkonzepts ist beim Landesbeauftragten für den Datenschutz in Niedersachsen als PDF abgelegt.

Welche Schutzstufe gilt?

Schritt 3: Für die Schutzstufe A (veröffentlichte Daten) und Schuzstufe B (geringes Risiko für die betroffenen Personen) würde das bedeuten, dass auf eine Meldung an die Aufsichtsbehörde für den Datenschutz verzichtet werden kann. Bei Schutzstufe C mit einem mittleren Risiko erfolgt eine Meldung , aber anders als bei Schutzstufe D (hohes Risiko, besondere Kategorien von Daten gemäß Art. 9 DSGVO) und Schutzstufe E (sehr hohes Risiko) kann darauf verzichtet werden, die von der Schutzverletzung Betroffenen zu informieren.

In jedem Fall sollte eine erkannte Datenschutzverletzung dazu führen, sich die Vorfälle näher anzusehen und angemessene Maßnahmen zu treffen , damit sich die Panne nicht wiederholt.

Die Position und die Folgen

Klären Sie also zunächst, welche Schutzstufe gilt für die Tatsache, dass namentlich genannte Personen zu Vorstellungsgesprächen für eine Stellenausschreibung eingeladen wurden , diese sich also erstens beworben haben und zweitens in die engere Auswahl gekommen sind.

Berücksichtigen Sie, um welche Position es sich bei der ausgeschriebenen Stelle handelt und welche Folgen es für jemanden haben kann, wenn seine Ablehnung bekannt wird. Dann entscheiden Sie, ob Sie den Vorfall melden. Nach Erkennen der Schutzverletzung haben Sie dafür 72 Stunden Zeit.

Geht es um die Besetzung einer Führungsposition , wird in vielen Fällen eine Meldepflicht vorliegen. Denn: Wird hier eine Ablehnung bekannt, hat das in aller Regel einen negativen Beigeschmack. Zumal ja bekannt wird, wer eingestellt, also bevorzugt wurde.

Privacy-Tipp

Wenn Namen in Terminen im Kalender genannt werden müssen, kennzeichnen Sie diese Termine als „privat“ . Details sehen dann nur die Eingeladenen. Und: Alle sollten sich bei Kalendereinträgen jederzeit bewusst sein, dass unter Umständen andere den Kalender einsehen können.

Tipps für DSGVO-gerecht gepflegte Kalender

Wie lassen sich Datenpannen im Kalender vermeiden? Hier kommen 7 Tipps.

Tipp Nr. 1:
Kalenderberechtigungen festlegen

Stellen Sie sicher, dass nur befugte Personen Zugriff auf Ihren Kalender haben, indem Sie die entsprechenden Berechtigungen festlegen . Das tun Sie, indem Sie die Einstellungen für Ihren Kalender in Outlook anpassen und die Benutzer oder Gruppen auswählen, die Zugriff auf Ihren Kalender haben sollen.

Tipp Nr. 2:
Private Termine markieren

Markieren Sie Termine als "privat" , damit Unbefugte keine Inhalte sehen..

Tipp Nr. 3: Nur freie/geschäftliche Zeit anzeigen

Möglicherweise kann der Kalender so eingestellt werden, dass anstatt Namen und Details von Terminen nur angezeigt wird, ob Zeit frei oder belegt ist . So verhindern Sie, dass vertrauliche Informationen nach draußen dringen.

Tipp Nr. 4: Kalenderansichten anpassen

Ändern Sie wenn möglich die Kalenderansichten, um bestimmte Details auszublenden . Sie können beispielsweise die Anzeige von Kalendereinträgen für bestimmte Kategorien oder Benutzer einschränken.

Tipp Nr. 5:

Verschlüsselung verwenden

Wenn möglich, nutzen Sie Verschlüsselung , um vertrauliche Infos in Ihrem Kalender zu schützen.

Tipp Nr. 6:

Als Schutzverletzung behandeln

Nehmen Sie Schutzverletzungen im Zusammenhang mit Namen in Kalendern in die Liste der Vorfälle auf , bei denen interne Meldung mit anschließender Prüfung der Meldepflicht an die Datenschutz-Aufsichtsbehörde zu erfolgen hat.

Tipp Nr. 7:

Unterweisen

Machen Sie das Thema gegebenenfalls zum Inhalt einer Schulung oder Unterweisung zum datenschutzkonformen Umgang mit Kalendern . Machen Sie den Nutzenden von Kalendern klar, dass andere den Kalender einsehen können und mit Terminen datenschutzkonform umzugehen ist.

Und die Kernfrage: Haben Sie sichergestellt, dass bei der Nutzung von Kalendern Datenpannen wegen Namen in Terminen verhindert werden?

Viel Erfolg bei Terminvereinbarungen ohne Datenleck!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Datenlöschung nach DSGVO oder: Personenbezogene Daten im Niemandsland

Fri, 15 Mar 2024 11:12:18 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Auch die Zeit von Daten läuft irgendwann ab. Sie werden nicht mehr gebraucht, Aufbewahrungsfristen sind abgelaufen, sie liegen eh nur im Weg — und die Löschung personenbezogener Daten verlangt natürlich auch die DSGVO. Zeit also, sie zu löschen — die Daten, nicht die DSGVO.

Daten, die aufs Löschen warten

Wenn die Aufbewahrungszeit für personenbezogene Daten abgelaufen ist, muss man sie wieder loswerden. Elektronische Daten sind zu löschen, Papierunterlagen zu vernichten . So weit, so klar. Nur: Manchmal verzögert sich das. Mal klappt es aus technischen Gründen nicht, mal aus organisatorischen. Bis sie wirklich gelöscht werden, bleiben die Daten vorhanden. Dürften sie aber nicht – sie liegen im „ Niemandsland “. Wie ergeht es ihnen da und was kann dabei so alles schiefgehen?

Praxisbeispiel:
Personalakte löschen

Betrachten wir die gute alte Personalakte. Nehmen wir an, vor etwas über zehn Jahren ist eine Kollegin ausgeschieden . Mit Ende des laufenden Kalenderjahres ist die Aufbewahrungszeit für ihre Personalakte abgelaufen . Stehen keine zwingenden Gründe dagegen, muss sie also vernichtet werden . Nun ist es aber unwahrscheinlich, dass eine Personalakte tatsächlich am 1. Januar des neuen Jahres zu Schnipseln wird – Dienstleister arbeiten selten am Feiertag und die meisten Mitarbeitenden werden sich am Neujahrstag lieber von der Silvesternacht erholen, als Unterlagen zu schreddern .

Was ist zu tun? Klar, die Akte muss aufbewahrt werden, bis sie tatsächlich vernichtet wird . Und bis dahin? Ist streng darauf zu achten, dass die Daten darin für nichts anderes genutzt werden. Sie liegen sozusagen im Niemandsland. Und dort gilt: Sie müssen grundsätzlich unzugänglich sein.

Geeignete technische und organisatorische Maßnahmen

Papierunterlagen unzugänglich machen

Wer Daten im Niemandsland lagert, muss also sicherstellen, dass niemand darauf zugreift – das darf man erst, wenn die Stunde der Vernichtung geschlagen hat. Heißt: Akten und Unterlagen aus Papier dürfen nicht mehr irgendwo erumliegen. Auch aus dem Regal , wo sie bisher eingelagert waren, müssen sie entfernt werden – außer Sie können sicherstellen, dass niemand unbefugt auf das Regal zugreift.

Herausforderung elektronisch verarbeiteter Personendaten

Gleiches gilt für elektronisch verarbeitete personenbezogene Daten . Ob diese Daten als Sicherungskopie abliegen, sich auf einem fest installierten Gerät oder System befinden oder auf einem mobilen Datenträger gespeichert sind – unbefugte Zugriffe dürfen nicht mehr erfolgen . Jeder Zugriff, der nicht die Vernichtung einleitet oder einem übergeordneten neu entstandenen Zweck dient, ist in diesem Fall unbefugt.

Ein berechtigter Zweck könnte etwa eine richterliche Anordnung sein, wenn Unterlagen in einem Strafprozess als Beweis gebraucht werden. Oder ein bestimmtes Dokument ermöglicht dem Verantwortlichen , eine unberechtigte Anschuldigung zurückzuweisen .

Datenschutz und die Risiken nicht gelöschter Daten

Die Löschung von personenbezogenen Daten regelt Artikel 17 der Datenschutz-Grundverordnung (DSGVO) . Daten sind zu löschen , wenn sie nicht mehr erforderlich sind, um ihre Verarbeitungszwecke zu erfüllen . Spricht etwas gegen eine sofortige Löschung, wie das bei Daten im Niemandsland hoffentlich objektiv der Fall ist, müssen Sie geeignete technische und organisatorische Maßnahmen ergreifen, um unbefugte Zugriffe zu vermeiden.

Und wenn es dennoch zu unbefugten Zugriffen auf zu löschende personenbezogene Daten kommt? Dann handelt es sich um einen Datenschutzverstoß. In diesem Fall prüfen Sie, ob eine Meldepflicht an die Datenschutz-Aufsichtsbehörde besteht. Falls ja, bedenken Sie: Sie haben 72 Stunden. Versäumen Sie die Meldung und die Daten tauchen wieder auf oder es entsteht der Verdacht, dass auf die Daten unbefugt zugegriffen wurde, wird die Aufsichtsbehörde eine Überprüfung einleiten. Sie wird je nach Fall – etwa bei fehlenden technischen und organisatorischen Maßnahmen und gleichzeitigem Vorliegen besonderer Datenkategorien – ein Bußgeldverfahren einleiten . Da es um den Schutz personenbezogener Daten und um die Wahrung der Rechte und Freiheiten betroffener Personen geht, kann die Geldbuße bis 20 Millionen € oder 4 % des Konzernumsatzes des Vorjahres betragen.

"Und wenn es zu unbefugten Zugriffen auf zu löschende personenbezogene Daten kommt? Dann handelt es sich um einen Datenschutzverstoß. Prüfen Sie, ob eine Meldepflicht an die Datenschutz-Aufsichtsbehörde besteht. Falls ja, bedenken Sie: Sie haben 72 Stunden. "

Daten löschen nach DSGVO

Unbefugte Zugriffe verhindern

Halten wir fest: Hinsichtlich Datenschutz müssen Sie mit geeigneten technischen und organisatorischen Maßnahmen verhindern , dass Daten, die nicht mehr da sein dürften, bis zur Vernichtung für Unbefugte zugänglich sind.

Beispiel Archiv für Akten und Papier

Wie so oft kommt es auf den Einzelfall an. Sind eine größere Menge Akten zu vernichten , bietet sich ein verschließbarer Container an, um die zu vernichtenden Unterlagen einzulagern. Wer den Schlüssel zu diesem Container hat, muss wissen, dass niemand unbefugt auf die Daten zugreifen darf . Eine andere Möglichkeit sind bewegliche Regale im Archiv , die verschlossen werden können. So lassen sich Unterlagen sicher aufbewahren, bis der Inhalt eines ganzen Regals zu entsorgen ist.
Eine dritte Möglichkeit: Das gesamte Archiv wird so lange verschlossen , bis die Vernichtung erledigt ist.

Beispiel elektronische Archive

Auch elektronische Archive müssen in der Zeit bis zur Löschung für Unbefugte unzugänglich sein. Am besten tragen Sie Sorge, dass ein Administrator bis zur Vernichtung die eindeutige Verantwortung trägt. Sollten sich personenbezogene Daten in elektronischer Form noch auf aktiv genutzten Laufwerken befinden, ist zu prüfen, inwieweit hier eine zentrale Sperrung der betreffenden Laufwerke oder Laufwerksbereiche, beispielsweise durch eine Gruppenrichtlinie , erfolgen kann. Stellen Sie in jedem Fall sicher, dass auf elektronische Archive im Niemandsland keine unbefugten Zugriffe erfolgen .

Einsame Daten im Niemandsland

Daraus folgt, dass personenbezogene Daten im Niemandsland hoffentlich sehr einsam sind: keine Zugriffe, keine weitere Verarbeitung, kein Kopieren, keine Ausreden . Unternehmen sollten kontrollieren, ob die Bedingungen für Archive mit Akten und Papier oder für elektronische Archive tatsächlich eingehalten werden . Datenschutzbeauftragte sollten in jedem Fall eingebunden sein.

"Personenbezogene Daten im Niemandsland sind hoffentlich sehr einsam: keine Zugriffe, keine weitere Verarbeitung, kein Kopieren, keine Ausreden .

Tipps für zu löschende Daten im Niemandsland

1. Zeitpunkt für Datenlöschung festlegen

Legen Sie eindeutig fest, zu welchem Zeitpunkt Akten, Papier oder elektronische Unterlagen zu vernichten sind.

2. Löschung einleiten

Sorgen Sie dafür, dass die Vernichtung so schnell wie möglich erfolgt – im Idealfall direkt nach Auslaufen der Aufbewahrungsfrist.

3. Vor Zugriff schützen

Stellen Sie sicher, dass immer dann, wenn die Vernichtung nicht sofort erfolgen kann, geeignete technische und organisatorische Maßnahmen greifen, um die Unterlagen bzw. Daten vor unerlaubtem Zugriff zu schützen.

4. Sensibilisieren

Weisen Sie durch Schulungen oder andere geeignete Maßnahmen darauf hin, welche Zugriffe verboten sind.

5. Kontrollieren

Wenn Daten im Niemandsland liegen, führen Sie angemessene persönliche Kontrollen durch.

6. Dokumentieren

Nehmen Sie eine geeignete Dokumentation vor, die das gesamte Vorgehen bestätigt.

7. Löschregeln ergänzen

Prüfen Sie, ob der Fall „Daten im Niemandsland“ in die Richtlinie für Löschregeln aufzunehmen ist. Wenn ja, sorgen Sie dafür, dass die Richtlinie entsprechend ergänzt wird.

Das ist die Kernfrage: Haben Sie sichergestellt, dass Daten im Niemandsland bis zur endgültigen Vernichtung nicht mehr unbefugt verarbeitet werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Fernwartung in der Produktion und mögliche Datenpannen

Fri, 01 Mar 2024 08:15:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Was bei Produktionsmaschinen oft übersehen wird: In aller Regel stehen mit ihnen personenbezogene Daten in Verbindung. Wartung und Fernwartung von Maschinen und Anlagen betreffen also den Datenschutz. Darum sollten Datenschutzbeauftragte eingebunden werden und die Abläufe begleiten. Tipps für eine datenschutzgerechte Fernwartung in der Produktion.

Datenschutz im Produktionsbereich

Auch wenn Sie vielleicht nicht auf Anhieb wissen, was die Abkürzungen OT oder ICS , IoT oder IIoT bedeuten, sollten Datenschutzbeauftragte die dahinterstehenden Begriffe kennen. OT ist die Abkürzung für Operational Technology oder operative Technologie , sprich: Betriebstechnik . Damit sind Hardware und Software für industrielle Einrichtungen gemeint. Während die IT vorrangig zur Lösung geschäftlicher Anforderungen in der Bürowelt eingesetzt wird, dienen OT - Lösungen in technischem Kontext der Lösung von technischen Anforderungen wie Produktionstechnik . Nebenbei müssen diese deutlich robuster sein als die IT-Systeme der Büroanwendungen.

Daneben gibt es noch IoT (Internet of Things, Internet der Dinge) , was zunächst nichts mit der hier beschriebenen Abkürzung OT zu tun hat, und IIoT (Industrial Internet of Things, industrielles Internet der Dinge) .

ICS sind Industrial Control Systems, Systeme zur Fertigungs- und Prozessautomatisierung , kommen in beinahe allen Infrastrukturen zum Einsatz und sind häufig Ziel von Angriffen .

Dass das auch den Datenschutz interessieren muss, hat zwei Gründe. Erstens weisen Operational Technology und Industrial Control Systems in den meisten Fällen einen Personenbezug auf. Und zweitens macht ein gelungener Angriff auf diese Bereiche dort nicht Halt , sondern von dort aus erfolgen weitere Angriffe auch auf Office-Technik . In beiden Fällen sind personenbezogene oder auf Personen beziehbare Daten beteiligt. Bei Angriffen löst das häufig eine Datenschutzverletzung aus, die binnen 72 Stunden auf Meldepflicht geprüft werden und im zutreffenden Fall mit einer Meldung bei der Aufsichtsbehörde abgeschlossen werden muss.

Praxisbeispiel: Personendaten an Produktionsmaschinen

Ein Beispiel aus der Praxis. Kollege Abele arbeitet an der Maschine X. Er meldet sich bei Schichtbeginn mit seiner Kennung an der Maschine an. Die Maschine protokolliert je nach Anforderung oder entsprechender Einstellung Daten zu seiner Tätigkeit . Dazu gehören Daten wie Arbeitszeitbeginn und -ende, mögliche Störungen, Zahl der produzierten Teile, Fehlbedienungen, kontrolliertes und spontanes Abschalten usw. Die Maschine erstellt also ein Profil über Herrn Abele.

Angenommen, die Maschine wird bei einem Cyberangriff gehackt . Die Daten wurden kopiert und werden Teil der Forderung der Angreifer. Das ist ein unbefugter Zugang zu personenbezogenen Daten . Wenn die von der gehackten Maschine verarbeiteten Daten ein Risiko für die Rechte und Freiheiten von Herrn Abele bedeuten, löst der Vorfall eine Meldepflicht bei der Datenschutz-Aufsichtsbehörde aus.

Darum muss der Datenschutz in diese Abläufe eingebunden sein. Wenn der nichts von OT oder ICS und nichts von IoT oder IIoT weiß, können Verantwortliche nicht ihrer Meldepflicht nachkommen und Datenschutzbeauftragte nicht ihrer Überwachungsaufgabe . Die Rechte betroffener Personen werden verletzt , ohne dass Gegenmaßnahmen ergriffen werden.
Datenschutzbeauftragte sollten sich also der Fernwartung in der Produktion annehmen.

Fernwartung in der Produktion und die DSGVO

Datenschutzbeauftragte kennen die Anforderungen der DSGVO (Datenschutz-Grundverordnung) . Sie können mögliche Datenpannen im Zusammenhang mit Fernwartung in der Produktion beurteilen und Verantwortliche unterstützen: Es gilt, die Risiken zu definieren , deren Eintrittswahrscheinlichkeit und Schadenshöhe abzuschätzen und zu helfen, vorgeschlagene Maßnahmen im Hinblick auf Datenschutz zu bewerten . So fordert es Artikel 24 der DSGVO.

Abläufe sauber dokumentieren

Datenschutzbeauftragte erkennen, was es für Datenschutz und Informationssicherheit bedeuten kann, wenn Fernwartungszugänge vor Ort nicht bekannt oder unvollständig dokumentiert sind. In die Kategorie „unvollständige Dokumentation“ gehört auch, wenn nicht bekannt ist, welche personenbezogenen oder auf Personen beziehbare Daten mit den Maschinen verarbeitet werden und daher bei der Fernwartung grundsätzlich einsehbar sind. Damit kann der Vorgang im Verzeichnis der Verarbeitungstätigkeiten nur unzureichend dokumentiert werden. Im Fall einer Anfrage der Aufsichtsbehörde für den Datenschutz gibt das kein gutes Bild ab.

„Fehlen die Dokumentationen, welche personenbezogenen oder auf Personen beziehbaren Daten mit den Maschinen und Anlagen sowie den dafür notwendigen Netzen verarbeitet werden, ist der Datenschutz zwangsläufig unvollständig.“

IT-Grundschutz und die Fernwartung im industriellen Umfeld

Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt es im IT-Grundschutz einen eigenen Baustein für die Fernwartung im industriellen Umfeld , seine Abkürzung lautet IND.3.2. Dort sind allein zehn Gefährdungen für die Informationssicherheit aufgelistet. Allerdings: Es fehlen die Gefährdungen für den Datenschutz , denn für den ist BSI nicht zuständig. Team Datenschutz unterstützt Sie gerne, diese Gefährdungen zielführend anzugehen.

Mögliche Datenschutzverstöße bei Wartungszugriffen

Kommt es durch Fehler bei Wartungszugriffen zu Schutzverletzungen beim Datenschutz , müssen Sie die üblichen Meldewege einhalten. Und worüber sich Verantwortliche für die Produktions-IT, also für Operational Technology und Industrial Control Systems sowie Internet of Things und Industrial Internet of Things nicht immer im Klaren sind: Fehlen die Dokumentationen , welche personenbezogenen oder auf Personen beziehbaren Daten mit den Maschinen und Anlagen sowie den dafür notwendigen Netzen verarbeitet werden, ist der Datenschutz zwangsläufig unvollständig . Damit wird er zur offenen Flanke und möglicher Gegenstand von Anfragen und Überprüfungen durch die Aufsichtsbehörde.

Natürlich müssen Betriebe und Unternehmen die Daten der Beschäftigten gesetzeskonform verarbeiten . Das zu überwachen, ist unter anderem die gesetzliche Aufgabe des Betriebsrats . Erfahrungsgemäß sind aber die wenigsten Betriebsräte in die Abläufe bei Wartung und Fernwartung von Anlagen und Maschinen in der Fertigung eingebunden.

Unternehmen sollten die Datenschutzanforderungen bei Wartung und Fernwartung von Anlagen und Maschinen kennen und Datenschutzbeauftragte einbinden . Dann lassen sich die damit verbundenen Arbeiten datenschutzkonform umsetzen .

Tipps für eine datenschutzgerechte Fernwartung

Datenpannen in der Fertigung vermeiden. Sieben Tipps.

Tipp Nr. 1

Stellen Sie sicher, dass alle Fernwartungszugriffe auf Maschinen und Netze der Produktion bekannt sind.

Tipp Nr. 2

Stoßen Sie an, dass bei allen Fernwartungszugriffen in der Fertigung Verantwortliche benannt sind.

Tipp Nr. 3

Stellen Sie sicher, dass alle Wartungsprozesse in der Produktion grundlegend und nachvollziehbar festgelegt sind.

Tipp Nr. 4

Halten Sie fest, welche Personendaten Maschinen über jene verarbeiten, die sie bedienen.

Tipp Nr. 5

Prüfen Sie, ob für die Wartung und Fernwartung industrieller Anlagen und Maschinen die jeweilige Verarbeitungstätigkeit im Verzeichnis der Verarbeitungstätigkeiten erfasst ist.

Tipp Nr. 6

Stellen Sie sicher, dass für alle Wartungs- und Fernwartungsaufträge belastbare Vereinbarungen vorhanden sind und entsprechende Verträge entweder über Auftragsverarbeitung (das dürfte die Regel sein) oder Vertraulichkeitsvereinbarung (NDA) vorliegen.

Tipp Nr. 7

Stimmen Sie sich mit dem Betriebsrat ab, um gemeinsam oder in Absprache mit ihm weitere Schritte zu prüfen .

Und die Kernfrage: Sind Datenschutzbeauftragte in die Wartung und Fernwartung von Fertigungsmaschinen eingebunden und können sicherstellen, dass datenschutzrechtliche Anforderungen eingehalten werden?

Sie wünschen sich Unterstützung?

Die Experten von Team Datenschutz sind für Sie da.

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der VVT-Check

Passgenaue Analyse. Klare Empfehlungen.

Endlich Sicherheit beim Verzeichnis der Verarbeitungstätigkeiten.

Jetzt unverbindlich kennenlernen.

Personenbezogene Daten am Fließband? Produktionsanlagen und Datenschutz

Fri, 23 Feb 2024 11:31:56 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Ein Bereich, wo die Verarbeitung personenbezogener Daten oft übersehen wird: Industrieanlagen. Dabei fallen auch dort so gut wie immer Personendaten an – mit bedenkenswerten Folgen. Was droht aus Sicht des Datenschutzes und wie können Sie gegensteuern? Hintergründe und 10 praktische Handlungstipps.

Produktionsanlagen und Datenschutz

Datenschutzbeauftragte begreifen sich selten als zuständig für Produktionsanlagen und deren Wartung . Was soll es dort schon an personenbezogenen Daten geben? Betriebstechnik ist Betriebstechnik und da gibt es doch keine Personendaten!

Wer arbeitet heute an Anlage XY?

Dieser Schluss ist leider etwas vorschnell. Denn es gibt mittlerweile so gut wie keine informationstechnischen Systeme mehr, in denen nicht in irgendeiner Weise personenbeziehbare Daten vorhanden sind. Das gilt auch für die Produktion. Jemand bedient die Anlage . Und dieser Jemand muss sich an der Anlage anmelden. Und abmelden.

Profile und Leistungsmessung

Darüber hinaus wird protokolliert, was während der Arbeitszeit passiert. Und schon haben wir ein Protokoll , das sich auf eine Person und deren Arbeit bezieht. Werden mit dieser Person bestimmte Vorkommnisse in Verbindung gebracht (während der Schicht von Anton Abele sind fünf Fehler passiert!) haben wir ein Profil. Denn wenn bei Bertram Bebele nur zwei Fehler passiert sind, dann muss Bertram Bebele der Bessere sein, oder? Und plötzlich haben wir nicht nur ein Profil, sondern eine mögliche Kontrolle von Verhalten und Leistung .

Wer hat Zugriff?

In den wenigsten Fällen wird auf diese Protokolle zugegriffen werden. Das hat aber nichts damit zu tun, dass die dazugehörigen Daten nun mal verarbeitet werden und auf Personen beziehbar sind. Da Profilen laut Datenschutz-Grundverordnung (DSGVO) besondere Beachtung zukommt, sind wir mittendrin in den Tiefen des Datenschutzes .

„Datenschutzbeauftragte überwachen, ob der Verantwortliche Datenschutzvorgaben angemessen umsetzt.“

Datenschutzrisiken an Produktionsanlagen

Informationspflicht erfüllt?

Laut Artikel 13 der DSGVO müssen Beschäftigte bei der Erhebung ihrer personenbezogenen Daten über diese Verarbeitung informiert werden . Unternehmen sollten prüfen, ob das für ihre Produktionsanlagen umgesetzt wurde. Konkret: Ist die Datenverarbeitung in der Produktion angemessen in der Datenschutzinformation berücksichtigt ? Wenn nicht, liegt möglicherweise ein Datenschutzverstoß vor.

Datenschutz-Meldepflicht geprüft?

Bei einem Datenschutz-Verstoß kann die Meldepflicht an die Datenschutz-Aufsichtsbehörde greifen. Das gilt zumindest, wenn die Daten möglicherweise ein Risiko für die Rechte und Freiheiten Betroffener bedeuten können. Das kann unter Umständen schon dann der Fall sein, wenn Fehler an der Maschine den dort arbeitenden Personen zugeordnet werden und damit ein Leistungsvergleich möglich wird. Gibt es im Unternehmen einen Betriebsrat , ist er einzubinden.

Betroffenenanfragen beantworten

Laut Art. 15 müssen Verantwortliche Betroffenenanfragen vollständig beantworten . Habe Sie sichergestellt, dass im Fall der Anfrage eines Mitarbeiters in der Produktion auch an die Daten in den Produktionsmaschinen gedacht wird? Bleiben Personendaten unberücksichtigt, können Betroffene möglicherweise Schadenersatz geltend machen.

Wann werden Daten gelöscht?

Sorgen Sie dafür, dass Daten der Anlagen gelöscht werden – wenn sie nicht mehr gebraucht werden oder wenn ihre gesetzliche Aufbewahrungsfrist abgelaufen ist. Gebraucht werden sie möglicherweise sehr lange. Ein Beispiel: Ein Auftraggeber komplexer Industriegüter verlangt aus Beweisgründen, dass Details zur Produktion für eine bestimmte Zeit gespeichert werden, um Anforderungen des Qualitätsmanagements zu erfüllen oder in Garantiefällen als Beweis zu dienen. In anderen Fällen muss geprüft werden, wie lange die Daten objektiv erforderlich sind.

In der Praxis sind in einzelnen Fällen sicher weitere Risiken vorhanden. Diese gilt es anhand der konkreten Umstände zu ermitteln und zu dokumentieren.

Viel zu tun für den Datenschutz

Überwachung durch Datenschutzbeauftragte

Datenschutzbeauftragte überwachen , ob der Verantwortliche Datenschutzvorgaben angemessen umsetzt. Hier einige Maßnahmen, die helfen können. Die Ergebnisse sollten Sie in den Datenschutz-Jahresbericht aufnehmen.

Verzeichnis der Verarbeitungstätigkeiten

Prüfen Sie, ob die Datenverarbeitung an den Produktionsmaschinen im Verarbeitungsverzeichnis erfasst ist. Wenn nein, sollten Sie dies schnell nachholen. Wenn ja: Wann wurde dies das letzte Mal geprüft und aktualisiert ?

Sind Wartungsverträge richtig abgefasst?

Produktionsanlagen werden regelmäßig gewartet. Da Anlagen komplex sind, geschieht dies häufig durch den Hersteller oder spezialisierte Dienstleister. Kann dabei ein Zugriff auf die Personendaten nicht ausgeschlossen werden, ist mindestens eine Vertraulichkeitsvereinbarung abzuschließen. Wird ein Wartungsdienst mit der Erstellung von Auswertungen beauftragt, schließen Sie einen Vertrag über Auftragsverarbeitung . Es hilft nichts, hier müssen sich Datenschutzbeauftragte, Produktionsleitung und technisch Verantwortliche eng miteinander abstimmen.

Werden die Daten richtig gelöscht?

Prüfen Sie, wie lange Daten objektiv gebraucht werden, wie sie zu löschen sind und wie sie bis zu ihrer Löschung sicher aufbewahrt werden. Denn: Wenn Daten lange aufzubewahren sind, dann gilt auch der Grundsatz der Verfügbarkeit laut DSGVO. Dann müssen die Daten unter Anwendung der geeigneten technischen und organisatorischen Maßnahmen so aufbewahrt werden, dass sie vorhanden und nutzbar sind.

Personenbezogene Daten aus Industrieanlagen schützen

Auch das muss geprüft werden: sind die Schutzmaßnahmen geeignet oder kann jeder die Anlagendaten auslesen? Oft wissen die an den Anlagen arbeitenden Personen, wo sie bestimmte Details nachsehen können. Sie können also grundsätzlich auch Daten von Kollegen einsehen. Haben Sie geeignete Schutzmaßnahmen gegen Datenpannen getroffen? Werden diese Maßnahmen regelmäßig geprüft?

Also, liebe Datenschutzbeauftragte: Sicherheitsschuhe anziehen, Ohrstöpsel (Gehörschutz) einstecken und ab in die Produktion!

10 Tipps, um personenbezogene Daten aus Produktionsanlagen sicher zu verarbeiten

Datenschutzverstöße an den Produktionsanlagen vermeiden? Hier einige Tipps und Maßnahmen.

Tipp Nr. 1

Prüfen Sie, mit welchen Produktionsanlagen oder Steuerungseinrichtungen personenbezogene oder auf Personen beziehbare Daten verarbeitet werden. Legen Sie ein „ Inventar “ an.

Tipp Nr. 2

Prüfen Sie, unter welchen näheren Umständen die Verarbeitung erfolgt.

Tipp Nr. 3

Prüfen Sie, wer die Verantwortlichen für diese Verarbeitungsprozesse sind und ob sie sich ihrer Verantwortung hinsichtlich des Datenschutzes bewusst sind

Tipp Nr. 4

Prüfen Sie, ob die Verarbeitungstätigkeit Bestandteil des Verzeichnisses der Verarbeitungstätigkeiten ist. Wenn nicht, nehmen Sie sie dort auf.

Tipp Nr. 5

Prüfen Sie, ob und wie Wartung durch Dritte erfolgt und wie die vertraglichen Regelungen lauten.

Tipp Nr. 6

Stellen Sie sicher, dass die personenbezogenen oder auf Personen beziehbaren Daten gelöscht werden, sobald sie für den Prozess nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungsfristen mehr greifen.

Tipp Nr. 7

Prüfen Sie, wie weit gegebenenfalls der Betriebsrat eingebunden ist und ob möglicherweise in einer Betriebsvereinbarung rechtlich verbindliche Regelungen getroffen wurden.

Tipp Nr. 8

Prüfen, ob die Vorkehrungen zum Schutz der Daten ausreichen oder wie gegebenenfalls nachgebessert werden kann.

Tipp Nr. 9

Ermitteln Sie, ob die Daten bei Betroffenenanfragen berücksichtigt werden.

Tipp Nr. 10

Stellen Sie sicher, dass Datenschutzbeauftragte von Anfang an in Prozesse der Datenverarbeitung in Produktionsanlagen eingebunden werden.

Und die Kernfrage: Ist sichergestellt, dass personenbezogene Daten in Industrieanlagen datenschutzkonform verarbeitet werden?

Wir wünschen viel Erfolg dabei, Datenpannen an Produktionsanlagen souverän zu vermeiden.

Sie wünschen sich Unterstützung?

Die Experten von Team Datenschutz sind für Sie da.

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der VVT-Check

Passgenaue Analyse. Klare Empfehlungen.

Endlich Sicherheit beim Verzeichnis der Verarbeitungstätigkeiten.

Jetzt unverbindlich kennenlernen.

E-Mails und die DSGVO. 5 Tipps gegen Datenpannen

Tue, 30 Jan 2024 10:47:16 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Wer eine E-Mail schreibt, kann aus Sicht der DSGVO Fehler machen. Ja, mit einer einzigen Mail kann sogar gleich eine ganze Reihe an Datenschutz-Verstößen passieren. Welche das sind, zeigt der aktuelle Datentipp – zusammen mit Hintergrundinfos und Tipps, um Datenpannen in geschäftlichen E-Mails zu verhindern.

Datenschutz bei geschäftlichen Mails

Beispiel: Wichtige Mails abarbeiten – teilweise

Da kommt eine ziemlich lange Mail herein. An der Betreffzeile sehen Sie, dass Sie die Nachricht schon erwartet haben. Super, denken Sie, darin gehts um etwas, dessen Stand Sie gerade dringend brauchen . Sie öffnen die Mail, legen los und erledigen die Sache. Damit ist die Mail abgearbeitet . Noch schnell ablegen, so, was steht als Nächstes an?

Drei Tage später. Der Absender der erhaltenen Mail fragt genervt, wann er denn mit der Antwort auf seine Mail rechnen kann. Sie wundern sich. Welche Mail? Welche Antwort? Ist doch längst beantwortet, oder? Sie sehen nach. Hoppla, in der Mail standen weiter unten noch zwei wichtige Fragen zu anderen Themen . So weit hatten Sie gar nicht gelesen. Und im Betreff stand davon auch nichts.

Eine Mail, eine Betreffzeile, fünf wichtige Themen und zehn Empfänger

Hand aufs Herz – wie oft haben Sie schon eine Mail mit einem dringend erwarteten Thema erhalten und weitere wichtige Themen darin übersehen? Eigentlich sollte man pro zu erledigender Aufgabe eine Mail erhalten, für die nächste Aufgabe eine andere Mail und so weiter. Wer die Mail einem Thema zuordnet und im entsprechenden Ordner ablegt, findet die anderen Themen sonst nicht wieder. Und wer eine Mail mit verschiedenen Themen mehrfach ablegt, verletzt damit unter Umständen den Datenschutz oder die Vertraulichkeit , wenn plötzlich Unbefugte Zugriff auf geschützte Inhalte erhalten.

Tücken beim E-Mail-Schreiben

Und umgekehrt: Wie oft ist es Ihnen so gegangen, dass Sie gerade eine wichtige Mail an jemanden geschrieben haben mit dem neuesten Stand eines Projekts und, ach ja, dem Empfänger wollten Sie doch noch Infos zu einem anderen Thema geben und ihn sowieso noch etwas fragen? Wenn Sie grade eine Mail schreiben, dann nehmen Sie das schnell mit rein , jetzt denken Sie grade dran?

Wenn Themen in Mails durcheinandergehen , ist Chaos programmiert. Und die Datenschutzverletzung in Sachen Betroffenenrecht auf Löschung leider auch.

„Wer mit einem Geschäftsvorfall möglichst viele Datenpannen auslösen möchte, schreibe eine Mail mit mehreren Inhalten an mehrere Personen.“

Datenschutz-Risiken bei geschäftlichen E-Mails

Enthalten E-Mails personenbezogene Daten?

Haben Mails überhaupt mit Datenschutz zu tun? Klare Antwort: Ja. (Fast) alle Mails enthalten personenbezogene Daten . Und sehr viele Mails enthalten schützenswerte Infos . Ein verantwortungsbewusster Umgang ist also unerlässlich. Und das heißt: Erst denken, dann klicken.

Grundregeln für E-Mails

Eigentlich sollte man Mails behandeln wie SMS oder Messenger-Nachrichten: Eine Mail, eine Info – und nur an die Empfänger, die sie brauchen. Eine Mail mit verschiedenen Infos zu kopieren, löst das Problem nicht. Nachrichten mit mehreren Informationen an mehrere Empfänger bergen immer die Gefahr, dass nicht alle für alle Themen befugt sind. Einer Verletzung von Informationssicherheit oder Datenschutz sind dann Tür und Tor geöffnet.

Wenn Mail-Inhalte untergehen

Ein weiteres Risiko: Informationen können verloren gehen, Fristen können verpasst werden. Wenn in einer Mail mehrere Inhalte stehen und manche davon sind zeitkritisch , wird schnell etwas übersehen, eine Info geht unter, eine Frist wird verpasst . Und das, obwohl der Versender glaubt, alles sei angekommen. Besonders ärgerlich ist das, wenn wichtige Fristen verstreichen .

Zeitspartipp beim E-Mail-Schreiben

Und noch ein Risiko: Die Speicherung einzelner Informationen gerät durcheinander, in der Folge lassen sich Themen nicht mehr oder nur unter erschwerten Bedingungen wiederfinden. Es soll ja Menschen geben, die nicht voll ausgelastet sind, sich manchmal sogar langweilen. Die suchen gerne mal nach mysteriösen Mailinhalten. Oder sind das nur Gerüchte? Tatsache ist, die meisten von uns sind froh, wenn sie mit ihrer knappen Zeit hinkommen (ist schließlich einer der Gründe, warum wir gerne mehrere Infos in eine Mail schreiben – um Zeit zu sparen). Aber wie war das mit dem schönen Spruch: „Wenn du es eilig hast, gehe langsam.“ Das kann man leicht abwandeln: „Wenn du Zeit sparen willst, schreibe pro Thema eine eigene Mail.“

Versehentlich Vertrauliches verraten

Und ein letztes großes Risiko: unerlaubte Weiterleitung vertraulicher Inhalte oder personenbezogener Daten an unbefugte Personen. Ja, man kann eine Mail mit mehreren Inhalten mehrfach speichern oder kopieren und mehrfach versenden . Aber gerade dann kann es bei Weiterleitung zu einer Data Breach kommen, sprich einer Schutzverletzung, wenn nicht alle Inhalte für alle Empfänger gedacht waren.

Halten wir fest: Wenn eine Mail mehrere Inhalte enthält und mehrere Empfänger sie bekommen, entstehen Risiken für Datenschutz und Informationssicherheit. Wenn nicht geklärt ist, wo Mails gespeichert werden müssen, wann sie zu löschen sind und wer sie lesen darf , ist Chaos programmiert. Strukturiertes Prozessmanagement geht anders.

Was gehen Mails den Datenschutz an?

Im Geschäftsverkehr gibts es keine E-Mails ohne Personenbezug. Mindestens die Kommunikationspartner lassen sich identifizieren. Mails gehen den Datenschutz also immer etwas an. Das gilt umso mehr, wenn versehentlich oder aus Unachtsamkeit Fehler passieren und eine Datenpanne auslösen. Dann gelten die Pflichten das Datenschutzgesetzes wie Einhalten des Meldeweges , Prüfung der Meldepflicht sowie gegebenenfalls Meldung an die Aufsichtsbehörde .

E-Mails und die DSGVO

Was gibt es in Sachen Mails beim Datenschutz zu beachten? Einige Hinweise, was es zu bedenken gilt:

Liegt eine Mail im falschen Ordner , wie will man die Löschfrist für die anderen Themen einhalten?
Die DSGVO fordert Datenverfügbarkeit . Wie steht es damit, wenn Inhalte unauffindbar sind, weil eine Mail mit mehreren Themen nur in einem Ordner liegt?
Datenpanne? Eine Mail mit weiteren Inhalten, an die man gerade nicht denkt, die aber nicht für die empfangende Person bestimmt sind, bedeutet bereits eine Schutzverletzung im Zusammenhang mit personenbezogenen Daten.

Man kann es auch umgekehrt ausdrücken: Wer mit einem Vorgang möglichst viele Datenpannen auslösen möchte, schreibe eine Mail mit mehreren Inhalten an mehrere Personen.

Geschäftliche E-Mails und die Grundsätze der Datenverarbeitung

Die Datenschutz-Grundverordnung nennt in Artikel 5 die Grundsätze , die Sie bei der Verarbeitung personenbezogener Daten berücksichtigen müssen. Welche sind das und wie halten Sie sie beim Mailen ein?

Datenverarbeitung auf rechtmäßige Weise

Mailinhalte dürfen nur an Befugte gehen. Für andere Weiterleitungen gibt es keine Rechtsgrundlage.

Datenverarbeitung nach Treu und Glauben:

Personen dürfen davon ausgehen, dass sie betreffende Inhalte nicht bei Unbefugten landen.

Transparenz

Damit ist nicht gemeint, dass Sie Daten transparent mit anderen teilen sollen. Der Grundsatz bedeutet, betroffene Personen müssen erfahren, wo und wie Sie ihre Daten verarbeiten.

Datenverarbeitung gemäß Zweckbindung

Eine Mail dient manchem Zweck – aber nicht dem, möglichst viele vertrauliche Inhalte mit möglichst vielen Menschen zu teilen.

Datenminimierung

Ebenso werden Sie dem Grundsatz der Datenminimierung nicht gerecht, wenn Sie Inhalte maximal verteilen.

Richtigkeit

Wer Personendaten verarbeitet, hat ihre Richtigkeit sicherzustellen. Wen Inhalte nichts angehen, für den sind sie auch nicht richtig.

Speicherbegrenzung

Die DSGVO fordert, Daten zu löschen, wenn sie nicht mehr gebraucht werden oder die gesetzliche Aufbewahrungsfrist erfüllt ist. Je mehr Inhalte eine Mail hat, desto schwerer lässt sich das einhalten.

Integrität und Vertraulichkeit

Sehen Unbefugte Inhalte, die sie nichts angehen, ist die Vertraulichkeit verletzt.

Fällt Ihnen spontan ein, wo Sie mehr Datenschutzverstöße begehen können als bei einer Mail mit mehreren Inhalten an verschiedene Personen?

Tipps für E-Mails ohne Datenpannen

Zum Glück lassen sich Datenschutzverstöße beim Mailen vermeiden. Hier einige Tipps und Maßnahmen.

Tipp Nr. 1

Legen Sie fest, dass im Unternehmen je Inhalt eine Mail geschrieben wird.

Tipp Nr. 2

Stellen Sie sicher, dass jede Mail tatsächlich nur empfängt , wer für die Inhalte und personenbezogenen Daten befugt ist.

Tipp Nr. 3

Legen Sie fest, wann Mailinhalte zu löschen sind . Treffen Sie alle nötigen Vorbereitungen, damit Mails dann auch wirklich gelöscht werden .

Tipp Nr. 4

Stellen Sie sicher, das Thema regelmäßig in Datenschutz-Schulungen zu berücksichtigen.

Tipp Nr. 5

Sensibilisieren Sie die Mitarbeitenden, eine Mail vor dem Abschicken noch einmal durchzulesen und z u prüfen, dass wirklich nur ein Inhalt in der Mail enthalten ist oder nur solche Inhalte, die dieselbe Person und denselben Vorgang betreffen .

Und die Kernfrage : Ist sichergestellt, dass Versehen beim Mailverkehr nicht ein Maximum an Datenschutzverstößen nach sich zieht?

Wir wünschen viel Erfolg dabei, E-Mails sicher zu regeln.

Sie wünschen sich Unterstützung?

Die Experten von Team Datenschutz sind für Sie da.

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der VVT-Check

Passgenaue Analyse. Klare Empfehlungen.

Endlich Sicherheit beim Verzeichnis der Verarbeitungstätigkeiten.

Jetzt unverbindlich kennenlernen:

Daten im Niemandsland und Zweckänderung während der Löschfrist

Fri, 19 Jan 2024 10:28:41 GMT

Der kleine feine Datentipp

Lesezeit: ca. 9 Minuten

Personenbezogene Daten müssten gelöscht werden, als sich plötzlich ein neuer Verarbeitungszweck ergibt. Was ist zu tun? Der Datentipp verrät Hintergründe, Risiken und Rechtliches und gibt Tipps zur Zweckänderung.

Daten nach Ablauf der Aufbewahrungsfrist

Zu Beginn ein Fall aus der Praxis . Anfang Februar geht beim Datenschutzbeauftragten eine Nachricht der Aufsichtsbehörde ein. Es geht um Akten mit einem bestimmten Datensatz, dessen Aufbewahrungsfrist zum Jahreswechsel abgelaufen ist. Sollte die Löschung noch nicht vollzogen worden sein, möge der Verantwortliche die Akten bitte nicht vernichten . Der Aufsichtsbehörde liege ein richterlicher Beschluss vor, die Daten seien als Beweismittel in einem Strafprozess erforderlich.

Fakt war: Die Daten waren am Tag der Anfrage nicht gelöscht, die Vernichtung war binnen weniger Tage geplant. Nach eingehender Prüfung des Sachverhalts wurden die Daten gegen Quittung an die anfragende Aufsichtsbehörde übergeben . Daten aus dem Niemandsland waren einem anderen, übergeordneten Zweck zugewiesen worden.

Löschleitlinie und Löschregeln

Wer beim Löschen alles richtig machen möchte, hat eine (allgemeine) Löschleitlinie und Löschregeln (für die Fachbereiche) ausgearbeitet und diese zusammen mit den Fachbereichen mit Leben gefüllt. Für die Geschäftsprozesse hat er für die einzelnen Datenkategorien definiert, wie lange diese aufzubewahren sind, um die Geschäftsprozesse bestimmungsgemäß auszuführen. Gesetzliche Aufbewahrungsfristen sind festgeschrieben, deren Einhaltung wird überwacht. Für die Zeit nach Ablauf gesetzlicher Aufbewahrungsfristen sind Löschfristen definiert, also Zeiträume, die bis zur tatsächlichen Löschung vergehen dürfen. Und es ist klar, wie die Löschung zu dokumentieren ist und wie es begründet wird, sollten Daten zum vorgesehenen Zeitpunkt nicht gelöscht werden dürfen oder können.

Sozusagen im Niemandsland

Während der Löschfrist befinden sich Daten also "im Niemandsland". Eigentlich müssten sie gelöscht sein, aus technischen oder organisatorischen Gründen ist das aber noch nicht geschehen. Wenn zum Beispiel die Aufbewahrung von Akten zum 31. Dezember eines Jahres endet, ist davon auszugehen, dass deren Vernichtung nicht am nächsten Tag erfolgen wird, denn der 1. Januar ist bekanntermaßen ein Feiertag. Auch in den Folgetagen ist es eher unwahrscheinlich, dass die Daten fachgerecht vernichtet werden, denn um diese Jahreszeit möchten viele Verantwortliche Dokumente vernichten lassen , die Kapazitäten der Dienstleister sind jedoch begrenzt. Die Zeit bis zur tatsächlichen Vernichtung ist die Löschfrist. In dieser Zeit darf auf die Daten grundsätzlich nicht mehr zugegriffen werden. Doch was bedeutet „grundsätzlich“? Gibt es Ausnahmen?

Wenn neue Zwecke eintreten

Ergibt sich während der Löschfrist ein neuer, bis dahin unbekannter Zweck der Datenverarbeitung , gilt es, die Datenverarbeitung neu zu bewerten. Voraussetzung: Der neue Zweck ist gegenüber dem Betroffenenrecht auf Löschung übergeordnet. In der Praxis der Datenverarbeitung kommt das eher selten vor. Wenn aber ein neuer Zweck auftritt, müssen Sie schnell entscheiden. Sonst werden unter Umständen Fakten geschaffen, die nicht mehr rückgängig zu machen sind.

Was Sie bei Zweckänderungen beachten müssen

Eine mögliche Zweckänderung birgt mitunter einige Risiken. Mit ihr sind Pflichten verbunden, die zunächst widersprüchlich scheinen. Da gibt es die rechtliche Verpflichtung zur Datenlöschung nach Artikel 17 DSGVO . Die Rechte und Freiheiten betroffener Personen sind als europäisches Grundrecht auf Datenschutz (siehe Artikel 8 der europäischen Grundrechtecharta) sehr umfassend geschützt. Um zu rechtfertigen, dass eine Löschung trotz Wegfallen der Aufbewahrungsgründe nicht vorgenommen wurde, muss also ein anderes Grundrecht massiv gefährdet sein.

Im Praxisbeispiel ist hier allerdings eine neue Zweckbestimmung eingetreten: Die Daten dienen als Beweismittel in einem Strafprozess, der Zweck ist also die Sicherung der Rechtspflege . Der erlaubt es nach Abwägung der Umstände, das Aussetzen der Löschung zu rechtfertigen.

Risiken rund ums Löschen und Aufbewahren

Und wenn sich das Unternehmen im Praxisfall weigern würde, die Daten herauszugeben ? Dann würde es gegen die Strafprozessordnung verstoßen (die im Übrigen nicht der DSGVO unterliegt) – ein beträchtliches Risiko. Ebenso gewagt ist es, wenn im Unternehmen keinerlei strukturiertes Löschen vorgesehen ist, wenn es also weder eine Löschleitlinie noch Löschregeln gibt und Daten Jahre nach der Aufbewahrungsfrist noch vorhanden sind. Ebenfalls erheblich ist das Risiko, wenn die Daten nicht aufzufinden sind, da sie unstrukturiert aufbewahrt werden.

" Die Zeit bis zur tatsächlichen Vernichtung ist die Löschfrist. In dieser Zeit darf auf die Daten grundsätzlich nicht mehr zugegriffen werden."

Datenverfügbarkeit versus Recht auf Löschung

Bei den zahlreichen anzuwendenden Datenschutz-Vorschriften zu Aufbewahrung und Löschung personenbezogener Daten gibt es zwei Vorgaben, die sich scheinbar widersprechen. Da gibt es zum einen die Datenverfügbarkeit als wichtiges Ziel technischer und organisatorischer Maßnahmen: Daten müssen, solange sie verarbeitet werden dürfen, auch vorhanden sein. Und da gibt es zum anderen die Löschpflicht , wenn der Zeitraum geforderter Verfügbarkeit abgelaufen ist.

Mögliche neue Zwecke der Verarbeitung beachten

Wenn Daten verarbeitet werden dürfen, ergibt sich mitunter ein neuer Zweck. Man denke an Montageprotokolle. Die wären eigentlich nicht lange aufzubewahren, können aber nach vielen Jahren plötzlich wichtig werden – etwa, da ein lange verdeckter Mangel auftritt, zu dessen Aufklärung sie einen wichtigen Beitrag leisten können.

Datenschutz und die Pflicht zur Risikobewertung

Dazu kommt ein weiterer wichtiger Aspekt. Datenschutz ist gemäß Artikel 24 DSGVO als Managementsystem aufzubauen. Damit ist eine Risikoermittlung und -beurteilung vorzunehmen, denn es kommt konkret darauf an, wie groß das Risiko ist, dass ein bestimmter Datensatz für einen anderen als die bisherigen Zwecke benötigt wird. Dass durch einen richterlichen Beschluss ein bestimmter Datensatz auch nach Ende der Aufbewahrungsfrist gebraucht wird wie im hier beschriebenen Fall, hat eine eher geringe Eintrittswahrscheinlichkeit . Die neue Zweckbestimmung ist also eher nicht zu erwarten. Wenn eine neue Zweckbestimmung wegen sehr geringer Eintrittswahrscheinlichkeit nicht zu erwarten ist, liegt kein Grund vor, Daten länger als üblich aufzubewahren. Anders verhält es sich womöglich beim Beispiel mit den verdeckten Mängeln. Haben sich etwa entsprechende Protokolle mehrmals als hilfreich erwiesen , kann es geboten sein, sie länger als bisher aufzubewahren .

Tipps rund um Löschregeln und Löschleitlinien

Tipp Nr. 1

Stellen Sie sicher, dass eine Löschleitlinie vorhanden ist.

Tipp Nr. 2

Gewährleisten Sie, dass die Löschleitlinie aktuell und vollständig ist. Ansonsten ergänzen Sie sie.

Tipp Nr. 3

Legen Sie Löschregeln fest.

Tipp Nr. 4

Sorgen Sie dafür, dass die Löschregeln aktuell und vollständig sind. Wenn nicht, ergänzen Sie sie.

Tipp Nr. 5

Stellen Sie sicher, dass eintretende , bisher nicht betrachtete Risiken dazu führen, Daten aus dem Niemandsland möglicherweise länger aufzubewahren als bisher.

Allerdings: Eine solche längere Aufbewahrung personenbezogener Daten birgt immer die Gefahr , dass es zu einem Datenschutzverstoß kommt. Wägen Sie die Begründung für die längere Aufbewahrung darum sehr sorgfältig ab.

Tipp Nr. 6

Stellen Sie sicher, dass mit Daten im Niemandsland keine anderen, unbedeutenderen Zweckbestimmungen vorgenommen werden. Das beschriebene Vorgehen ist kein Freibrief für eine beliebige Verlängerung der Aufbewahrungszeiten .

Und die Kernfrage: Ist gewährleistet, dass personenbezogene Daten nicht länger als unbedingt nötig im „Niemandsland“ liegen, bei Eintritt eines übergeordneten Zweckes aber auch unter dem neuen Zweck verarbeitet werden können?

Wir wünschen viel Erfolg beim Managen von Zweckänderungen!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der Datenschutz-Adventskalender 2023

Wed, 29 Nov 2023 14:15:06 GMT

DATSIPrUse ist wieder da!

24 neue Datenschutz-Abenteuer zum Entdecken

Die Adventszeit steht vor der Tür, es duftet nach Plätzchen und Glühwein und wir freuen uns auf besinnliche Feiertage im Kreis unserer Lieben.

Nach dem tollen Feedback im letzten Jahr haben wir auch diesmal wieder ein vorweihnachtliches Geschenk für alle, die sich die Zeit bis zum Fest gerne mit unterhaltsamen Geschichten versüßen:

den Datenschutz-Adventskalender mit brandneuen Abenteuern des kleinen DATSIPrUse!

DATSIPrUse und der Datenschutz

DATSIPrUse stammt vom fernen Planeten DATSIS, wo er für mehr Datenschutz und Cybersicherheit sorgen möchte. Neugierig ist DATSIPrUse auf die Erde gekommen, um zu erfahren, wie wir das hier so machen.
Datenschützer Eberhard teilt bereitwillig sein Know-how mit ihm und erzählt ihm lustige Geschichten aus dem Alltag.

Jeden Tag wartet ein neues Türchen

Hinter jedem Türchen unseres Adventskalenders wartet ein neues Video und damit ein neues Abenteuer!
Die Clips sind ebenso vergnüglich wie lehrreich. Die ideale Möglichkeit, sich in der Adventszeit zu entspannen und gleichzeitig etwas über Datenschutz zu lernen!

Freuen Sie sich jeden Tag auf eine neue Episode, die Ihnen die Welt des Datenschutzes auf charmante Weise näherbringt.

Hier geht’s zum Datenschutz-Adventskalender:
www.team-datenschutz.de/advent

Kein Türchen verpassen!

Sie möchten kein Abenteuer verpassen? Dann tragen Sie sich hier für den Newsletter ein und wir senden Ihnen täglich das neueste Türchen in Ihr Postfach!

Unser Tipp

Wenn Ihnen die Abenteuer von Eberhard und DATSIPrUse gefallen, dürfen Sie sie gerne herunterladen und verwenden — zum Beispiel in Datenschutz-Schulungen. DATSIPrUse hat ausdrücklich eingewilligt!

Wir wünschen eine besinnliche Adventszeit und viel Freude beim Entdecken der neuen Abenteuer von Eberhard und DATSIPrUse!

Speicherprogrammierbare Steuerung (SPS), Sicherheit und Datenschutz

Thu, 23 Nov 2023 11:03:23 GMT

Der kleine feine Datentipp

Lesezeit: ca. 9 Minuten

In der Welt der industriellen Automatisierung kommt ihnen eine wichtige Rolle zu: Speicherprogrammierbaren Steuerungen oder kurz SPS-Steuerungen. Sie sind das Herzstück von Fertigungsanlagen und Produktionsprozessen und gewährleisten einen reibungslosen Ablauf. Doch wo Technologie im Einsatz ist, gibt es Risiken. Wir zeigen die größten Herausforderungen im Umgang mit SPS-Steuerungen aus Sicht der Sicherheit und des Datenschutzes - und geben viele anschauliche Beispiele und Tipps, wie Sie SPS-Steuerung sicher handhaben.

Neulich bei einer Begehung der Unternehmensräumlichkeiten . Die Begutachter wollten sich unter anderem ein Bild machen, welche Technikräume und Steuerungsanlagen vorhanden sind, wie diese geschützt sind und wie sie genutzt werden. Es handelte sich, um es vorsichtig auszudrücken, um eine robuste Produktionssteuerung mit der Maßgabe „ Hauptsache, es funktioniert!"

Berühren verboten

Entsprechend sah die Lagerung der Kästen aus, in denen unter anderem Systeme zur speicherprogrammierbaren Steuerung (SPS) frei zugänglich waren – auch für Unbefugte. Die Anlage weckte den Eindruck, dass hoffentlich keiner die hier herumhängenden Kabel berührt – oder es besteht Gefahr, dass die Produktion gestört wird oder sogar ausfällt . Warum ist das heikel?

Was ist SPS-Steuerung?

Klären wir zunächst, was eine SPS-Steuerung genau ist. Speicherprogrammierbare Steuerung ist ein Computersystem , das in industriellen Anwendungen zum Einsatz kommt, um Maschinen und Produktionsprozesse zu automatisieren und zu steuern . Vereinfacht ausgedrückt handelt es sich um einen intelligenten Schaltkasten, der verschiedene elektrische und mechanische Geräte miteinander verknüpfen kann.

Wie funktioniert eine SPS-Steuerung?

Wie SPS-Steuerung funktioniert, verdeutlicht ein einfaches Beispiel. Stellen Sie sich eine Fertigungsstraße in einer Fabrik vor , auf der Teile montiert werden. Hier sind die grundlegenden Schritte:

1) Erfassung von Informationen

Sensoren erfassen Informationen , z. B. die Position eines Teils auf dem Förderband oder die Temperatur eines Ofens.

2) Entscheidungen treffen

Die SPS-Steuerung erhält diese Infos und trifft Entscheidungen auf der Grundlage von bestimmten Regeln und Programmcode . Zum Beispiel könnte sie entscheiden, die Temperatur des Ofens zu erhöhen, wenn sie zu niedrig ist.

3) Aktuierung von Aktoren

Die Aktuierung ist ein entscheidender Schritt in der Automatisierung und Steuerung von industriellen Prozessen und Anlagen. Sie ermöglicht, die gewünschten Aktionen in vorgegebener Weise auszuführen , um den Produktionsprozess oder die Maschine zu steuern. Die SPS-Steuerung sendet dazu Signale an Aktoren wie Motoren, Ventile oder Pumpen . In unserem Beispiel könnte dies bedeuten, dass der Ofen höher erhitzt wird oder das Förderband gestoppt wird.

4) kontinuierliche Überwachung

Die SPS-Steuerung überwacht kontinuierlich die Sensoren , um sicherzustellen, dass die gewünschten Zustände erreicht werden. Sie passt die Steuerung entsprechend an .

5) umfassende Datenverarbeitung

Die gesamte SPS-Steuerung erfordert umfassende Datenverarbeitung. Viele Daten sind technischer Natur , es sind aber auch personenbezogene Daten betroffen.

Dieses grundlegende Beispiel veranschaulicht, wie Speicherprogrammierbare Steuerung arbeitet. SPS-Steuerungen können allerdings wesentlich komplexer sein und kommen in komplizierten Produktionsprozessen zum Einsatz, etwa in der Automobilindustrie, der Lebensmittelverarbeitung und anderen Branchen.

Praxisbeispiel: Die größten Risiken bei SPS-Steuerungen

Unberechtigter Zugriff

Was passiert, wenn Unbefugte oder Angreifer Zugriff auf die SPS-Steuerung erhalten? Wem das gelingt, der kann die Steuerung manipulieren, den Produktionsprozess stören und erheblichen Schaden anrichten.

Beispiel: Ein Angreifer erlangt physischen Zugriff auf die SPS-Steuerung und ändert die Programmierung so, dass die Montagebänder beschleunigen. Für die Arbeitenden wird es gefährlich.

Physische Sicherheit

Wenn die physische Sicherheit der SPS-Steuerung vernachlässigt ist, können Personen mit böswilliger Absicht direkten Zugriff darauf nehmen.

Beispiel: Während der Kündigungsphase verursacht ein Mitarbeiter, der noch physischen Zugriff auf die SPS-Steuerung hat, absichtlich Schäden an der Hardware .

Cyberangriffe

Dass SPS-Systemen vernetzt und in Unternehmensnetzwerke integriert sind, erhöht das Risiko durch Cyberangriffe. Hacker könnten versuchen, Schwachstellen auszunutzen, um die SPS-Steuerung zu übernehmen oder zu manipulieren .

Beispiel: Ein Hacker dringt in das Unternehmensnetzwerk ein und verschafft sich Zugang zur SPS-Steuerung. Er ändert die Produktionsparameter, was zu Qualitätsproblemen oder Ausfällen führt.

Fehlkonfigurationen

Bei der Konfiguration und Programmierung der SPS-Systeme sind Fehler unterlaufen. Das kann zu unerwarteten oder gefährlichen Betriebszuständen führen.

Beispiel: Ein Techniker konfiguriert versehentlich die SPS-Steuerung so, dass sie eine falsche Schaltfolge für die Montage verwendet. Es kommt zu fehlerhaften Produkten .

Mangelnde Aktualisierung und ungenügendes Patchen

Veraltete Software oder Firmware in SPS-Steuerungen kann Sicherheitslücken aufweisen, die von Angreifern ausgenutzt werden können.

Beispiel: Die SPS-Steuerung verwendet veraltete Software, für die bereits bekannte Sicherheitslücken existieren. Ein Angreifer nutzt diese Lücken aus , um die Kontrolle zu übernehmen.

Risiken der SPS-Steuerung senken

Um diese Risiken zu minimieren, braucht es angemessene Sicherheitsmaßnahmen. Das können beispielsweise sein:

• die Segmentierung von Netzwerken
• die Implementierung von Zugangskontrollen
• die regelmäßige Aktualisierung von Software und Firmware
• Schulungsmaßnahmen für Beschäftigte
• die physische Sicherung der SPS-Steuerung

Es gilt, regelmäßig Sicherheitsbewertungen durchzuführen und Sicherheitsrichtlinien zu definieren, zu überprüfen, anzupassen und zu befolgen, um die Vertraulichkeit, Integrität und Sicherheit der industriellen Steuerungssysteme zu gewährleisten.

"Im Zuge von SPS-Steuerungen werden also durchaus Personendaten verarbeitet, für die der Datenschutz relevant ist. Das gilt vor allem, wenn sie mit individuellen Mitarbeitern in Verbindung gebracht werden oder werden können."

Speicherprogrammierbare Steuerung und Datenschutz

Betriebsdatenerfassung (BDE)

In der industriellen Automatisierung ist es durchaus üblich, dass Daten zur Betriebsdatenerfassung (BDE) über SPS-Steuerungen laufen und in diesen gespeichert werden. Schließlich spielen SPS-Steuerungen oft eine zentrale Rolle bei der Erfassung und Verarbeitung von Betriebsdaten . Dabei handelt es sich in der Regel um betriebsbezogene Daten, die nicht personenbezogen sein müssen. Dennoch überwiegen die Fälle , in denen BDE-Daten verarbeitet werden, die personenbezogene Informationen enthalten .

Im Folgenden einige Beispiele für personenbezogene BDE-Daten.

Mitarbeiteridentifikationsnummern

Wenn Mitarbeiteridentifikationsnummern oder Namen in den BDE-Daten erfasst werden, könnten diese Daten als personenbezogen gelten. Diese Infos können relevant sein, um etwa die Leistung einzelner Mitarbeiter zu bewerten .

Arbeitszeiterfassung

Die Erfassung von Arbeitszeiten und -aktivitäten kann verwendet werden, um die Anwesenheit und die Arbeitsleistung der Mitarbeiter zu überwachen .

Qualitätskontrolle

Wenn die BDE-Daten Qualitätsprüfungen oder -bewertungen enthalten, können diese Informationen verwendet werden, um die Qualität der Arbeit eines Mitarbeiters zu bewerten.

Stillstandszeiten und Pausen

Die Erfassung von Stillstandszeiten und Pausen kann dazu verwendet werden, die Effizienz der Mitarbeitenden zu beurteilen .

Produktionsgeschwindigkeiten

Informationen zur Produktionsgeschwindigkeit können dazu verwendet werden, die Leistung der Mitarbeiter bei der Steuerung von Maschinen und Anlagen zu bewerten.

I m Zuge von SPS-Steuerungen werden also durchaus Personendaten verarbeitet , für die der Datenschutz relevant ist. Das gilt vor allem, wenn sie mit individuellen Mitarbeitern in Verbindung gebracht werden oder werden können. Ob dies die Regel oder die Ausnahme ist, hängt von den spezifischen Anforderungen der jeweiligen Produktionsanlage und Anwendung ab. In Deutschland ist in der Regel der Betriebsrat zu beteiligen .

Beispiel Fertigung & Montage

Die Datenschutz-Grundverordnung (DSGVO) hat verschiedene Anforderungen an Datenverarbeitung, die jeder einhalten muss, der personenbezogene Daten verarbeitet. Wie kann Datenschutz im Zusammenhang mit SPS-Steuerungen gefährdet sein?

Um das anschaulich zu machen, betrachten wir das Beispiel einer Fertigungsstraße zur Automontage .

Datenschutzrisiko unberechtigter Zugriff auf personenbezogene Daten

Laut Datenschutzrecht gilt es, den unberechtigten Zugriff auf Personendaten zu verhindern . Werden personenbezogene oder auf Personen beziehbare Informationen in den Produktionsprozessen beabsichtigt oder unbeabsichtigt erfasst oder abgerufen, liegt ein Zugriff vor.

Betroffene personenbezogene Daten

Welche Personendaten können hier betroffen sein? An der Fertigungsstraße in unserem Beispiel werden Mitarbeiteridentifikationsnummern verarbeitet, Gesichtsbilder von Arbeitern, biometrische Daten und Informationen über Auftragnehmer und externe Dienstleister .

Datenschutz-Grundsatz Datenminimierung

Wenn nicht sichergestellt ist, dass nur die für den Produktionsprozess unbedingt erforderlichen personenbezogenen Daten erfasst und verwendet werden, führt das schnell zu Datenschutzverletzungen . Das gilt es aus Sicht des Datenschutzes zu prüfen – in der Regel liegt diese Aufgabe bei Datenschutzbeauftragten.

Werden zu viele oder unnötige personenbezogene Daten erfasst , verletzt das die Datenschutzprinzipien der Datentransparenz und Datenminimierung .

Datenschutzrisiko mangelnde Verschlüsselung und Datensicherheit

Sind personenbezogene Daten nicht angemessen verschlüsselt oder geschützt , sind sie während der Übertragung oder Speicherung gefährdet. Angemessene Schutzmaßnahmen (technisch und organisatorisch) sind dann obligatorisch und müssen von Datenschutzbeauftragten geprüft werden. Das betrifft alle personenbezogenen Daten , die im Produktionsprozess verwendet werden, einschließlich solcher, die in Geräten oder auf Servern gespeichert sind.

Datenschutzrisiko Verlust oder Veränderung von personenbezogenen Daten

Physische oder technische Probleme wie Hardwareausfälle oder Störungen im Produktionsprozess könnten dazu führen, dass personenbezogene Daten verloren gehen oder verändert werden.

Datenschutzrisiko mangelnde Transparenz und Datenaufbewahrung

Zu Datenschutzverstößen kommt es auch, wenn keine Richtlinien zur Datenaufbewahrung vorliegen und es an Transparenz fehlt, wie lange personenbezogene Daten im Produktionsprozess aufbewahrt werden.

Tipps & Maßnahmen, die SPS-Steuerung sicher zu gestalten

Tipp Nr. 1

Stellen Sie sicher, dass SPS-Steuerung überhaupt als relevant für Sicherheit und Datenschutz erkannt ist.

Tipp Nr. 2

Schaffen Sie eine Übersicht der eingesetzten Systeme für SPS-Steuerung .

Tipp Nr. 3

Erstellen Sie für SPS-Steuerung eine Sicherheitsrichtlinie , die regelmäßig auf Vollständigkeit und Aktualität geprüft wird und die bei Bedarf geändert oder ergänzt wird.

Tipp Nr. 4

Sorgen Sie dafür, dass SPS-Steuerung immer über aktuelle Firmware verfügt.

Tipp Nr. 5

Stellen Sie sicher, dass Geräte zur SPS-Steuerung physisch so geschützt sind, dass Unbefugte keinen Zugang und keinen Zugriff auf die Systeme erlangen können.

Tipp Nr. 6

Tragen Sie Sorge, dass Systeme zur SPS-Steuerung sicher gewartet werden.

Tipp Nr. 7

Prüfen Sie, ob für SPS-Steuerung die Grundsätze der Datenverarbeitung nach Artikel 5 DSGVO erfüllt sind, wenn dort personenbezogene oder auf Personen beziehbare Daten verarbeitet werden.

Tipp Nr. 8

Stellen Sie sicher, dass für SPS-Steuerung eine Datenschutz-Risikoanalyse erfolgt ist, die regelmäßig überprüft und bei Bedarf angepasst wird.

Tipp Nr. 9

Stellen Sie sicher, dass SPS-Steuerung in der Regelüberprüfung von Datenschutzbeauftragten auch angemessen geprüft wird.

Tipp Nr. 10

Setzen Sie für SPS-Steuerung eine angemessene Verschlüsselung ein.

Tipp Nr. 11

Stellen Sie sicher, dass für SPS-Steuerung Datenspeicherung nur datenschutzkonform vorgenommen wird.

Wir wünschen viel Erfolg, SPS-Steuerungen sicher und DSGVO-konform zu regeln!

Und die Kernfrage: Kann sichergestellt werden, dass Speicherprogrammierbare Steuerung (SPS) angemessen sicher und datenschutzkonform ausgeführt wird ?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Das war das Datenschutz-Update

Fri, 10 Nov 2023 16:09:43 GMT

Spannendes Event zu brandaktuellen Themen

Lesezeit: ca. 3 Minuten

Wieder einmal ein gelungenes Event: das Datenschutz-Update von Team Datenschutz. Das alljährliche Tagesseminar zum Jahresende bot wie immer einen umfassenden Überblick zu den aktuellsten Themen aus Datenschutz und Informationssicherheit und gab Ausblicke auf Themen und Herausforderungen, denen Unternehmen und Datenschützer·innen in der Zukunft entgegensehen. In bewährter Form fand das Event vor Ort im Akademiehotel Karlsruhe und virtuell statt. Mit rund 50 Teilnehmenden stieß das Datenschutz-Update auch diesmal wieder auf reges Interesse.

Aktuelles aus Datenschutz und Cybersicherheit

Speaker Eberhard Häcker führte gewohnt kurzweilig durch den Tag und gab Einblicke in die aktuellen Trends und Entwicklungen in Datenschutz und Cybersicherheit. Im gepäck hatte der langjährige Berater und Coach wie immer jede Menge Wissenswertes aus der Datenschutzpraxis mit vielen Tipps und humorvollen Anekdoten. Außerdem gab er einen Ausblick: Was wird 2024 voraussichtlich in Datenschutz und Cybersecurity auf uns zukommen?

Baustelle Verarbeitungsverzeichnis

Zwei der Schwerpunkt-Themen waren diesmal Verarbeitungstätigkeiten und Künstliche Intelligenz. In Sachen Verarbeitungsverzeichnis gab es in diesem Jahr nämlich einen echten Meilenstein: Als erste Aufsichtsbehörde in Deutschland hat sich nämlich die Landesbeauftragte in Niedersachsen in ihrem Datenschutz-Jahresbericht des Themas angenommen. Ein Grund mehr für Unternehmen, die Verarbeitungstätigkeiten gewissenhaft zu erstellen und auf dem aktuellen Stand zu halten. Dazu gabs eine Menge Tipps und Hinweise, die die Umsetzung erleichtern und dazu motivieren, das Thema zielsicher in Angriff zu nehmen.

Künstliche Intelligenz und der datenschutzrechtliche Umgang mit ChatGPT

KI wie ChatGPT dürfte mittlerweile in den allermeisten Unternehmen regelmäßig im Einsatz sein. Damit gehen verschiedene Risiken einher – etwa, wenn Mitarbeitende dem Chatbot personenbezogene Daten offenbaren. Ebenso kann es schnell zu Verstößen gegen Vertraulichkeit, Schweigepflichten oder Compliance kommen.

Als Maßnahmen, um diese Gefahren einzudämmen, empfahl Eberhard Häcker die Erstellung einer Richtlinie, welche den Umgang mit künstlicher Intelligenz wie ChatGPT regelt. Ebenso wertvoll sind Schulungen, um die Mitarbeitenden für die Gefahren zu sensibilisieren und den Einsatz effizienter zu gestalten. Sind sich alle darüber im Klaren, dass der Chatbot regelmäßig lügt, dass sich die Balken biegen? Außerdem können die richtigen Prompts, also die Anfragen an den Chatbot, bessere Ergebnisse liefern und Zeit sparen, erklärte Eberhard Häcker. Etwa mit „Nenn mir …“ statt mit Fragen wie „Kennst du …?“ Er ermutigte dazu, KI ziel- und verantwortungsbewusst einzusetzen und dafür die richtigen Rahmenbedingungen zu schaffen.

Trends und Ausblick auf 2024

Darüber hinaus behandelte er Themen wie elektronische Arbeitsunfähigkeitsbescheinigungen, die Datenschutz-Folgenabschätzung, die NIS-2-Richtlinie und weitere wichtige EU-weite Regulierungen wie den Digital Services Act und den Artificial Intelligence Act. Die vielfältigen Themengebiete und Facetten machten das Datenschutz-Update wieder zu einem informativen und praxisnahen Ereignis.

Danke an alle Teilnehmenden für den abwechslungsreichen Tag und ein weiteres spannendes Datenschutz-Update!

Seien Sie nächstes Jahr (wieder) mit dabei, dann wieder mit topaktuellen Themen, Trends und Schwerpunkten in Datenschutz und Cybersicherheit!

Hat Ihnen der Beitrag gefallen? Empfehlen Sie ihn weiter!

Ist die Schlüsselliste vollständig und aktuell?

Mon, 30 Oct 2023 07:00:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

In vielen Betrieben liegt das Schlüsselmanagement beim Facility Management. Dennoch haben Datenschutzbeauftragte hier eine Überwachungsaufgabe laut Datenschutz-Grundverordnung. Wie Sie in acht Schritten sicherstellen, dass es wegen Schlüsseln nicht zu Datenpannen kommt.

Schlüsselliste und Schlüsselmanagement

Wer hat die Schlüsselliste?

In vielen Betrieben ist das Facility Management (oder altmodisch: Hausmeisterin oder Hausmeister) für die Vergabe der Schlüssel zuständig. Je größer das Unternehmen, desto mehr Schlüssel fallen in diesen Verantwortungsbereich. Wer da den Überblick behalten möchte, braucht ein strukturiertes Vorgehen.

Wie viele Schlüssel vorhanden sein müssten

Die erste Frage könnte lauten: Wie viele unterschiedliche Schlösser gibt es überhaupt? Für jedes dieser Schlösser sind mutmaßlich mehrere Schlüssel vorhanden, klar. Viele Beschäftigte, sofern nicht gerade im Home-Office, müssen im Unternehmen in die Räume kommen können, wo sie tätig sind. Zumindest ein Teil der Räume ist in aller Regel mit einem elektronischen Schließsystem gesichert. Noch immer gibt es aber meistens Räume, die mit einem herkömmlichen Schlüssel auf- und zugeschlossen werden. Darum ist in der Regel eine bestimmte Anzahl von Schlüsseln in Umlauf. Aber sind die alle einsatzfähig ? Auch Schlüssel werden gelegentlich beschädigt oder sogar zerstört . Was passiert dann? Wird das gemeldet ? Wird es dokumentiert ?

"Je länger ein Schließsystem besteht, desto größer die Wahrscheinlichkeit, dass Schlüssel verlorengegangen oder Personen ausgeschieden sind, ohne ihren Schlüssel zurückzugeben. Umso wichtiger ist es, dass die Schlüsselliste, das Verzeichnis aller ausgegebenen Schlüssel, aktuell und vollständig ist."

Das betriebliche Schließsystem

Zu einem Schließsystem gehören mehrere Türen in einem Geschäftsbereich, die sich mit ein- und demselben Schlüssel auf- und zuschließen lassen. Das sind die sogenannten Gruppen- oder Hauptschlüssel . Daneben gibt es aber auch für jeden einzelnen Raum eigene Schlüssel, also Einzelschlüssel . Und dann gibt es noch die Generäle. Wer einen Generalschlüssel hat, trägt die volle Verantwortung, kann grundsätzlich jeden Raum öffnen und schließen. Normalerweise ist das neben der schon erwähnten Hausmeisterin die Geschäftsführung .

Strukturierte Vergabe der Schließberechtigungen

Wer Schlüssel ausgibt , tut das in der Regel in einem strukturierten Prozess. Vorgesetzte entscheiden, wer wo hineinkommen soll – für wen also für welche Räume ein Zutrittsrecht gilt. Diese Anforderung gleicht man mit dem Schließplan ab und entscheidet, welche Schlüssel an wen ausgegeben werden . Das beginnt oft genug mit der Tiefgarage , geht über Haupt- oder Nebeneingang , Gebäudeteile wie etwa die eigene Abteilung und schließlich das Büro , wo sich der Arbeitsplatz befindet. Dazu kommen Nebenräume wie Kopierer oder Toiletten . Und das alles sollte idealerweise mit einem einzigen Schlüssel erreichbar sein.

Verlustmeldung

Aber ob nun einer oder mehrere – was, wenn Schlüssel verlorengehen? Normalerweise sind Schlüsselinhaber verpflichtet, den Verlust eines Schlüssels unverzüglich zu melden . Schließlich muss der Betrieb schnell reagier en, damit nicht unbefugte Schlüsselfinder (oder Schlüsseldiebe) einfach in die Geschäftsräume einmarschieren . Je umfassender die Schließberechtigungen, desto größer der mögliche Schaden. Geht ein General verloren, müssen unter Umständen sehr viele Schlösser ausgetauscht werden.

Schlüsselliste vollständig und aktuell

Je länger ein Schließsystem besteht , desto größer die Wahrscheinlichkeit, dass Schlüssel verlorengegangen oder Personen ausgeschieden sind, ohne ihren Schlüssel zurückzugeben. Umso wichtiger, dass die Schlüsselliste , das Verzeichnis aller ausgegebenen Schlüssel, aktuell und vollständig ist. Ist das nicht der Fall, wächst die Unsicherheit. Je größer die Lücken sind, desto schwieriger wird die Aufklärung , wenn etwas schiefgeht.

Das sind also die wesentlichen Voraussetzungen für ein erfolgreiches Schlüsselmanagement : Der Überblick über alle Schlüssel ist vollständig und jederzeit auf dem neuesten Stand . Und es ist sichergestellt, dass tatsächlich alle Schlüssel noch da sind.

Risiken eines mangelhaften Schlüsselmanagements

Unbefugte in geschützten Räumen

Sind Schlüssel im Umlauf, die sich niemandem zuordnen lassen, steigt die Gefahr, dass sich jemand Zutritt zu Räumen verschafft, der dort nichts zu suchen hat. Das muss nicht immer einen kriminellen Hintergrund haben. Unachtsamkeit kann genauso zu Schäden führen wie der bewusste Versuch, Schaden anzurichten . Wenn Kollegen untereinander Schlüssel ausleihen und vergessen, sie zurückzufordern, kann etwa ein Archiv oder ein anderer wichtiger Raum plötzlich von Unbefugten betreten werden. Der Supergau, dass ein solcher Schlüssel dann auch noch verloren geht, kann den Austausch von Schlössern nötig machen.

Nichts Genaues weiß man nicht

Wenn man nicht mehr sauber zuordnen kann, wer welchen Raum betreten darf, lässt sich bei Schlüsselmissbrauch schwer ermitteln , wer den Missbrauch verursacht hat. Ein verloren gegangener oder gestohlener Schlüssel kann schließlich dazu führen, dass unbefugte Personen ohne Erlaubnis wichtige Räume betreten und unbefugten Zugriff auf personenbezogene Daten oder Geschäftsgeheimnisse erlangen.

Zahlt das die Versicherung?

Kommt es durch kriminelle Handlungen zu Schäden, wird normalerweise die entsprechende Versicherung in Anspruch genommen. Die will natürlich wissen, ob Fahrlässigkeit ausgeschlossen werden kann. Führt das Unternehmen keinen Nachweis über alle Schlüssel , mit denen der betreffende Raum oder Geschäftsbereich geöffnet werden konnte, kann das eine Obliegenheitsverletzung darstellen. Diese hätte wiederum zur Folge, dass der Versicherungsschutz möglicherweise nicht mehr greift .

Besser den Überblick behalten

Es gibt also wichtige Gründe , warum ein unvollständiger Überblick über Schlüssel zu Gefährdungen führt. Je unvollständiger die Schlüsselliste, desto größer das Risiko.

Die Schlüsselliste und der Datenschutz

Zutrittskontrolle

Räume, wo personenbezogene Daten verarbeitet werden , sind gemäß Datenschutz-Grundverordnung (DSGVO) angemessen vor unbefugten Zutritten zu schützen. Das geht natürlich nur, wenn die Schließberechtigungen eindeutig und strukturiert verwaltet werden. Sind Schlüssel verlorengegangen und nicht mehr auffindbar, kann davon keine Rede sein.

Vertrauen ist gut, Kontrolle ist ratsam

Es lohnt sich, ab und zu einmal beim Hausmeister, Facility Manager oder Caretaker vorbeizugehen und zu prüfen, ob die ausgegebenen Schlüssel zum einen ordentlich dokumentiert sind und es zum anderen Hinweise gibt, dass möglicherweise einzelne Schlüssel verloren gegangen sind – und wie im zweiten Fall damit umgegangen wurde.

Gesetzliche Pflicht

Wer ist hier zuständig? Klare Antwort: Datenschutzbeauftragte . Diese Aufgabe zählt zu ihren Überwachungsaufgaben , das macht die Datenschutz-Grundverordnung (DSGVO) in Artikel 39 deutlich. Leider wird sie in der Praxis zu selten wahrgenommen. Umso wichtiger, darauf hinzuweisen: Es gehört zu den Aufgaben des Datenschutzes , sicherzustellen, dass Schlüssel rechtmäßig vergeben werden – und eben auch wirklich vorhanden sind.

In acht Schritten zu einem guten Schlüsselmanagement

Tipp Nr. 1

Stellen Sie sicher, dass es eine vollständige Schlüsselliste mit allen ausgegebenen Schlüsseln gibt.

Tipp Nr. 2

Halten Sie die Schlüsselliste vollständig und aktuell.

Tipp Nr. 3

Prüfen Sie, bei welchen Schlüsseln eine Kontrolle sinnvoll ist, ob sie noch da sind. Dazu wird etwa der Schlüsselinhaber aufgefordert, den Schlüssel zu einem bestimmten Zeitpunkt an einer bestimmten Stelle vorzuzeigen. Jede erfolgte Vorlage wird dokumentiert.

Tipp Nr. 4

Machen Sie den richtigen Umgang mit Schlüsseln zum Gegenstand regelmäßiger Schulungen.

Tipp Nr. 5

Wer einen Schlüssel erhält, sollte verpflichtet werden, vorschriftsmäßig damit umzugehen und den Verlust eines Schlüssels sofort zu melden.

Tipp Nr. 6

Sollte auffallen, dass jemand beim Ausscheiden aus dem Betrieb Schlüssel mitgenommen hat, muss entweder das betroffene Schloss ausgetauscht werden oder Sie versuchen, den Schlüssel zurückzuerhalten.

Tipp Nr. 7

Datenschutzbeauftragte sollten regelmäßig die Dokumentation über ausgegebene Schlüssel überprüfen.

Tipp Nr. 8

Für Datenschutzbeauftragte empfiehlt sich, die Dokumentation des Schlüsselmanagements in den Datenschutz-Jahresbericht aufzunehmen.

Das ist die Kernfrage für gutes Schlüsselmanagement: Ist eine Schlüsselliste vorhanden und ist sie vollständig und aktuell?

Wir wünschen viel Erfolg beim strukturierten Schlüsselmanagement!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Tipps gegen Datenlecks beim Telefonieren

Tue, 24 Oct 2023 09:17:20 GMT

Der Beitrag erschien am 26. April 2022 und wurde zuletzt überarbeitet am 24. Oktober 2023.

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Wenn Telefonate Vertrauliches verraten

Erinnern Sie sich noch an Bodo Bach? Er war einer der Erfinder des „Telefonterrors“. Mit Vorliebe rief er Hotlines von Unternehmen an, um dort mehr oder weniger absurde Anfragen zu stellen. Als Kabarettist tat er das natürlich gerne vor Publikum. Er begann seine Telefonate häufig mit dem Satz „Ich hätt‘ da mal gern ein Problem“.

An diese Telefonate fühle ich mich erinnert, wenn Geschäftsleute lautstark in der Öffentlichkeit telefonieren . Ob im Zug, im Straßencafé oder im Hotel, die Szene ist immer dieselbe: Da telefoniert jemand, plaudert über geschäftliche Details , nennt seinen Namen und Namen von Geschäftspartnern, Ansprechpartnern usw. Selbst Anwälten habe ich schon auf diese Weise lauschen können, die sich mit Mandanten über Details zu einem aktuellen Rechtsfall austauschten.

Solche Telefonate tragen nicht selten kabarettistische Züge, vor allem für jene, die den Hintergrund des Telefonats nicht kennen. Da die Zuhörer allerhand Details erfahren , sind diese Vorkommnisse allerdings in Wahrheit gar nicht lustig, sondern ein Verstoß gegen Datenschutz und Informationssicherheit , das Fernmeldegeheimnis und möglicherweise gegen Compliance-Vorgaben . Und, und, und.
Ich hätt‘ mal gern ein Problem – wenn ein Zuhörer es ernst meint, gibt es ein Problem. Und womöglich nicht nur eins, sondern eine ganze Reihe.

Tücken beim Telefonieren in der Öffentlichkeit

Wir alle kennen es. Wir sind unterwegs und werden angerufen oder müssen, bevor der Flieger geht, der Zug fährt oder ein Termin beginnt, noch schnell einen Anruf machen , weil jemand dringend eine Info braucht. Oft bleibt uns nichts anderes übrig, als das Gespräch zu führen, wo wir gerade sind, also in der Wartehalle, im Terminal, im Zug.

So weit, so nachvollziehbar. Die Frage ist aber: Wenn man in der Öffentlichkeit telefoniert , tut man das vertraulich oder indiskret? Weiß der Gesprächspartner, dass andere mithören ? Ob Sie ein Telefonat so führen, dass dabei alle um Sie herum personenbezogene Inhalte erfahren, haben Sie selbst in der Hand.

Achten Sie mal darauf. Ist es nötig, Titel und Name des Anrufers auszusprechen, möglicherweise auch noch sein Unternehmen? Müssen Sie nennen, worum es geht ? Namen und Infos der Geschäftspartner, möglicherweise noch kritische Punkte eines geplanten oder laufenden Geschäfts ? Eigentlich alles Details, die keinen Außenstehenden etwas angehen, oder?

Und da wir gerade dabei sind: Wie läuft das im Homeoffice? Hören da Unbefugte mit? Wie ist es am Arbeitsplatz in der Firma, wenn Sie bei offener Bürotür telefonieren , während draußen jemand vorbeigeht? Was, wenn die Kolleginnen im selben Büro Telefonate mithören und dabei Vertrauliches erfahren?

"Da die Zuhörer allerhand Details erfahren, sind diese Vorkommnisse allerdings in Wahrheit gar nicht lustig, sondern ein Verstoß gegen Datenschutz und Informationssicherheit, das Fernmeldegeheimnis und möglicherweise gegen Compliance-Vorgaben."

Risiken beim Telefonieren

Liegt darin wirklich ein Risiko? Ja, das tut es. Wenn unbefugte Dritte Telefonate hören und sowohl geschäftskritische Informationen als auch personenbezogene Daten erfahren, liegt mindestens ein dreifaches Risiko vor.

Risiko Nr. 1: Verletzung des Datenschutzes

Personenbezogene Daten werden ohne Rechtsgrundlage an Unbefugte weitergegeben.

Risiko Nr. 2: Verletzung der Informationssicherheit

B etriebliche Interna werden öffentlich ausgeplaudert. Heißt: Geschäftsgeheimnisse werden bekannt.

Risiko Nr. 3: Verletzung des Fernmeldegeheimnisses

oder Verletzung des Schutzes der Vertraulichkeit des gesprochenen Wortes

Beides mögliche Straftaten, für die das Strafgesetzbuch teilweise hohe Strafen vorsieht.

Diese Risiken sollten Grund genug sein, Verstöße zu vermeiden. Dazu kommen weitere Risiken, beispielsweise mögliche Konventionalstrafen, wenn in einem Vertrag mit Auftraggebern entsprechende Regelungen mit Verschwiegenheitsverpflichtungen enthalten sind.

Halten wir fest: Sich mit der Vertraulichkeit beim öffentlichen Telefonieren zu befassen, lohnt auf alle Fälle.

Öffentliches Telefonieren und die DSGVO

Werden personenbezogene Daten verarbeitet, gelten zunächst einmal die Grundsätze des Datenschutzes. Artikel 5 der Datenschutzgrundverordnung (DSGVO) nennt dazu sechs Grundsätze , die erfüllt sein wollen. Dazu gehören die Vertraulichkeit und Integrität der verarbeiteten Daten.

In der DSGVO sind dazu Schutzmaßnahmen verpflichtend , die bei der Verarbeitung personenbezogener Daten einzuhalten sind. Dazu zählt das unbefugte Offenlegen dieser Daten. Wenn andere gar nicht anders können, als ein Telefonat mitsamt personenbezogenen Daten mit anzuhören, liegt eine solche Offenlegung vor.

Jemand unter den Zuhörenden – oder der Gesprächspartner – mag das als so unangemessen empfinden, dass er sich an die Aufsichtsbehörde für den Datenschutz wendet. Schließlich hat die telefonierende Person ihren Namen und ihre Firma lautstark genannt.

Wie oft das passiert? Schwer zu beantworten. Ob man es darauf ankommen lassen sollte? Da fällt die Antwort weniger schwer.

Vertraulich telefonieren in der Öffentlichkeit?

Klar: Im Grunde können Sie beim öffentlichen Telefonieren alles sagen – solange sich daraus keine Rückschlüsse auf Beteiligte ziehen lassen. Theoretisch können Sie eine komplette Vertragsverhandlung in der Öffentlichkeit führen, ohne preiszugeben, um wen es geht. In der Praxis sieht es anders aus. Denn: Nur ein Versehen, ein Versprecher, eine Unachtsamkeit reicht aus, um die Vertraulichkeit zum Einsturz zu bringen .

Darum gilt: Keine Telefonate mit vertraulichen Inhalten in der Öffentlichkeit!

7 Tipps, damit vertrauliche Telefonate vertraulich bleiben

Damit öffentliches Telefonieren nicht versehentlich zum Datenleck wird, stellen Sie am besten Regeln auf, an die sich alle im Betrieb halten. So könnten diese Regeln aussehen:

Tipp Nr. 1

Stellen Sie sicher, dass Sie bei vertraulichen Telefonaten keine unbefugten Zuhörer haben.

Tipp Nr. 2

Wer vertrauliche Telefonate in der Öffentlichkeit führt, muss sicherstellen, dass er keinerlei Personenbezug herstellt. Das gilt auch für die Nennung des Namens des Gesprächspartners. Weisen Sie ihn am besten höflich darauf hin, etwa so: „Seien Sie mir bitte nicht böse, wenn ich Ihren Namen nicht nenne. Ich telefoniere gerade in der Öffentlichkeit und möchte Ihnen nur in aller Kürze sagen ...“

Tipp Nr. 3

Noch besser ist es natürlich, das Telefonat zu verschieben , zum Beispiel mit den Worten: „Ich würde gerne mit Ihnen sprechen, aber da ich derzeit in der Öffentlichkeit bin und keinen ruhigen Platz finde, an dem niemand zuhört, würde ich unser Telefonat lieber verschieben.“

Tipp Nr. 4

Wer im Home-Office telefoniert, muss sicherstellen, dass niemand aus der Familie, der Nachbarschaft oder dem Freundeskreis mithört . Hier wählt man für das Telefonat entweder eine Zeit ohne Zuhörer oder bittet Anwesende, den Raum zu verlassen .

Tipp Nr. 5

Führen Sie im Unternehmen Telefonate , deren Inhalt auch vor Kolleginnen und Kollegen vertraulich bleiben muss, schließen Sie entweder die Bürotür oder suchen einen Raum auf , in dem Sie das Gespräch in der gebotenen Vertraulichkeit führen können. Ein Headset kann hilfreich sein, denn damit lässt sich leiser sprechen. Bedenken Sie aber, dass man in Gesprächen oft unwillkürlich lauter wird – und Kollegen mit feinem Gehör womöglich eben doch mithören.

Tipp Nr. 6

Beachten Sie diese Regeln nicht nur beim Telefonieren, sondern natürlich auch bei Videokonferenzen .

Tipp Nr. 7

„Ich hätt‘ mal gern ein Problem?“ Umgehen Sie Probleme lieber und unterlassen Sie das Nennen von Geschäftsgeheimnissen und personenbezogenen Daten bei Telefonaten , die unbefugte Personen mithören können.

Und die Kernfrage: Haben Sie sichergestellt, dass bei Telefonaten keine personenbezogenen Daten an Unbefugte gehen?

Ich wünsche viel Erfolg beim vertraulichen Telefonieren!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

3 Tipps für DSGVO-konforme Briefkästen

Thu, 19 Oct 2023 06:15:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Datenpannen am Unternehmensbriefkasten? Unsinn. Oder doch nicht? Am betrieblichen Briefkasten kann mehr schiefgehen, als viele ahnen. Wann ist ein Briefkasten DSGVO-konform? 3 einfache Tipps, wie Sie Datenschutzverstöße am Briefkasten vermeiden.

DSGVO-Verstoß am Briefkasten

Im vergangenen Jahr wurde ich Zeuge eines Vorfalls , der zu einer Meldepflicht bei der Datenschutz-Aufsichtsbehörde führte. Der Fall war beispielhaft – er hätte sich ebenso in einer Arztpraxis ereignen können wie in einer Anwaltskanzlei, einem Inkassounternehmen oder einem kleinen Handwerksbetrieb.

Was war passiert? Es ging um den Briefkasten des Unternehmens. Der war nicht allzu groß, und eines Tages kam mehr Post, als hineinpasste. Die Folge: Aus dem Briefkasten ragten einige DIN-A4-Umschläge. Einer war oben aufgerissen – das Schreiben darin war sichtbar. Und ausgerechnet in diesem Schreiben steckten sensible Informationen.

Briefe mit sensiblem Inhalt

Beispiele für sensible Informationen im betrieblichen Briefkasten ? Gibt es zuhauf. In einer Arztpraxis kann es sich um den Arztbrief eines Klinikums handeln oder um Laborbefunde einer Patientin . In einer Anwaltskanzlei könnten es kritische Dokumente zu einem Missbrauchsfall sein, in einem Handwerksbetrieb Informationen zu Zahlungsschwierigkeiten eines Kunden . Was immer es ist, es fehlt nur noch jemand – wohlmeinend oder neugierig, boshaft oder kriminell – der den beschädigten Umschlag hervorzieht und einen Blick auf den Inhalt wirft . Wenn das passiert, handelt es sich in aller Regel um eine meldepflichtige Schutzverletzung im Sinne der DSGVO .

Genau das war geschehen. In diesem Fall war es eine wohlmeinende Kollegin aus dem Nachbarunternehmen mit Büros ein paar Stockwerke höher. Sie sah den beschädigten Umschlag und nahm ihn mit , um ihn später unten abzugeben. Kann man ja nicht einfach offen liegen lassen. Nur: Sie dachte nicht gleich daran, der Brief lag vergessen. Als er ihr wieder einfiel, war nicht mehr feststellbar, wann sich der Vorfall ereignet hatte. So konnten die Betroffenen nicht informiert werden, dass das sensible Dokument mittlerweile von anderen hätte eingesehen oder kopiert werden können. In so einem Fall greift die Meldepflicht – das Unternehmen musste den Vorfall der Datenschutz-Aufsichtsbehörde melden.

Dabei wäre die Sache leicht vermeidbar gewesen. Immerhin gibt es Vorgaben für rechtlich einwandfreie Briefkästen . Es gibt sogar eine DIN-Norm dafür.

"Entspricht der Briefkasten nicht den Anforderungen, haftet das Unternehmen."

Eine DIN-Norm für den Briefkasten

In Deutschland galt früher die DIN 32617 für Briefkästen. Sie wurde von der DIN EN 13724 ersetzt, die in ganz Europa gilt . Und was besagt eine DIN-Norm für Briefkästen? Hier die wichtigsten Vorgaben:

• Die Norm bestim mt vier Arten von Einwurf-Öffnungen nach Außenbereich, Innenbereich, Durchwurf und Tür/Seitenwand .
• Sie weist zwei verschiedene Einwurfgrößen aus: bei Quereinwurf mindestens 32,5 und höchstens 40 cm, bei Längseinwurf mindestens 23 und höchstens 28 cm. Die Einwurfhöhe liegt zwischen 3 und 3,5 cm.
• Widerstandsfähigkeit gegen Korrosion nach DIN EN 1670 und gegen das Eindringen von Wasser (240 Std. Salzsprühtest)
• Schutz vor Einbruch durch stabile Materialien und Schlösser mit einer Einteilung in zwei Sicherheitsstufen
• Ein Prüfumschlag im Format C4 (22,9 x 32,4 cm) muss zugestellt werden können, ohne ihn zu falten oder zu beschädigen
• Die Höhe , auf der Post eingeworfen werden kann: Die Mittellinie der Einwurföffnung sollte zwischen 70 cm und 1,70 m Einbauhöhe liegen. In Ausnahmefällen darf der Schlitz auch auf einer Höhe zwischen 40 cm und 1,80 m liegen.
• Zur Gewährleistung der Sicherheit darf der Einwurfschlitz keine scharfen Ecken haben.
• Zur Gewährleistung der Vertraulichkeit dürfen Hausbriefkästen kein Sichtfenster haben.
• Entnahmesicherung : Der Briefkasten muss den Inhalt zuverlässig vor unbefugtem Zugriff schützen .
• Das Mindestvolumen des Briefkastens liegt bei einer Stapelhöhe von mind. 4 cm Postgut im Format C4.

Datenleck Briefkasten?

Ist der Briefkasten nicht geeignet, die eintreffende Post aufzunehmen , hat das Folgen: Briefe liegen ungeschützt herum. Sind sie beschädigt, können Unbefugte den Inhalt sehen – dann ist das Briefgeheimnis verletzt . Die Verletzung des Briefgeheimnisses ist eine Straftat – es muss festgestellt werden, wer sie zu verantworten hat. Zwar handelt es sich um ein absolutes Antragsdelikt, es muss also jemand Anzeige erstatten, der betroffen ist . Wo kein Kläger, da kein Richter. Aber will man sich darauf verlassen?

Nicht unterschätzen sollte man das Risiko eines intakten Briefumschlags, der aus dem Briefkasten ragt : Ein Regenguss und das Kuvert weicht auf . Auch das kann dazu führen, dass der Inhalt einsehbar wird . Fallen Ihnen weitere denkbare Unfälle ein?

Wer haftet für rechtliche Verstöße am Briefkasten?

Wenn es zu Datenpannen am Briefkasten kommt, wer trägt die Verantwortung? Rechtlich betrachtet gilt: Sobald die Briefträgerin die Postsendung eingelegt hat, geht die Verantwortung an den Eigner des Briefkastens über . Das bedeutet: Entspricht der Briefkasten nicht den Anforderungen, haftet das Unternehmen.

Grundrecht Briefgeheimnis, Grundrecht Datenschutz

Die Verletzung des Grundrechts Briefgeheimnis bedeutet eine Verletzung des europäischen Grundrechts auf Datenschutz , mutmaßlich mit einem hohen Risiko für Rechte und Freiheiten der betroffenen Person . Das wiederum löst eine Meldepflicht an die Datenschutz-Aufsichtsbehörde aus.

Vorsicht besser als Nachsicht

Haben Sie als Datenschutzbeauftragte/r schon einmal geprüft, ob der Briefkasten Ihres Unternehmens der DIN-Norm entspricht ? Wenn nicht, ist jetzt eine gute Gelegenheit!

Tipps, Verstöße gegen Datenschutz und Briefgeheimnis zu verhindern

Werfen wir einen Blick auf die DIN-EN-Normen. Da gibt es eine für den Bereich aus unserem Beispiel: Die DIN EN 13724 befasst sich mit „Postalischen Dienstleistungen – Einwurföffnungen von Hausbriefkästen – Anforderungen und Prüfungen“ .

Nach dieser Norm muss ein ordnungsgemäßer Briefkasten mit einem Entnahmeschutz versehen sein – oder so tief, dass sich auch größere Briefumschläge nicht durch den Schlitz entnehmen lassen .

3 Tipps für einen DSGVO-konformen Briefkasten

Maßnahmen, um Datenpannen am Briefkasten zu vermeiden

Tipp Nr. 1

Stellen Sie sicher, dass der Briefkasten Ihres Unternehmens den Vorgaben der DIN EN 13724 entspricht .

Tipp Nr. 2

Tragen Sie Sorge, dass der Briefkasten nach dem Einwurf zeitnah geleert wird.

Tipp Nr. 3

Treffen Sie Vorkehrungen, dass auch bei ungewöhnlich viel Post (weil etwa der Betriebsarzt die KollegInnen einem Virustest unterzieht und viele Befunde zu erwarten sind) die Briefe unbeschädigt ankommen .

Das ist schon alles! Kleiner Aufwand, große Wirkung.

Die Kernfrage: Ist gewährleistet, dass Briefsendungen unbeschädigt ankommen und ausreichend vor unbefugtem Einblick geschützt sind?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Challenge: Daten richtig löschen

Thu, 12 Oct 2023 10:00:56 GMT

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Datenlöschen, was kann man da falsch machen? Ist doch einfach!

Ganz sicher? In der Praxis birgt das Datenlöschen Stolpersteine, die man kennen sollte. Sonst hält man Daten für gelöscht, die es gar nicht sind. Die wichtigsten Fragen und Antworten rund ums Löschen und zehn praktische Tipps.

Löschen ist doch einfach ...

Nehmen wir einen USB-Stick als Beispiel . Wie würden Sie da eine Datei löschen? Anklicken, „Entfernen“ drücken, bestätigen? Die Datei ist weg und alles ist erledigt, oder? Schön wärs.

In Wahrheit ist Windows nicht ganz so fix. Durch Markieren und Entfernen wird die Datei zwar aus dem Verzeichnis des Sticks entfernt , sprich: Sie wird nicht mehr angezeigt . Aber die Daten sind weiterhin da. Was sich geändert hat: Der Speicherort der Datei wurde zum Überschreiben freigegeben . Wann sie tatsächlich überschrieben wird, ist der Schreiblogik von Windows überlassen. Dass Daten oft nur scheinbar gelöscht werden , ist eine der vielen Herausforderungen, die das Löschen mit sich bringt.

Was muss man löschen?

Was muss man überhaupt löschen — und wann? Aus der Sicht des Datenschutzes sind personenbezogene Daten zu löschen , wenn sie nicht länger erforderlich sind für das, wofür sie erhoben oder auf sonstige Weise verarbeitet wurden. Was heißt erforderlich ? Erforderlich sind Daten jedenfalls, solange der Geschäftsprozess läuft, in dem sie verarbeitet werden. Werden sie dort nicht mehr und auch für keine anderen Zwecke gebraucht , müssten sie eigentlich gelöscht werden.

Und warum eigentlich ? Da es eine Einschränkung gibt: Läuft eine gesetzliche Aufbewahrungsfrist, dürfen Daten natürlich nicht gelöscht werden. Hier ist allerdings weniger der Datenschutz gefragt als vielmehr der jeweilige Prozessverantwortliche . Seine Aufgabe ist es, im Blick zu behalten, wann Daten für Geschäftsprozesse nicht mehr erforderlich und gesetzliche Aufbewahrungsfristen abgelaufen sind .

"Daten, die nicht mehr da sein müssen, aber noch da sind, können gegen Sie verwendet werden."

Wie löscht man richtig?

Daten physikalisch zu löschen, ist kaum möglich. Wie das Beispiel mit dem USB-Stick zeigt, werden Daten auf elektronischen Datenträgern nicht sofort überschrieben , sondern nur der Verweis darauf entfernt . Sollen Daten wirklich als gelöscht gelten , müssen sie dauerhaft unkenntlich gemacht werden.

Bei Papier ist das einfach. Das zerkleinern Sie einfach so lange , bis auch dem geduldigsten Puzzlespieler kein Zusammensetzen mehr gelingt . Das richtige Werkzeug ist hier ein Partikelschredder . Und nein, ein Streifenschredder reicht nicht aus , Stichwort Zusammenpuzzlen.

Und bei elektronischen Daten ? Hier braucht es magnetisches Löschen, das Zerstören der Datenträger oder eine andere Form des Löschens, die gewährleistet , dass die Daten nicht wieder lesbar gemacht werden können .

Wo überall muss man löschen?

Würden Informationen gebündelt an einem Ort aufbewahrt , wäre das Datenlöschen verhältnismäßig einfach. Die Wirklichkeit allerdings sieht anders aus: In den meisten Unternehmen lagern Daten an mehreren Stellen und auf mehreren Geräten.

Möchten Sie sie löschen, reicht es nicht, sie von den meisten Datenträgern zu werfen. Sie müssen sie überall löschen – und sie dürfen später nicht wie von Zauberhand wieder auftauchen.

Für erfolgreiches Löschen braucht es also mehr, als in den offiziellen Archiven die Löschung oder Vernichtung anzustoßen, seien es nun Papierarchive oder elektronische Archive. Sie müssen sicherstellen, dass auch alle Kopien gelöscht werden — und die können zahlreich sein.

Und wie geht das? Indem Sie alle Beschäftigten mit entsprechenden E-Mails, Notizen, Ausdrucken und Ähnlichem informieren, dass die Daten jetzt zu löschen sind . Und: Lassen Sie sich das Löschen bestätigen. Sie müssen nachweisen können, dass die Löschung erfolgt ist .

Daten früherer KollegInnen

Und was ist mit Ausdrucken und anderen Kopien von Beschäftigten, die mittlerweile gekündigt haben ? Sofern es eine Nachfolge gibt, übernimmt diese in der Regel die Verantwortung für vorhandene Daten . Gibt es keine Nachfolge , das beobachte ich bei Begehungen zum Datenschutz immer wieder, werden Unterlagen und elektronische Daten möglicherweise in Schränken, Archiven oder auf Laufwerken aufbewahrt, für die sich niemand zuständig fühlt . Nutzen Sie darum Begehungen der Büroräume , um verlassene Schreibtische und nicht mehr genutzte Schränke auf Unterlagen und Datenträger hin zu untersuchen .

Wie ist das Löschen zu dokumentieren?

Die Löschung dokumentieren Sie in einem Löschprotokoll . Eine Frage, die in diesem Zusammenhang immer wieder auftaucht: Wie lange müssen Löschprotokolle aufbewahrt werden? Denn, logisch: Auch Löschprotokolle muss man irgendwann löschen. Wann, ist von Fall zu Fall unterschiedlich – Sie müssen es also individuell festlegen . Datenschutzbeauftragte sollten in diese Entscheidung unbedingt mit einbezogen werden. Natürlich sollten Löschprotokolle auf jeden Fall so lange vorhanden sein, dass sie gegenüber Aufsichtsbehörden oder Gerichten als Nachweis dienen können , wann welche Daten gelöscht wurden. Aber eben auch nicht länger.

Jede Menge Fragen

Richtiges Löschen ist mit einer Vielzahl von Fragen verbunden. Zufriedenstellende Antworten zu finden, ist eine der Hauptaufgaben von Datenschutzbeauftragten und Compliance-Officern .

Drohender Datenschutzverstoß

Was, wenn personenbezogene Daten , deren Zeit zum Löschen gekommen ist, nicht gelöscht wurden? Wenn der Prozess zum Löschen nicht einmal angestoßen ist? Dann handelt es sich um einen Datenschutzverstoß , der mit den üblichen Maßnahmen der DSGVO geahndet werden kann. Also zunächst mit Nachfragen der Aufsichtsbehörde , teilweise mit Anordnungen , je nach Fall mit der Verhängung von Geldbußen .

"Auch zu frühes Löschen birgt Risiken und sollte unbedingt vermieden werden. "

Zu früh löschen, zu spät löschen

Was oft übersehen wird: Daten, die nicht mehr da sein müssen, aber noch da sind, können gegen Sie verwendet werden. Wird etwa bei einer Betriebsprüfung ein altes Rechnungsbuch gefunden und dort stellen sich Fehler bei der Umsatzsteuer heraus, wird der Betriebsprüfer eine entsprechende Nachberechnung der Steuern vornehmen – auch wenn die Daten längst hätten gelöscht sein dürfen.

Gleichzeitig gilt: Auch zu frühes Löschen birgt Risiken und sollte unbedingt vermieden werden. Nicht zuletzt werden damit Beweise unter Umständen vorschnell vernichtet . Überlegen Sie genau, welche Daten wann zum Löschen vorgesehen werden. Gehen Sie strukturiert vor. Löschen an sich ist komplex genug. Allen Vorgaben des Datenschutzes gerecht zu werden , macht die Sache nicht einfacher. Ein Grund mehr, Löschprozesse so klar wie möglich zu strukturieren .

Tipp: Verarbeitungsverzeichnis nutzen

Hier kann das Verzeichnis der Verarbeitungstätigkeiten gute Dienste leisten. Artikel 30 der Datenschutz-Grundverordnung fordert, im Verzeichnis der Verarbeitungstätigkeiten Hinweise zur Aufbewahrung personenbezogener Daten und damit zum Löschen aufzunehmen .

Das kann als Grundlage dienen, bei elektronischen Daten einen Zeitstempel zu setzen.

Profitipp

Papierunterlagen lassen sich in Aktenordnern so organisieren, dass das Jahr der geplanten Löschung auf dem Aktenrücken zu erkennen ist.

Wie? Das verrät der Praxistipp Zurück in die Zukunft. Wenn Archivordner zukünftige Jahreszahlen tragen.

Löschfristen festhalten

Vorsicht Stolperfalle : In Artikel 30 zum Verzeichnis der Verarbeitungstätigkeiten heißt es:

„Dieses Verzeichnis enthält [...], wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien.“

Den Begriff „wenn möglich“ nicht falsch verstehen! Solange es etwa gesetzliche Aufbewahrungsfristen gibt, haben Unternehmen rechtzeitig zu löschen.

In Organisationsabläufe einbinden

Im Klartext heißt das: Datenschutzprozesse sollten Sie von vornherein so anlegen , dass das jeweilige Ende des Geschäftsprozesses oder der Aufbewahrungsfrist eingebunden ist. Gerade am Anfang ist da einige Organisation gefragt. Sind die Beschäftigten erst einmal auf diese Vorgehensweise eingeschworen, läuft es in der Regel reibungslos – probieren Sie es aus!

Für den Fall der Fälle

Organisation hin, Beschäftigte her. Es wird sich im Alltag kaum vermeiden lassen, dass immer mal wieder Unterlagen auftauchen, die eigentlich gelöscht sein müssten . Wenn das passiert, ziehen Sie sie sofort aus dem Verkehr . Ob eine Schutzverletzung personenbezogener Daten und damit eine Meldepflicht vorliegt, ermitteln Sie individuell für den jeweiligen Fall.

10 Tipps für erfolgreiches Löschen im Unternehmen

1. Verzeichnis der Verarbeitungstätigkeiten vervollständigen

Stellen Sie sicher, dass alle Geschäftsprozesse mit personenbezogenen Daten im Verzeichnis der Verarbeitungstätigkeiten erfasst sind.

2. Aufbewahrungs- und Löschfristen festhalten

Vergewissern Sie sich, dass im Verarbeitungsverzeichnis die geplanten Aufbewahrungs- und Löschfristen eingetragen sind. Den Begriff „wenn möglich“ nicht falsch auslegen!

3. Verantwortliche benennen

Sorgen Sie dafür, dass für jeden Löschprozess eine verantwortliche Person benannt ist.

4. Löschen fristgerecht einleiten

Gewährleisten Sie, dass das Löschen zum richtigen Zeitpunkt eingeleitet wird.

5. Dokumentieren

Vergewissern Sie sich, dass Löschprozesse zuverlässig dokumentiert werden.

6. Betroffenenanfragen sicher handhaben

Stellen Sie sicher, dass Sie bei Anfragen Betroffener schnell ermitteln können, ob deren Daten noch vorhanden sind oder regulär gelöscht wurden.

7. Datenschutz-Leitlinie um Löschpflicht ergänzen

Falls noch nicht geschehen: Erstellen Sie eine Leitlinie zum Datenschutz , welche die Pflicht zum Löschen beinhaltet.

8. Richtlinien, die das Löschen regeln

Erstellen Sie Richtlinien zum Datenschutz , die die einzelnen Löschvorgänge regeln .

9. Regelmäßig prüfen

Überprüfen Sie regelmäßig , ob die Löschregeln aktuell und vollständig sind und Löschvorgänge planmäßig durchgeführt werden.

10. Im Jahresbericht berücksichtigen

Nehmen Sie die Maßnahmen zum Löschen in den Datenschutz-Jahresbericht auf.

Versäumtes Löschen ist keine Kleinigkeit und sollte vermieden werden. Durchdachte Löschprozesse lohnen sich: Sie umgehen Ärger mit Aufsichtsbehörden ebenso wie etwaige Nachzahlungen und Geldbußen.

Und die Kernfrage: Sind den Verantwortlichen die komplexen Löschvorgänge in den wichtigsten Schritten bekannt und vor allem: Finden sie tatsächlich statt?

Viel Erfolg bei der Challenge Datenlöschen!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Praxistipp: Zurück in die Zukunft. Wenn Archivordner zukünftige Jahreszahlen tragen

Wed, 11 Oct 2023 14:12:36 GMT

Der Beitrag erschien im Mai 2021 als Praxistipp Datenschutz 06|2021 und wurde zuletzt überarbeitet am 11. Oktober 2023.

Praxistipp Datenschutz

Archivordner mit Jahreszahlen auf dem Rücken sind ja durchaus nichts Ungewöhnliches. Normalerweise liegen die aufgedruckten Jahre allerdings in der Vergangenheit, nicht Jahre oder gar Jahrzehnte in der Zukunft. Dahinter steckt ein Archivsystem, das nicht das gängigste seiner Art sein mag, aber einen ganz eigenen Charme hat – und eine Menge Vorteile. Grund genug, es uns einmal genauer anzusehen.

Ein Fall aus dem Datenschutzalltag

In einer Klinik ist es mal wieder an der Zeit für eine Ortsbegehung durch den Datenschutzbeauftragten . Wir nehmen uns den Archivkeller vor. Dort lagern allerhand Akten, der Großteil Patientenakten . Alles wunderbar aufgeräumt! Das ist selten, umso angenehmer der Anblick. Die Leiterin des Archivs ist sichtlich erfreut. Wer wird nicht gerne vom Datenschutzbeauftragten gelobt?

Dann fallen mir zwei Dinge auf: Die Aktenordner haben in jedem Regal eine andere Farbe . Und: Auf dem Ordnerrücken steht neben dem Anfangsbuchstaben der enthaltenen Dokumente eine Jahreszahl . Diese Jahreszahl ist nicht etwa die aktuelle oder eine vergangene, sondern sie liegt in der Zukunft. Offenbar reichen sie bis zu zehn Jahre in die Zukunft. Archivordner aus Jahren, die noch gar nicht stattgefunden haben? Schließlich entdecke ich sogar Ordner, die noch weiter in die Zukunft weisen, um genau zu sein: bis zu 30 Jahre .

Was ist hier los? Zurück in die Zukunft? Die Archivleiterin bemerkt meine Verwunderung. Ihre Erklärung fand ich so interessant, dass ich dachte: Diese Idee verdient einen eigenen Praxistipp.

Archivordner und Jahreszahlen

Unterlagen kommen normalerweise in dem Jahr ins Archiv, in welchem die Aufbewahrungszeit beginnt . Normalerweise steht dann auf dem Ordnerrücken die Einordnung nach dem Alphabet und vielleicht die Jahreszahl . Normalerweise ist das die Jahreszahl, wann die Patientenakte aus dem aktiven Betrieb ausgesondert wurde.

Archivierte Patientenakten

Dieses Archivsystem hat jedoch mögliche Nachteile . Zum einen sind Aufbewahrungszeiten durchaus unterschiedlich . Und zum anderen kommt es vor, dass ein Patient innerhalb der zehn Jahre nach Abschluss seiner Behandlung erneut in die Klinik kommt. Dann braucht man die Akte wieder. Kann man sie in diesem Fall schnell finden? Und wohin legt man sie nach Abschluss der erneuten Behandlung?

Durcheinander im Archiv

In der Praxis also kommt es im Archiv immer wieder zu Durchmischungen in den Aufbewahrungszeiten und in der Folge zur Durchmischung bei der Aufbewahrung . Damit ist nicht mehr auszuschließen, dass Unterlagen zu einem Zeitpunkt vernichtet werden, der nicht dem Zeitpunkt der geplanten Vernichtung entspricht, sprich: irgendwann anders . Vernichtet wird also möglicherweise zu früh oder zu spät.

Aufbewahrungsfristen

Unterlagen in Archiven werden so lange aufbewahrt , wie sie für den betroffenen Geschäftsprozess von Bedeutung sind. Es kommt also zunächst auf die Verarbeitungstätigkeit an. Ist die f ür die Verarbeitung erforderliche Aufbewahrungszeit abgelaufen , lautet die nächste Frage: Gibt es darüber hinaus eine gesetzliche Aufbewahrungsfrist ? Ist das der Fall und fällt die gesetzliche Frist länger aus als die aus dem Geschäftsprozess , sind die Unterlagen zum Zwecke der gesetzlichen Aufbewahrung separat zu kennzeichnen .

Vom Archiv in den Alltag

In eine Klinik kommen manchmal nach längerer Zeit Patienten, deren Akten bereits in den Archivraum gewandert sind. Normalerweise sind im Archivsystem Name und Geburtsdatum eines Patienten vermerkt , man sieht also, wenn es schon eine archivierte Patientenakte gibt. Dann wird diese Akte aus dem Archivraum geholt . Sie ist die Grundlage für die Dokumentation der erneuten Behandlung.

Jahre später

Kommt es zu keiner erneuten Behandlung, wird die Patientenakte in der Regel zehn Jahre nach Abschluss der Behandlung vernichtet. Mittlerweile, das sei ergänzend erwähnt, sind viele Kliniken dazu übergegangen, Akten bis zu 30 Jahre aufzubewahren . Denn: Nach Ablauf der zehnjährigen Aufbewahrungsfrist passiert es immer häufiger, dass Patienten die frühere Behandlung anzweifeln und Regressforderungen stellen . Dann möchte man sich mit der Originalakte wehren können.

DSGVO und Betroffenenrechte

In jedem Fall entscheidend ist, dass die Patientenakte dann, wenn sie nicht mehr benötigt wird oder es rechtlich geboten ist, vernichtet wird. Es gehört zu den zentralen Betroffenenrechten der Datenschutzgrundverordnung (DSGVO): Personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie sie tatsächlich erforderlich sind. Um das zu gewährleisten, braucht es ein eindeutiges System der Daten sowohl nach den Anfangsbuchstaben im Alphabet als auch nach dem Datum der Einlagerung bzw. Vernichtung. Und genau deshalb ist die Idee mit den nach Jahren gegliederten farblichen Ordnern und Jahreszahlen in der Zukunft so spannend.

Archivunterlagen vernichten

Sind Daten nicht mehr erforderlich, sind sie verlässlich zu löschen, die Löschung ist zu dokumentieren . Bleibt das aus, handelt es sich in der Regel um einen Verstoß gegen Vorgaben zu Betroffenenrechten. Für einen solchen Verstoß kann eine Geldbuße verhängt werden – bis zu 20 Millionen Euro respektive 4 Prozent des Vorjahresumsatzes der gesamten Unternehmensgruppe. Um das zu vermeiden, empfiehlt sich ein System, bei dem Fehler minimiert werden oder nahezu ausgeschlossen sind.

Ein gelungenes Archivsystem nach DSGVO

So geht's

Wichtig ist zunächst, dass im Archivraum ist für jeden kommenden Jahrgang genügend Platz vorhanden ist. Jeder Jahrgang erhält Ordner in einer bestimmten Farbe .

Ausgesonderte Patientenakten werden so eingelagert, dass sie im Jahr ihrer Vernichtung nur aus dem Ordner genommen und vernichtet werden müssen.
Jede zu archivierende Patientenakte wird in genau den Ordner einsortiert , auf dessen Rücken das Jahr ihrer Vernichtung steht.

Kommt es bei Patienten zu einer erneuten Behandlung , werden die nötigen Unterlagen aus dem entsprechenden Ordner entnommen . Werden sie anschließend ein zweites Mal archiviert , legt man sie in den dann passenden Ordner ein.

Vorteile

Es gilt, was meistens gilt: Das System funktioniert nur, wenn man es konsequent umsetzt . Gelingt das, bringt dieses Archivsystem einige Vorteile mit sich :

Die Vernichtung erfolgt komplett, es wird nichts übersehen .
Unterlagen für eine erneute Behandlung lassen sich jederzeit aus dem richtigen Ordner entnehmen .

Konsequent umgesetzt ist das System DSGVO-konform . So archivieren Sie richtig in Sachen Datenschutz.

Mit diesem Archivsystem können Unterlagen also jederzeit gefunden und dem Jahr der Vernichtung zugeordnet werden. Wenn sich alle an die Regeln halten, sind Fehler so gut wie ausgeschlossen. Ergänzt wird das Ganze durch die Farben der Ordnerdeckel . Sie vermeiden, dass entnommene Akten aus Versehen einem anderen Jahrgang zugeordnet werden.

Tipps und Maßnahmen für ein übersichtliches Archiv nach DSGVO

Sicherstellen, dass im Archivraum Ordnung herrscht.
Im Archivraum ein System einrichten, welches das Ablegen und Auffinden von Papierunterlagen ohne Risiko von Fehlern ermöglicht.
Prüfen, ob Sie für jeden Jahrgang eingelegter Unterlagen verschiedenfarbige Ordner einsetzen können.
Festlegen, ob die Rückenbeschriftung der Ordner das Datum der Archivierung oder das Vernichtungsdatum zeigen soll.
Falls Sie umstellen : Mit einem Jahrgang beginnen – und mit jedem Jahr dem Idealzustand näherkommen.
Sicherstellen, dass ein Indizierungssystem vorhanden ist, nach dem für archivierte Unterlagen sinnvolle Stichwörter hinterlegt werden. So lässt sich jederzeit feststellen, ob entsprechende Unterlagen im Archivraum vorhanden sind.
Sicherstellen, dass für den laufenden Betrieb entnommene Unterlagen bei erneuter Archivierung in den dann zutreffenden Ordner für die Vernichtung gelegt werden.
Von Zeit zu Zeit prüfen, ob das System vollständig und aktuell ist und im Alltag greift .
Alle Beschäftigten schulen, die das Archiv nutzen, um ein einheitliches Vorgehen zu vermitteln und durchzusetzen.

Für die Organisation des Archivs können Sie sich an folgenden Leitfragen orientieren: Werden alle Papierunterlagen so archiviert, dass sie nach Ablauf der Aufbewahrungsfrist zuverlässig vernichtet werden? Und: Ist sichergestellt, dass Archivunterlagen nötigenfalls auch zu einem früheren Zeitpunkt jederzeit schnell auffindbar sind?

Viel Erfolg und gelungenes Archivieren!

Hier gibts den Praxistipp als kostenlosen PDF-Download.

Hat Ihnen der Praxistipp gefallen? Empfehlen Sie ihn weiter!

Lösungen zum Archivieren nach DSGVO? Fragen Sie uns.
Webinare, persönliche Beratung, passgenaue Umsetzung. Mit Team Datenschutz sind Sie in Sachen Datenschutz und Informationssicherheit einen Schritt voraus.

Schlüsselmanagement strukturiert und DSGVO-konform

Wed, 04 Oct 2023 09:10:46 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Gutes Schlüsselmanagement lohnt sich! Wer die Ausgabe von Schlüsseln und Zutrittsberechtigungen einmal klar durchdenkt und strukturiert, spart sich jede Menge Zeit und Nerven. Tipps, wie Sie Schlüssel und Zutritt übersichtlich regeln. Natürlich DSGVO-konform.

Gutes Schlüsselmanagement lohnt sich

Darum braucht es Schlüsselmanagement

Schlüssel sind eine feine Sache. Besonders, wenn man den richtigen hat und er schließt, wie er soll . Wenn noch alle Schlüssel da sind . Und wenn man weiß, wer überhaupt welche Schlüssel hat – oder zumindest haben sollte. Und wenn man feststellen kann, wie bestimmte Räume unbefugt geöffnet werden konnten . Und, und, und. Schlüssel sind Macht.

Mit Schlüsselmanagement den Überblick behalten

So wichtig Schlüssel sind, so wichtig ist eine genaue Dokumentation, wer wann welchen Schlüssel für welchen Zweck erhalten hat und wie Schlüssel genutzt werden . Wichtig ist auch, dass fehlende Schlüssel zuverlässig gemeldet werden.

Geregelte Genehmigung und Ausgabe von Schlüsseln

Die Ausgabe von Schlüsseln sollte nach einem festen System erfolgen. Wenn klar ist, wer in welche Räume darf , folgt die Prüfung, welche Schlüssel dafür nötig sind . Dementsprechend werden Schließberechtigungen vergeben .

Schlüsselliste erstellen

Die meisten Unternehmen nutzen ein Schließsystem . Vielleicht gibt es Generalschlüssel , wahrscheinlich Gruppenhauptschlüssel , möglicherweise Gruppenschlüssel . Und dann gibt es noch Räume, die mit eigenen Schlüsseln geöffnet und verschlossen werden. Einzelne Räume oder Gebäudebereiche werden möglicherweise mit eigener Schließtechnik geöffnet und verschlossen. Tragen Sie all diese Infos zusammen und erstellen Sie daraus eine Schlüsselliste.

Belehrung bei Schlüsselausgabe

Wer den Überblick behalten will, braucht eine saubere Dokumentation. Genauso wichtig: Wer unter den Beschäftigten einen Schlüssel erhält , wird belehrt, wie mit diesem Schlüssel umzugehen ist .

Meldewege bei Verlust

Wer einen Schlüssel hat, muss wissen, was bei Verlust zu tun ist . Legen Sie klare Meldewege fest und lassen Sie sich ausgegebene Schlüssel hier und da vorlegen – normale Schlüssel stichprobenartig, besonders wichtige Schlüssel regelmäßig.

Chaos verhindern

Ein fehlendes oder schlampiges Schlüsselmanagement artet schnell in Chaos aus. Wurde eingebrochen oder gestohlen, greifen Ermittlungsbehörden häufig auf Schlüssellisten zurück. Gleiches gilt, wenn es brennt: Im Ernstfall muss die Feuerwehr sofort reagieren können . Es muss also klar sein, welche Räume mit welchen Schlüsseln geöffnet werden.

Risiken von schlechtem Schlüsselmanagement

Keine strukturierte Sicherheit

Ein ähnlich großes Risiko wie ein unstrukturiertes Schließsystem sind nicht dokumentierte Schließberechtigungen . Wer nicht weiß, wer welchen Raum betreten darf , kann nicht gezielt für Sicherheit sorgen.

Ermitteln ohne gutes Schlüsselmanagement?

Bei unkontrollierten Zutritten sind im Falle krimineller Handlungen strukturierte Ermittlungen so gut wie ausgeschlossen. Dadurch werden auch bei Versicherungen Probleme auftreten. Es droht nicht nur der Diebstahl von Eigentum , sondern auch von wertvollen Daten und Infos .

Keine strukturierten Verlustmeldungen

Ein weiteres Risiko liegt darin, dass dokumentierte Schließberechtigungen veraltet oder unvollständig sind. Vor allem unbemerkt verlorene Schlüssel sind ein Risiko: Wer den Schlüssel gefunden oder gestohlen hat, kann in die Räume eindringen und erhebliche Schäden anrichten.

Gutes Schlüsselmanagement, mehr Datenschutz

Datenschutzkonformes Führen der Schlüsselliste

Wie beugen Sie diesen Gefahren vor? Zunächst einmal, indem Sie die Schlüsselliste datenschutzkonform führen . Dafür müssen Sie bestimmte Bedingungen erfüllen, die insbesondere den Grundsätzen der Datenverarbeitung in Artikel 5 DSGVO entsprechen. Und beachten Sie die Anforderungen an technische und organisatorische Maßnahmen, die in Artikel 32 hinterlegt sind. Berücksichtigen Sie dabei auch Mitarbeitende, die aus dem Unternehmen ausscheiden (Stichwort Löschpflicht ).

Wichtig bei Aufklärung von Datenpannen

Für den Datenschutz muss klar sein, wer welche Räume betreten darf. Denn: Sollte es zu Schutzverletzungen personenbezogener Daten kommen, müssen Sie die bekannte Meldepflicht an die Aufsichtsbehörde erfüllen . Eine solche Meldung zieht gelegentlich Ermittlungen nach sich. Die sind aber nur strukturiert möglich, wenn klar ist, wer wann befugt war, betroffene Räume zu betreten.

Nicht nur beschäftigte Personen betrachten

Wer eine Übersicht über Schlüssel und Berechtigungen führt, darf eins nicht übersehen: Nicht alle, die über Schließberechtigungen verfügen, sind beim Unternehmen beschäftigt . Beispiele sind et wa Reinigungsdienst oder Servicekräfte.

Es gilt also, auch alle Externen zu berücksichtigen und vollständig zu dokumentieren, wer wann über welche Schließberechtigungen verfügt hat. Ermittlungen bei Missbrauch sind ansonsten von vornherein chancenlos.

Fehler beim Schlüsselmanagement und Geldbußen

Werden diese Vorkehrungen versäumt und es kommt zu Datenpannen , dürfte die Aufsichtsbehörde bei etwaigen Nachforschungen wenig Verständnis zeigen. Lässt sich nicht einmal nachvollziehen, wer Räume mit personenbezogenen Daten betreten darf , wird eine Geldbuße kaum zu umgehen sein.

10 Tipps für ein DSGVO-konformes Schlüsselmanagement

Tipp Nr. 1

Es muss klar sein, wer zu welchen Räumen Zutritt hat . Erstellen Sie eine strukturierte Dokumentation über die Schlüsselausgabe.

Tipp Nr. 2

Die Vergabe der Schließberechtigungen muss systematisch erfolgen und dokumentiert werden. Ob Führungskräfte, die Personalabteilung oder die Hausmeisterin Schließberechtigungen vergeben, ist zweitrangig. Wichtig ist: Sie erfolgt strukturiert und lässt sich jederzeit nachvollziehen .

Tipp Nr. 3

Stellen Sie sicher, dass Veränderungen von Zutrittsberechtigungen unmittelbar zu einer Änderung der Schließberechtigung führen. Ein verlässliches Changemanagement ist unabdingbar.

Tipp Nr. 4

Regeln Sie, dass ausscheidende Personen Schlüssel beim Verlassen des Gebäudes abgeben.

Tipp Nr. 5

Kontrollieren Sie bei bestimmten Schließsystemen, ob die Schlüssel noch vorhanden sind. Dies kann die Verpflichtung beinhalten, zu einem bestimmten Zeitpunkt den Schlüssel vorzuzeigen .

Tipp Nr. 6

Lassen Sie Schlüsselempfänger eine Verpflichtung unterschreiben . Vereinbaren Sie, wen sie in welche Räume mitnehmen dürfen und was bei Schlüsselverlust zu tun ist. Regeln Sie gegebenenfalls, ob Schlüssel nicht in bestimmte Länder mitgenommen werden dürfen. Ergänzen Sie die Verpflichtung nach den Anforderungen des Betriebs.

Tipp Nr. 7

Nehmen Sie regelmäßig Unterweisungen zum Schließsystem vor.

Tipp Nr. 8

Halten Sie für bestimmte Anforderungen Generalschlüssel vor, beispielsweise für Einsätze der Feuerwehr .

Tipp Nr. 9

Stellen Sie im Falle des Verlusts von Schlüsseln eine schnelle Reaktion sicher. Im Extremfall kann der Austausch ganzer Schließsysteme nötig werden.

Tipp Nr. 10

Gehen Sie es an! Gutes Schlüsselmanagement macht vieles einfacher und erfüllt gleichzeitig die Anforderungen der DSGVO .

Hoffentlich helfen Ihnen die Tipps weiter, die Nutzung von Schlüsseln strukturiert zu regeln. Viel Erfolg beim gekonnten Schlüsselmanagement!

Und die Kernfrage: Ist für alle Schlüssel bekannt, wer mit welchem Schlüssel welche Räume und Gebäudebereiche betreten darf – und sind alle ausgegebenen Schlüssel auch wirklich noch da?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der Dienstwagen weiß, mit wem Beschäftigte telefonieren

Tue, 19 Sep 2023 13:03:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Fahrzeughersteller und mögliche Datenpannen im Dienstwagen

Über die Telefonanlage verarbeiten Autohersteller Personendaten. Als Unternehmen mit Fuhrpark lässt sich diese Datenverarbeitung kaum kontrollieren. Verletzen Sie die Rechte der Beschäftigten? Wie umgehen mit Firmenwagen, Pool-Fahrzeug & Co.? Der Datentipp verräts.

Heutige Technik in Dienstwagen

Per Freisprecheinrichtung im Auto telefonieren? Heute selbstverständlich. Vorausgesetzt, Auto und Smartphone verstehen sich richtig. Viele Autohersteller bieten eine Freisprecheinrichtung ab Werk an. Diese lässt sich komfortabel bedienen und etwa über das Funktionslenkrad ansteuern.

Ohne tief in die Details zu gehen: Viele moderne Fahrzeuge besitzen heute ein so genanntes SIM Access Profile. So können sie Verkehrsmeldungen empfangen und eine Notruf-Funktion anbieten. Funktionen wie diese sind mittlerweile in vielen Dienstfahrzeugen vorhanden.

Datenschutz im Geschäftswagen früher und heute

Noch vor ein paar Jahren war die schwerwiegendste datenschutzrechtliche Gefahr eines Dienstwagens, dass jemand bei offenem Fenster mit der Freisprecheinrichtung telefoniert hat und irgendwer an der Ampel mitgehört hat.
Das Telefonieren bei offenem Fenster erscheint als datenschutzrechtlich eher kleine Nummer verglichen mit den heutigen Möglichkeiten – wo Fahrzeughersteller jederzeit auf die Bordelektronik zugreifen können.

Praxis-Beispiel: Die Rückgabe des Leasingfahrzeugs

Ein ganz alltäglicher Vorgang: Das geschäftliche Leasingfahrzeug wird zurückgegeben . Nun stellt sich die Frage: Wer löscht die Einträge im Telefonbuch? Wer löscht die Anrufliste mit den Nummern der Gesprächspartner und der jeweiligen Gesprächsdauer ? Ich habe mein jetziges Auto als Gebrauchtwagen gekauft . Im Speicher lagen die Kontaktdaten zahlreicher Nutzer ebenso wie der Gesprächsverlauf. Mit wem wurde wann wie lang telefoniert? All diese Infos waren ungeschützt gespeichert .

Rechtliche Stolpersteine mit der Telefonanlage im Geschäftswagen

Rechtliche Verstöße rund um die Telefonanlage betreffen übrigens nicht nur den Datenschutz , auch das Fernmeldegeheimnis kann zum Tragen kommen. Und: Dass im Geschäftswagen ein Profil zu Telefonaten geführt wird (und übrigens auch zum Fahrverhalten , aber das ist eine andere Geschichte), dürfte den Betriebsrat interessieren: Auf welcher Rechtsgrundlage passiert das? Wer trägt dafür die Verantwortung ? Wer bedient die Betroffenenrechte , wenn Beschäftigte Anfragen nach Artikel 15 der Datenschutz-Grundverordnung (DSGVO) stellen – und der Verantwortliche keinen Zugriff auf die Daten beim Hersteller hat? Was bedeutet es für den datenschutzrechtlichen Anspruch auf Datenlöschung, wenn das Fahrzeug den Fuhrpark verlässt und die Daten nicht mehr greifbar sind?

Das sind ein paar von vielen nicht oder nur unzureichend geklärten Fragen, wie der ADAC in aktuellen Untersuchungen immer wieder bestätigt. Derzeit ist nicht bekannt, dass Aufsichtsbehörden gegen diese Praxis der Fahrzeughersteller vorgehen, das dürfte aber nur eine Frage der Zeit sein.

Als Halter des Fahrzeugs sollten Verantwortliche versuchen, sich Klarheit zu verschaffen über heimliche (oder gar nicht so heimliche) Verarbeitung eigentlich geschützter Daten. Im Zweifel können Sie damit zumindest den Versuch nachweisen , Licht ins Dunkel zu bringen – und das kann gegenüber der Datenschutz-Aufsichtsbehörde einiges wert sein.

Risikofaktor Fahrzeughersteller

Theoretisch kennen Fahrzeughersteller Fahrerdaten nicht oder nur unzulänglich. Da sich aber kaum jemand in die Telefonie im Fahrzeug mit einem Aliasnamen einträgt und dazu Telefonnummern übertragen werden, kann der Hersteller diese Profilierung selbstverständlich ohne großen Aufwand im Detail vornehmen. Wären diese Abläufe wirklich datenschutzkonform , warum sollten die Hersteller so ein Geheimnis darum machen?

Es besteht also mutmaßlich das Risiko, dass personenbezogene Daten von Beschäftigten, die Fahrzeuge aus dem Fuhrpark nutzen, dem Verantwortlichen gegenüber Rechte haben (siehe Artikel 12–21 der DSGVO), die der Verantwortliche nicht erfüllen kann .

Übrigens, in Elektroautos verschärft sich die Situation gegenüber klassischen Verbrennern . Neu konstruierte Fahrzeuge liefern umso mehr Daten an die Hersteller.

Wie umgehen mit Datenverarbeitung durch Fahrzeughersteller?

Was können Unternehmen in Bezug auf den Fuhrpark tun? Verantwortliche müssen sicherstellen, dass die Verarbeitung personenbezogener Daten in ihrem Verantwortungsbereich so erfolgt, wie das die DSGVO , das Bundesdatenschutzgesetz (BDSG) und weitere datenschutzrechtliche Vorgaben fordern. Das können sie aber nur, wenn sie von den Herstellern erfahren, was mit den Daten geschieht. Diese Informationen verweigern viele Hersteller.

Als Halter ist Ihre einzige Chance, den Vertrag nach Informationen zum Datenschutz zu durchforsten. Erkenntnisse daraus sollten Sie in die Datenschutz-Informationen nach Artikel 13 bzw. 14 DSGVO aufnehmen. Informieren Sie Beschäftigte , die geschäftliche Fahrzeuge nutzen, dass Sie trotz intensiver Bemühung keine weiteren Informationen liefern können und möglicherweise weitere Daten verarbeitet werden, worauf Sie als Verantwortlicher keinen Zugriff haben.

Tipps für den Fuhrpark

So minimieren Sie Datenschutz-Stolperfallen bei Firmenwagen, Dienstwagen & Co.

Tipp 1

Klären Sie, welche Telefonfreisprechanlage zum Einsatz kommt und welche Daten dabei erhoben werden

Tipp 2

Verweisen Sie schon bei der Ausgabe dienstlicher Mobiltelefone auf mögliche Zugriffe durch den Hersteller

Tipp 3

Versuchen Sie, vom Hersteller genauere Informationen zu bekommen, und schalten Sie gegebenenfalls die Datenschutz-Aufsichtsbehörden ein

Tipp 4

Stellen Sie sicher, dass bei Fahrzeugen, die aus dem Fuhrpark ausscheiden , möglichst alle erreichbaren personenbezogenen Daten nachhaltig gelöscht werden

Tipp 5

Nehmen Sie in die Datenschutz-Informationen auf, dass mit der Fahrzeugnutzung auch Daten verarbeitet werden und, soweit bekannt, welche das sind

Tipp 6

Lesen Sie bei neuen Fahrzeugen und bei Leasingfahrzeugen genau nach, welche Daten mit der Nutzung verarbeitet werden – soweit die Hersteller das mitteilen

Tipp 7

Beantworten Sie Betroffenenanfragen innerhalb der vorgegebenen 30 Tage , falls nötig unter Hinweis auf die Weigerung des Herstellers, genaue Auskünfte zu geben

Und die Kernfrage: Kann sichergestellt werden, dass innerhalb des Einflussbereichs des Verantwortlichen personenbezogene Daten zum Telefonieverhalten gemäß den Vorgaben zum Datenschutz verarbeitet werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Live-Webinar zu KI, ChatGPT & Co.

Tue, 12 Sep 2023 11:04:14 GMT

Mit KI die Produktivität steigern

Für manche ist Künstliche Intelligenz voll von ungeahnten Möglichkeiten und ein Segen für die Menschheit, für andere stellt sie eine Bedrohung mit unabsehbaren Folgen dar. Viele nutzen Tools wie ChatGPT bereits, um sich im Unternehmensalltag Routineaufgaben abnehmen zu lassen. So weit, so praktisch. Aber wie steht es um KI im Zusammenhang mit Compliance, Datenschutz und Informationssicherheit?

Datenleck Chatbot?

Nicht jeder denkt etwa bei der Nutzung des Chatbots ChatGPT daran, dass er dabei Daten preisgibt . Mal eben einige Infos ins Chatfenster kopiert , um sich daraus eine E-Mail formulieren oder eine Zusammenfassung texten zu lassen, schon hat man Interna , personenbezogene Daten oder Inhalte offengelegt, für die vertraglich Vertraulichkeit gilt.

Und wie verlässlich sind Informationen, die etwa ChatGPT den Nutzenden gibt? Wer die Antworten nicht hinterfragt, geht womöglich den vielfach beobachteten Halluzinationen der KI auf den Leim. Betriebliche Entscheidungen aufgrund von fehlerhaften Infos? Das kann Folgen haben, die sich schwer absehen lassen.

Grund genug, KI aus dem Büroalltag zu verbannen? Natürlich nicht. Es gilt aber, die Stolpersteine zu kennen, Mitarbeitende für die Risiken zu sensibilisieren und einen praxistauglichen Umgang zu finden.

Wie das geht, erfahren Sie im Live-Webinar

Datenschutz und Compliance bei ChatGPT & Co.

Mit KI zu mehr Produktivität

Wir stellen vor, wie Sie KI rechtlich sicher nutzen und Verstöße bei Vertraulichkeit, Datenschutz und Compliance vermeiden . Wir geben wertvolle Tipps rund um den Einsatz von KI im Unternehmen und zeigen, wie Betriebe sinnvolle Regelungen für den Umgang mit KI schaffen. Erfahren Sie, wie Sie mit KI wie ChatGPT die Produktivität erheblich steigern !

Speaker ist Eberhard Häcker , langjähriger Datenschutzberater, Geschäftsführer der Team Datenschutz Services GmbH, Datenschutz-Fachautor und Kongressredner. Seine Spezialität: vorausschauende Lösungen finden, komplexe Themen verständlich erklären und mit vielen Beispielen aus der Praxis anschaulich und greifbar machen.

Nächster Termin

Donnerstag, 21. September 2023
von 9:30 bis 12:00 Uhr

Teilnahme online als Webkonferenz

Jetzt anmelden und dabei sein!

Wie sicher ist die IT im Homeoffice?

Fri, 11 Aug 2023 11:52:08 GMT

Der Beitrag erschien im Februar 2021 und wurde zuletzt bearbeitet am 11. August 2023.

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Datenschutz & IT-Sicherheit im Homeoffice

Unternehmen müssen sichergehen, dass IT-Sicherheit und Datenschutz auch im Homeoffice gelten. Sind Daten auf der Homeoffice-IT so sicher wie im Unternehmen? Tipps für mehr Datenschutz und Datensicherheit im Homeoffice.

Wie sicher sind Personendaten im Homeoffice?

In vielen Unternehmen ist das Arbeiten im Homeoffice längst Alltag. In einer Umfrage im Frühjahr 2023 hat das ifo-Institut ermittelt, dass in Deutschland durchschnittlich einen Tag pro Woche aus dem Homeoffice gearbeitet wird – europäisches Mittelfeld. Beschäftigte schätzen vor allem die Zeit- und Kosteneffizienz und die Flexibilität, die ihnen das Arbeiten von zuhause ermöglicht.Viele Unternehmen bieten Homeoffice an – es steigert die

Zufriedenheit und ist zu Zeiten des Fachkräftemangels ein möglicher Wettbewerbsvorteil . Sie müssen aber auch sichergehen, dass die Sicherheits- und Datenschutzstandards vom Büroarbeitsplatz im Unternehmen auch im Homeoffice eingehalten werden.

Gelten an den Heimarbeitsplätzen analoge Sicherheitsstandards wie im Unternehmen ? Dann können Sie sich entspannt zurücklehnen. Das gilt zumindest, wenn die gelebte Praxis den Vorgaben gerecht wird und im Zweifel einer Überprüfung standhält. In jedem Fall lohnt es sich, das Thema Homeoffice im Blick zu behalten.

Welche IT-Geräte laufen im Homeoffice?

Im Homeoffice kommt oft eine ganze Menge an IT-Geräten zum Einsatz: PC oder Notebook, Maus, Tastatur, Bildschirm, Router, Drucker . Dazu kommen Speichergeräte wie mobile Festplatten oder USB-Sticks , Telefone wie Smartphone, Festnetztelefon, älteres Mobiltelefon, Webcam, Headset usw. Und bei manchem steht neben dem heimischen Schreibtisch sogar ein Aktenvernichter .

Das Unternehmen sollte folgende Fragen klären:

Mit welchen Geräten werden personenbezogene Daten verarbeitet ?
Wie werden diese Daten verarbeitet ?
Welche Maßnahmen zum Schutz der Daten wurden ergriffen?
Wem gehören die Geräte? Stellt das Unternehmen sie bereit oder sind sie privat?
Sind möglicherweise weitere Geräte im Einsatz , auch nur vorübergehend?

Arbeitgeber müssen Kontrollen durchführen . Dazu sind sie gesetzlich verpflichtet, unter anderem durch die gesetzlichen Regelungen der Datenschutz-Grundverordnung ( DSGVO ). Klar wird schnell: Ohne eine aktuelle und vollständige Liste der Homeoffice-Geräte lässt sich die Sicherheit von Daten und IT am heimischen Schreibtisch kaum überprüfen.

"Ohne eine aktuelle und vollständige Liste der Homeoffice-Geräte lässt sich die Sicherheit von Daten und IT am heimischen Schreibtisch kaum überprüfen."

Risiken mit dienstlichen und privaten Geräten

Die Risiken rund um die Homeoffice-IT sind vielfältig. Heikel ist vor allem der Fall, wenn dienstliche und private Geräte miteinander verbunden werden und dabei nicht oder nicht ausreichend geschützt sind.

Wie will ein Arbeitgeber sicherstellen, dass geschäftliche Daten auf einem privaten Gerät nur für geschäftliche Zwecke verwendet und danach verlässlich und dauerhaft gelöscht werden? Wie will ein Arbeitgeber gewährleisten, dass im Homeoffice keine unbefugten Personen auf diese Daten zugreifen ? Wie will ein Arbeitgeber garantieren, dass die Sicherheits- und Datenschutzregeln , die im Büro hoffentlich selbstverständlich sind, auch im Homeoffice gelten ?

Immerhin gilt: Verstöße können teuer werden.

DSGVO und Datenschutz im Homeoffice

Die Datenschutz-Grundverordnung schreibt in Artikel 4 fünf Schutzmaßnahmen vor, die im Zusammenhang mit personenbezogenen Daten mindestens einzuhalten sind: Eine „Verletzung des Schutzes personenbezogener Daten“ ist „eine Verletzung der Sicherheit, die zur Vernichtung , zum Verlust oder zur Veränderung , ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.“

Die Pflicht des Verantwortlichen im Falle eine Schutzverletzung nennt Artikel 33: „ Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden , nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde .“ Um eine solche Schutzverletzung , sprich: Datenpanne zu vermeiden , muss der Verantwortliche die Arbeitssituation im Homeoffice kennen .

Tipps für sicheren Datenschutz im Homeoffice

Erstellen Sie eine Liste der informationstechnischen Systeme und Geräte, die am Homeoffice-Arbeitsplatz eingesetzt werden.
Vermerken Sie bei jedem Gerät, wem es gehört – ob es sich also um ein dienstliches oder ein privates Gerät handelt.
Prüfen Sie für dienstliche Geräte, ob sie hinsichtlich Informationssicherheit und Datenschutz so in die Infrastruktur des Unternehmens eingebunden sind, dass die üblichen Sicherheitsmaßnahmen greifen . Ist das nicht sichergestellt, vermerken Sie es.
Treffen Sie verbindliche Vereinbarungen ,

wie mit privaten Geräten (vor allem Router und Telefon) umzugehen ist
wie die Einbindung in die Infrastruktur des Unternehmens erfolgt
wie mit personenbezogenen Daten auf diesen Geräten umzugehen ist
und, besonders wichtig, wie nach Ende der Tätigkeit im Home-Office sichergestellt werden kann, dass diese Daten vom privaten Gerät gelöscht werden.

Diese Liste bildet die Grundlage für alle weiteren Schritte für IT-Sicherheit und Datenschutz im Homeoffice . Mit ihrer Hilfe treffen Sie rechtsverbindliche Vereinbarungen mit den Beschäftigten .

Die Kernfrage lautet: Sind alle Geräte bekannt und dokumentiert, die im Homeoffice für die Verarbeitung von personenbezogenen Daten aus dem Unternehmen verwendet werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Homeoffice sicher und DSGVO-gerecht regeln

Wir beraten gerne. Lösungsorientiert und praxisnah.

Betroffenenrechte im Arbeitskreis Datenschutz

Mon, 19 Jun 2023 16:19:43 GMT

Datenschutz-Betroffenenrechte endlich sicher umsetzen. Teil 1 im Arbeitskreis Datenschutz

Endlich die Datenschutz-Betroffenenrechte professionell und rechtssicher umsetzen! In vier Themenblöcken widmet sich der Datenschutz-Arbeitskreis von Team Datenschutz den Betroffenenrechten nach DSGVO. In Teil 1 gibt es einen Überblick über die Rechte betroffener Personen. Nicht verpassen, anmelden!

Termin am Donnerstag, 22. Juni 2023

Teil 1: Überblick über die Datenschutz-Betroffenenrechte

Die Datenschutz-Grundverordnung (DSGVO) ist entstanden, weil Maximilian Schrems von Facebook seine Daten nicht zurückbekommen hat. Folgerichtig sind die Betroffenenrechte ein Kernelement der DSGVO ist der Bereich der Betroffenenrechte. Die DSGVO gibt es jetzt seit 5 Jahren. Zeit, ein erstes Resümee zu ziehen.

Kennen Sie alle Betroffenenrechte? Wahrscheinlich hatten Sie schon mal mit dem Thema Recht auf Auskunft oder Recht auf Löschung zu tun. Und die Informationspflicht ist ja auch fast Tagesgeschäft.

Geldbußen? Eher nicht in Deutschland. Schadenersatz? Oh ja, das kommt jetzt immer mehr. Abfindungen als Gegenpreis für den Verzicht auf Auskunft im Beschäftigtenverhältnis? Kommt leider immer mehr.

Daher wollen wir uns im ersten Teil des Blocks über Betroffenenrechte einen Überblick verschaffen . Was gehört alles zu den Betroffenenrechten? Was müssen wir beachten? Was ist 2018 angekündigt gewesen - und was ist gekommen? In einem Ausblick wollen wir uns ansehen, wie umfangreich eine Anfrage auf Auskunft werden kann, und wir werden einen Ausblick wagen auf die weiteren Teile der Arbeitskreis-Sitzungen zu den Betroffenenrechten.

Agenda

Das erwartet uns:

Übersicht über die Betroffenenrechte nach der DSGVO
Art. 13 und 14 – Informationspflicht
Art. 15 Auskunftsrecht der betroffenen Personen
Art. 16 Recht auf Berichtigung
Art. 17 Recht auf Löschung
Art. 18 Recht auf Einschränkung der Verarbeitung
Art. 19 Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung
Art. 20 Recht auf Datenübertragbarkeit
Art. 21 Widerspruchsrecht
Art. 22 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
Art. 23 Beschränkungen
Die Fristen, der Ablauf, Geldbußen und Schadenersatz

Jetzt die Arbeitskreise kennenlernen

Sie kennen die Arbeitskreise Datenschutz noch nicht? Dann schnuppern Sie doch mal herein! Nehmen Sie online an zwei Veranstaltungen teil zum Kennenlernpreis von 59 € netto.

Sie erhalten Musterunterlagen und dürfen sich Themen wünschen wie alle regulären Teilnehmenden. Jetzt ausprobieren!

Der Datenschutz-Arbeitskreis zu Betroffenenrechten

Seien Sie dabei! Steigen Sie zusammen mit Moderator Eberhard Häcker und den Teilnehmenden aus verschiedenen Unternehmen ein ins Thema Betroffenenrechte.

Freuen Sie sich auf spannende 90 Minuten!

Termin Teil 1

Donnerstag, 22. Juni 2023

14:30 bis 16:00 Uhr

Sie kennen den Datenschutz-Arbeitskreis noch nicht?

Dann schnuppern Sie doch einfach herein und überzeugen sich selbst!

Zu den Arbeitskreisen Datenschutz

Alle Infos, Abos und Anmeldung.

Die nächsten Termine im Arbeitskreis

Betroffenenrechte nach DSGVO

Arbeitskreis klassischer Datenschutz

Donnerstag, 22. Juni 2023:
Betroffenenrechte – Teil 1
Überblick über die Rechte betroffener Personen
Donnerstag, 20. Juli 2023:
Betroffenenrechte – Teil 2
Recht auf Auskunft – Beispiel Beschäftigtendaten
Termin am Donnerstag, 21. September 2023
Betroffenenrechte Teil 3
So lege ich eine Übersicht mit allen in Frage kommenden Betroffenendaten an
Termin am Donnerstag, 26. Oktober 2023
Betroffenenrechte Teil 4
So geht die Auskunftserteilung rasch und fehlerfrei über die Bühne

Jetzt anmelden und dabei sein im Arbeitskreis Datenschutz!

Mobile Apps auf Datenschutz prüfen

183:832032422 (Eberhard Häcker) — Wed, 17 May 2023 10:21:05 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Mobile Apps auf Smartphones, Tablets & Co. sind in Unternehmen Alltag. Haben Sie den Umgang damit geregelt? Wenn Mitarbeitende beliebige Apps herunterladen und installieren können, wird es heikel für Datenschutz, Informationssicherheit und Compliance. Was hilft, ist ein Mobile Device Management mit klaren Regeln. Wir geben Tipps.

Immer im Einsatz: Mobile Apps

Alle mobilen Geräte nutzen Applications (Applikationen, Anwendungen). Allein bei Microsoft 365 kommen eine Menge davon zusammen, die sowohl mobil als auch stationär im Einsatz sein können.

Mit all diesen Apps werden personenbezogene Daten verarbeitet. Damit mobile Anwendungen sicher sind und keine Datenschutzregeln brechen, braucht es technische Lösungen, mit denen sich die mobilen Endgeräte zentral verwalten lassen. Mit einem Mobile Device Management (MDM) können Sie alle technischen und organisatorischen Maßnahmen bündeln, um mobile Endgeräte wie Smartphones und Tablets zu konfigurieren und abzusichern . Zum MDM gibt es einen Server und einen Client auf den mobilen Anwendungen.

Das MDMS (Mobile Device Management System) sollte verhindern, dass auf mobilen Geräten beliebige Software installiert werden kann. Ist also ein funktionierendes MDMS vorhanden, haben Anwender grundsätzlich keine Chance, eigene Apps ohne Erlaubnis (und womöglich ohne Rücksicht auf Sicherheits- und Datenschutzstandards) zu installieren und zu nutzen.

Datenschutz sichern im MDM

Ist ein MDM im Einsatz, sollten Datenschutzbeauftragte in regelmäßigem Kontakt zur IT stehen und in Erfahrung bringen, nach welchen Regeln mobile Anwendungen konfiguriert, gewartet und auf Sicherheit geprüft werden. Verletzungen der Sicherheit führen meist auch zu Datenschutzverletzungen . Datenschutzbeauftragte sollten bei Prüfkriterien und Einstellungen des MDM beteiligt sein, um die Anforderungen des Datenschutzes sicherzustellen .

Nutzung außerhalb des Regelwerks ist leider möglich

Bei Apple gibt es kein klassisches MDM; hier heißt das Apple Business Manager . Unternehmen können ihn grundsätzlich kostenfrei nutzen. Allerdings: Standardmäßig können Anwender damit eigene Apps aus dem Appstore laden und installieren. Die sind zwar von Apple geprüft, aber das ist natürlich keine Garantie, dass alle Anwendungen den Anforderungen an Compliance, Informationssicherheit und Datenschutz Ihres Unternehmens genügen.

Anwender tragen einen Teil der Verantwortung

Damit kann die Organisation nur dann rechtlich und IT-technisch sichere Apps zur Verfügung stellen, wenn es ein geschlossenes Mobile Device Management gibt – oder entsprechende organisatorische Maßnahmen getroffen sind, die eine Verletzung von Regelungen zur Compliance, zur Informationssicherheit und zum Datenschutz unwahrscheinlicher machen. Einen Teil der Verantwortung müssen in diesem Fall die beschäftigten Personen tragen. Dann entscheiden sie selbst , ob eine App den rechtlichen und sicherheitstechnischen Anforderungen des Unternehmens entspricht.

Schulungen sind notwendig

Sollen die Beschäftigten selbst entscheiden, müssen sie zum einen wissen: Nicht alles, was geladen werden kann, entspricht der Compliance und ist technisch sicher. Und sie müssen Kriterien kennen , nach denen sie entscheiden. Die Erfahrung lehrt, dass beides mit entsprechenden Sensibilisierungen und Schulungen funktionieren kann.

Risiken unkontrollierter App-Nutzung

Risiko Nr. 1: Compliance-Verstöße

Mögliche Compliance-Verstöße sind vielfältig . Das beginnt im Einkauf, setzt sich in der Produktion fort, betrifft auch Geheimnis-Verrat und endet häufig vor Gericht. Dass auch mit der nicht kontrollierten Nutzung von Apps Compliance-Verstöße begangen werden können, ist weniger geläufig. Wann immer berechtigte Regeln missachtet werden, kann ein Compliance-Verstoß vorliegen. Beispielsweise, wenn ein Kollege aus dem Vertrieb Details zu seinem neuen Großauftrag mit den WhatsApp-Freunden teilt, obwohl dafür Vertraulichkeit vereinbart wurde.

Risiko Nr. 2: Informationssicherheits-Verstöße

Wenn Apps Namen erheben und weiterleiten , kann dies zu erheblichen Verletzungen der Informationssicherheit führen. Wenn beispielsweise die Assistenz eines Vorstandsvorsitzenden eines börsennotierten Konzerns die Buchungs-App eines Online-Reisebüros nutzt und dort die Namen der Reisenden nicht angemessen geschützt sind, kann bekannt werden, dass besagte Führungskraft immer wieder in einem Hotel in der Nähe eines asiatischen Mitbewerbers übernachtet. Ist möglicherweise eine Geschäftsübernahme geplant? Wird so etwas bekannt, obwohl bei solchen Verhandlungen natürlich Vertraulichkeit gilt, kann der Deal platzen und hohe finanzielle Einbußen nach sich ziehen.

Risiko Nr. 3: Datenschutzverstöße

Natürlich können bei ungeregelter Nutzung von Apps auch massive Verstöße gegen Datenschutzregeln vorkommen. Werden beispielsweise Daten getrackt oder geloggt und damit die Vertraulichkeit verletzt, hängen die möglichen Folgen am Schutzbedarf der Daten. Gesundheitsdaten etwa haben einen hohen Schutzbedarf . Entsprechend drohen hohe Geldbußen .

Nutzung von Apps regeln lohnt sich

Ein MDM einzuführen oder angemessene organisatorische Maßnahmen festzulegen, zahlt sich in der Regel schnell aus. Beides sollten Sie gut planen. Übrigens: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im September 2022 den Mindeststandard für Mobile Device Management auf die Version 2.0 aktualisiert.

"Die Organisation kann nur dann rechtlich und IT-technisch sichere Apps zur Verfügung stellen, wenn es ein geschlossenes MDM gibt – oder entsprechende organisatorische Maßnahmen getroffen sind."

Mobile Device Management und Datenschutz

Mögliche Schutzverletzung

Um eine Verletzung des Datenschutzes handelt es sich immer dann, wenn personenbezogene Daten unbefugt oder auch unabsichtlich kopiert, vernichtet oder verändert werden, wenn personenbezogene Daten unbefugt offengelegt werden oder wenn unbefugt darauf zugegriffen wird. All diese Vorfälle lösen grundsätzlich eine Meldepflicht an die Aufsichtsbehörde für den Datenschutz aus. Das gilt zumindest, wenn mögliche Risiken für die Grundrechte und Grundfreiheiten der betroffenen Personen nicht ausgeschlossen sind.

Rechenschaftspflicht

Hat Ihr Unternehmen durch geeignete technische und organisatorische Maßnahmen dafür gesorgt, dass entsprechende Schutzverletzungen bei App-Nutzung verhindert werden , sind Sie in Sachen Datenschutz auf der sicheren Seite. Haben Sie das versäumt oder können es nicht nachweisen und die Datenschutz-Aufsichtsbehörde erfährt davon, kann diese Maßnahmen bis hin zu einem Bußgeldverfahren einleiten.

MDM einführen und aktuell halten

Verantwortliche in Organisationen sollten also im eigenen Interesse definieren, was in Sachen Compliance, Informationssicherheit und Datenschutz gilt. Richten Sie zeitnah ein MDMS ein, das Regelverletzungen definiert und, soweit technisch möglich, verhindert . Denken Sie daran, die betroffenen Mitarbeitenden angemessen zu sensibilisieren.

"Nicht alles, was geladen werden kann, entspricht der Compliance und ist technisch sicher."

6 Schritte zum datenschutzgerechten
Mobile Device Management

1. Mobile Device Management einführen

Stellen Sie sicher, dass ein Mobile Device Management eingeführt ist – oder die Entscheidung dagegen gut begründet ist.

2. Verantwortlichkeit kommunizieren

Falls sich das MDM umgehen lässt (beispielsweise im App-Store), stellen Sie sicher, dass die Beschäftigten ihre Verantwortung kennen und akzeptieren.

3. Sensibilisieren

Sensibilisieren Sie die Beschäftigten für die Gefährdungen beim Umgang mit mobilen Apps. Entwickeln Sie geeignete Maßnahmen wie Schulungen oder Schulungsvideos , führen Sie sie durch und vergessen Sie nicht, sie angemessen zu dokumentieren .

4. Whitelist einrichten

Richten Sie, wenn möglich, eine Whitelist für erlaubte Apps ein und regeln Sie, nach welchen Kriterien weitere Apps aufgenommen werden.

5. Weiterleitung verhindern

Soweit es technisch möglich ist, unterbinden Sie die Weiterleitung von vertraulichen oder personenbezogenen Daten auf private Geräte sowie den Zugriff auf solche Daten durch Apps.

6. Folgen klären

Wenn die Verhinderung der Weiterleitung nicht möglich ist, weisen Sie beschäftigte Personen in aller Deutlichkeit auf die Gefährdungen hin, setzen Sie Konsequenzen bei Verstößen fest und stellen Sie sicher, dass diese umgesetzt werden .

Und die Kernfrage:

Ist sichergestellt, dass Apps vor dem Einsatz verlässlich auf Compliance, Informationssicherheit und Datenschutz geprüft werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

BSI-Standards gekonnt umsetzen

mit Team Datenschutz

Passgenaue Analyse. Klare Maßnahmen. Praxisnahe Lösungen.

13 Tipps, um Datenpannen an Druckern zu vermeiden

Thu, 04 May 2023 07:30:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

In vielen deutschen Unternehmen sind Drucker und Multifunktionsgeräte echte Stolpersteine bei Datenschutz und Datensicherheit. Was kann am Kopierer schiefgehen und wie vermeidet man Datenschutzverstöße? Wir geben Tipps, damit es an Druckern, Kopierern & Co. gar nicht erst zu Datenpannen kommt.

Drucker zugänglich für jeden?

Drucker, Kopierer und Multifunktionsgeräte sind wichtige Geräte für den Arbeitsalltag. Da mit ihnen immer wieder auch sensible Personendaten verarbeitet werden, stellt sich die Frage: Sind die Geräte und die damit verarbeiteten Daten gut genug vor unbefugtem Zugriff geschützt?

Immer wieder ist zu beobachten, dass beispielsweise in einer Arztpraxis ein Multifunktionsgerät in der Nähe des Wartezimmers steht, beispielsweise neben dem Empfang. Wenn kurzzeitig alle dort Arbeitenden den Raum verlassen, können wartende Patientinnen und Patienten leicht auf ausgedruckte Unterlagen zugreifen .

Auch immer wieder zu sehen: Das Multifunktionsgerät im Kundencenter der Stadtwerke in der Nähe des Empfangs, wo Besucherinnen und Besucher warten . Auch dort gehen Druckaufträge ein, auch dort werden sensible Unterlagen verarbeitet .

Immer wieder sind Drucker, Kopierer oder Multifunktionsgeräte in Fluren nahe der Schulungsräume oder Besprechungsräume aufgestellt, wo natürlich auch Externe Zutritt haben und etwa auf dem Weg zur Toilette oder zur Pause unbegleitet vorbeikommen.

Standort und Einstellungen von Multifunktionsgeräten

Wo stellt man Drucker und Kopierer am besten auf? In vielen Unternehmen stehen sie leider nicht so, dass ein Zugriff durch Unbefugte ausgeschlossen werden kann – obwohl die Geräte sensible Daten verarbeiten. Es passiert schnell, dass Besucher sehen , was da gerade gedruckt wird oder was ausgedruckt, aber nicht abgeholt wurde.

Denn: Oft sind Multifunktionsgeräte so eingestellt, dass gleich nach Absenden des Druckauftrags der Ausdruck startet . Dem Gerät ist dabei egal, ob jemand danebensteht oder den Auftrag vom Schreibtisch aus schickt der und es allein munter vor sich hinarbeitet. Die Folge: Ausdrucke liegen für jeden zugänglich im Ausgabefach . Wem würde auffallen, wenn sie fehlen?

"Könnte es in Ihrem Unternehmen zu Drucker-Datenpannen kommen, die Sie gar nicht bemerken?"

Der richtige Standort für Drucker und Kopierer

Dabei gibt es mehrere Möglichkeiten, das zu verhindern. Stellen Sie Multifunktionsgeräte in Bereichen auf, wo nur Befugte Zutritt haben. Ist das nicht praxistauglich, platzieren Sie sie dort, wo sie immer im Blickfeld einer verantwortlichen Person sind. Bedenken Sie aber: Jeder muss seinen Arbeitsplatz hin und wieder kurzfristig verlassen. Ohne Stellvertreterregelung ist das Gerät dann schnell doch wieder unbeaufsichtigt. Für diesen Fall treffen Sie verlässliche Regelungen.

Manche Unternehmen haben sich für einen anderen Weg entschieden: Hier sind die Drucker und Kopierer so eingestellt, dass Ausdrucke erst erfolgen , wenn die befugte Person dort eine PIN-Nummer eingibt oder sich anderweitig authentifiziert . Diese Lösung hat viele Vorteile und nur einen kleinen Nachteil: Bei größeren Druckaufträgen erhöht sich die Wartezeit am Drucker.

Unternehmen und Organisationen sollten prüfen, wie groß das Risiko hinsichtlich Eintrittswahrscheinlichkeit und Schadenshöhe für die Rechte von betroffenen Personen bei unbefugter Einsicht von Ausdrucken ist, und entsprechende Vorkehrungen treffen. Schützen Sie alle Geräte , an denen Daten mit einem hohen Maß an Vertraulichkeit ausgedruckt werden.

Datenschutz an Druckern & Co.

Wenn Unbefugte sensible ausgedruckte Daten in unbeobachteten Druckern entnehmen und einsehen können, handelt es sich um eine Verletzung des Schutzes personenbezogener Daten, sprich: eine Datenpanne . Prüfen Sie gemäß Artikel 33 DSGVO , ob Sie den Vorfall der Datenschutz-Aufsichtsbehörde melden müssen.

Das Heimtückische an Drucker-Datenpannen ist, dass unbefugt entnommene Druckunterlagen in der Regel kein Aufsehen erregen. Wer den Ausdruck angestoßen hat, kommt zum Gerät und sucht nach dem Ausdruck, findet ihn nicht, vermutet vielleicht eine technische Störung und wird den Vorfall normalerweise nicht weiter beachten. Wer denkt in einem solchen Fall schon daran, dass sich jemand für die eigene Arbeit interessieren könnte?
Mutmaßlich kommt es viel öfter zu solchen Vorfällen, als wir alle vermuten.

Was meinen Sie: Könnte es in Ihrem Unternehmen zu Drucker-Datenpannen kommen, die Sie gar nicht bemerken ?

Damit solche Vorfälle dem Verantwortlichen nicht auf die Füße fallen, helfen einige einfache Vorkehrungen . Mit den richtigen technischen und organisatorischen Maßnahmen lassen sich Datenschutz-Verletzungen weitgehend ausschließen .

"Mutmaßlich kommt es viel öfter zu solchen Vorfällen, als wir alle vermuten."

13 Tipps für mehr Datenschutz
an Druckern, Kopierern & Co.

Geräteliste
Sammeln Sie, wo überall Drucker, Kopierer oder Multifunktionsgeräte stehen.
Erstellen Sie eine Liste, auf der Sie die Geräte und ihre Standorte vermerken.
Berechtigungen
Stellen Sie fest, wer überhaupt berechtigt ist , an Druckern, Kopierern oder Multifunktionsgeräten zu drucken oder Daten zu übertragen.
Schutzbedarf
Ermitteln Sie den Schutzbedarf der personenbezogenen Daten , die über Drucker, Kopierer oder Multifunktionsgeräte ausgedruckt werden.
Drohende Datenpannen
Prüfen Sie für jedes einzelne Gerät, ob die Schutzmaßnahmen ausreichen oder Schutzverletzungen drohen .
Standorte verbessern
Prüfen Sie, ob die Geräte so aufgestellt sind (oder werden können), dass nur befugte Personen Zutritt haben, beispielsweise über ein angemessenes Schließsystem .
Druck mit Authentifizierung
Prüfen Sie, ob es technisch oder organisatorisch geregelt ist, dass Ausdrucke an Druckern, Kopierern und Multifunktionsgeräten erst erfolgen, wenn man sich beispielsweise durch eine PIN-Nummer authentifiziert hat.
Datenschutzfreundliche Druckausgabe
Stellen Sie an allen Geräten ein, dass Ausdrucke mit dem Druckbild nach unten ausgegeben werden.
Verlorene Ausdrucke regeln
Prüfen Sie, wie mit „vergessenen“ oder fehlgeleiteten Ausdrucken umgegangen wird. Gibt es dafür eine verbindliche Regelung ? Wenn nicht, erstellen Sie sie.
Unterlagen sicher entsorgen
Prüfen Sie, ob es neben dem Drucker, Kopierer oder Multifunktionsgerät bzw. in unmittelbarer Nähe eine Möglichkeit zur sicheren Entsorgung von Unterlagen gibt, beispielsweise einen Partikel-Schredder oder eine Datentonne .
Verantwortlichkeit klären
Prüfen Sie, ob für alle Drucker, Kopierer und Multifunktionsgeräte eine verantwortliche Person benannt ist, die grundsätzlich in der Nähe dieses Gerätes ist. Legen Sie fest, für welche Geräte eine Stellvertreterregelung sinnvoll ist.
Maßnahmen prüfen
Führen Sie regelmäßig Sichtprüfungen durch, ob die Sicherheitsmaßnahmen ausreichen oder es trotz der Maßnahmen zu Datenpannen kommen kann.
Mitarbeitende einweisen
Prüfen Sie, ob alle zur Nutzung von Kopierern & Co. berechtigten Personen eine angemessene Einweisung in ihre Tätigkeit und den Umgang mit Unterlagen beim Ausdruck erhalten haben.
Regelmäßig auffrischen
Stellen Sie sicher, dass alle zur Nutzung von Druckern, Kopierern und Multifunktionsgeräten berechtigten Personen regelmäßige Auffrischungsschulungen erhalten, in denen sie auf die Gefahren durch unbefugte Zugriffe auf personenbezogene Daten an Multifunktionsgeräten hingewiesen werden.

Und die Kernfrage:

Haben Sie sichergestellt, dass es im Zusammenhang mit Druckern, Kopierern und Multifunktionsgeräten nicht zu Schutzverletzungen personenbezogener Daten durch unbefugte Zugriffe von Dritten kommen kann?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

4 Tipps für mehr Ordnung und Datenschutz im E-Mail-Postfach

Tue, 25 Apr 2023 12:50:25 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Ordnung und Chaos im E-Mail-Postfach

Wie sieht es in Ihrem E-Mail-Postfach aus? Überschaubar, Sie finden sich schnell zurecht (so wie ungefähr 5 % aller User)? Oder ausufernd und alles andere als überschaubar (geschätzt 95 % aller User)?
Nicht selten beinhalten Postfächer tausende von Mails . Viele sind unsortiert, viele werden viel zu lange aufgehoben oder, noch schlimmer, in Archivordner geschoben, ohne dass sie gesichtet wurden (oder je wieder angesehen werden). Hier ist der Verstoß gegen die Löschvorgaben der Datenschutzgrundverordnung programmiert. Und dazu kann und darf nur die nutzende Person an das Postfach.

Wenn jemand das Unternehmen verlässt (sei es wegen Kündigung oder Ruhestand ), kommt entweder der große Kahlschlag ( alle Mails löschen , garantiert mit Verstoß gegen Aufbewahrungsfristen ) oder man überlässt das Aufräumen anderen – was wiederum oft Verstöße gegen revisionssicheres Aufbewahren oder gegen Aufbewahrungsvorschriften mit sich bringt.
Ganz ehrlich – wie oft haben Sie sich vorgenommen, das endlich zu ändern?

Mails löschen und Datenschutz

Dokumente löschen lässt sich organisieren. Mails löschen auch , wenn man es richtig vorbereitet.
Jede Organisation muss personenbezogene Daten löschen , wenn die Aufbewahrung nicht mehr erforderlich ist, so will es die Datenschutzgrundverordnung laut Artikel 17. Dies gilt für KRITIS-Unternehmen besonders . Ansonsten drohen hohe Geldbußen. Außerdem können noch vorhandene Dokumente (die eigentlich gelöscht sein müssten) gegen die Organisation verwendet werden, beispielsweise bei Betriebsprüfungen oder Zertifizierungen .

Mails nicht rechtzeitig zu löschen oder nicht revisionssicher aufzubewahren , wenn es rechtlich geboten ist, ist immer kritisch. Aber wer kann überhaupt entscheiden, ob Mails gelöscht werden dürfen oder aufgehoben werden müssen? In der Regel nur die Postfacheigner , manchmal in Kooperation mit Vorgesetzten .

Regelmäßig Mails aufräumen

Mailpostfächer müssen durchforstet werden , daran führt kein Weg vorbei. Was weg muss, muss gelöscht werden, was revisionssicher aufbewahrt werden muss, muss weggeräumt werden.
Damit das nicht zu einer gigantischen Aktion am Jahresende ausufert, empfehle ich, Postfächer regemäßig zu durchforsten und unnötige Mails zu löschen . Damit das klappt, tragen Sie sich regelmäßig , je nach Mailvolumen einmal wöchentlich oder einmal im Monat, einen Termin in den Kalender ein („Mails prüfen“). Dann nehmen Sie sich alle Mails seit dem letzten Mal „Mails prüfen“ vor – und löschen alle, die Sie nicht mehr brauchen. Faustregel: Außer den Mails, die definitiv revisionssicher aufzubewahren sind, kann meist alles gelöscht werden, was bearbeitet ist und nicht mehr benötigt wird.

"Jede E-Mail, die nicht online gespeichert werden muss, spart CO ₂ ."

Mails sinnvoll sortieren

Wetten, dass Sie mehr als zwei Drittel Ihrer Mails nicht mehr brauchen – und nicht aufbewahren müssen? Ausnahme: Sie nehmen das Löschen auch zwischen den „Mails prüfen“-Aktionen sehr ernst und löschen (nahezu) täglich. Was vorbildlich wäre!

Wenn Sie sich nicht sicher sind, legen Sie sich einen Ordner an, in dem Sie solche Mails noch eine Zeitlang aufheben . Dann sichten Sie im Monatstermin „Mails prüfen“ zusätzlich Ihren „Unsicherheitsordner“ und räumen auch dort auf . Wetten, dass es ein gutes Gefühl ist, endlich ein aufgeräumtes Postfach zu haben?

Übrigens : Jede Mail, die nicht online gespeichert werden muss, spart CO ₂ . Allein dafür lohnt es sich, oder?

Tipps für ein aufgeräumtes Mail-Postfach

1. Gehen Sie voran! Fassen Sie den festen Entschluss, die Mailpostfächer regelmäßig auszumisten .
2. Planen Sie. Tragen Sie sich einen regelmäßigen Termin ein, wann Sie Mails durchforsten und alle überflüssigen löschen.
3. Tauschen Sie sich aus. Nicht sicher, ob eine Mail aufzubewahren ist oder gelöscht werden kann? Sprechen Sie sich mit Vorgesetzten ab.
4. Tragen Sie Verantwortung! Bewältigen Sie vorbildlich die E-Mail-Flut , schaffen Sie Ordnung und tun nebenbei der Umwelt etwas Gutes .

Und die Kernfrage: Haben Sie sichergestellt, dass zu löschende E-Mails gelöscht werden und aufzubewahrende Mails (bei Bedarf revisionssicher) aufbewahrt werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Betroffenenrechte | Das Live-Webinar

Fri, 21 Apr 2023 08:57:33 GMT

Auskunft, Löschung & Co. endlich sicher managen

Was Unternehmen immer wieder vor Herausforderungen stellt: die Rechte, die die DSGVO Betroffenen von Datenverarbeitung gibt. Recht auf Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung usw. Gar nicht so leicht, immer alles richtig zu machen. Verstöße sind zahlreich - und gehen oft Hand in Hand mit Imageverlust, Geldbußen und Schadenersatz.

Wussten Sie, dass eine Missachtung von Betroffenenrechten der DSGVO überhaupt erst den Anstoß gab? Der damalige Student Max Schrems zog gegen Facebook ins Feld, damit der Konzern seine persönlichen Daten löscht. In der Folge brachte die EU die Datenschutz-Grundverordnung auf den Weg.

Das Recht auf Auskunft

Allein das Recht auf Auskunft wirft bei vielen Fragen auf. Was tun, wenn Kundinnen oder Mitarbeitende Auskunft verlangen , welche persönlichen Daten das Unternehmen alle über sie speichert?

Welche Rechte haben Betroffene und welche Verstöße passieren am häufigsten ? Ein Schwerpunkt des Webinars sind Auskunftsanfragen . In welcher Form müssen Sie Auskunft erteilen? Was gehört alles in die Antwort und was nicht? Wie stellen Sie ohne Rechtsbrüche sicher, dass Antragsteller überhaupt die sind, die sie zu sein behaupten ?

Das und mehr klärt das Live-Webinar

Betroffenenrechte nach DSGVO

Auskunft, Löschung und Co. professionell managen

Wir stellen vor, wie Sie Licht ins Datendickicht bringen, geben wertvolle Tipps und zeigen, wie Sie Betroffenenanfragen strukturiert beantworten . Erfahren Sie, wie Sie ab sofort nichts mehr übersehen ! Dazu gibt es einen Ausblick, was in Sachen Betroffenenrechte in Zukunft auf Unternehmen zukommen könnte.

Nächster Termin

Donnerstag, 4. Mai 2023
von 9:30 bis 12:00 Uhr

Teilnahme online als Webkonferenz

Nicht verpassen, anmelden!

Wie Sie Daten auf USB-Sticks datenschutzgerecht löschen

Thu, 13 Apr 2023 14:25:24 GMT

Der Beitrag erschien am 13. April 2023 und wurde zuletzt überarbeitet am 13. Dezember 2024.

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

USB-Stick-Daten richtig löschen

Löschen von Dateien kann schnell gehen

Löschen geht manchmal schneller , als man je gedacht hätte. Angenommen, Sie haben eine Datei nur auf einem USB-Stick gespeichert . Wenn Sie das Programm nicht beenden , den Rechner auf Stand-by stellen und jemand den Stick einfach abzieht , dann kann es sein, dass die Datei unwiederbringlich gelöscht ist.

Besser nicht ausprobieren ! Ich musste deshalb mal einen ganzen Fachartikel neu schreiben. Damals, ich hatte Windows 7, konnte kein noch so trickreiches Hilfsprogramm meine Datei retten .

Ist Löschen auf USB-Sticks immer so einfach?

Wenn man nun aber absichtlich etwas löschen möchte, ist das wiederum nicht immer ganz so leicht. Nehmen wir wieder das Beispiel der USB-Sticks . Sind einfach nicht totzukriegen, die Dinger. Und sind, wenn man nichts unternimmt, brandgefährlich. Ein Beispiel? Geschenkte oder gefundene USB-Sticks können Schadcode enthalten , der sich nach dem Einstecken in den USB-Port heimlich, still und leise auf dem Rechner ausbreitet. Das kann man verhindern. Aber dafür muss man die Gefahr kennen – und man muss es tun .

Was passiert mit gelöschten USB-Stick-Daten?

USB-Sticks sind in vielen Unternehmen allgegenwärtig . Sie werden gerne genutzt, um Daten zu übertragen oder vorübergehend zu sichern . So weit, so gut. Oder schlecht, denn was dabei oft zu kurz kommt, ist das Löschen . Kein Problem, denkt der Windows-Profi, markiert die zu löschenden Dateien und wählt den Befehl „Löschen“ . So, Daten gelöscht.

Wirklich? Leider nicht. Auch wenn sie nicht mehr angezeigt werden, sind die Daten weiterhin da . Das ist ungefähr so wie mit dem Inhaltsverzeichnis in einem Buch. Wenn Sie die Seiten mit dem Inhaltsverzeichnis herausreißen , ist der Rest des Buches ja auch noch da . Sie müssen nur vielleicht ein wenig suchen, um eine bestimmte Seite wiederzufinden.

Gelöscht heißt: Noch da. Vorläufig.

Lässt sich also auch die Datei auf dem Stick wiederfinden? Ja, und es ist nicht allzu schwer. Es gibt jede Menge kostenfreie Tools, die Gelöschtes wieder sichtbar machen.

Daten werden beim „Löschen“ nicht wirklich gelöscht . Vielmehr wird der Speicherplatz der Datei fürs Überschreiben freigegeben . Wenn Sie nach dem Löschen andere Dateien auf dem Stick speichern, kann es tatsächlich vorkommen, sozusagen zufällig, dass die neuen Dateien die alten (zumindest teilweise) überschreiben . Es gibt keine festen Regeln , welche Bereiche eines Sticks vorrangig überschrieben werden. Das hängt von der Speicherlogik ab.

Heißt also: Löschen mit dem Befehl „Löschen“ ist nicht verlässlich . Dass eine vom USB-Stick gelöschte Datei wiederhergestellt werden kann, ist allerdings auch nicht sicher .

Daten von Sticks löschen und der Datenschutz

Sobald die Dateien personenbezogene Daten beinhalten, kommt der Datenschutz ins Spiel. Wenn Sie personenbezogene Daten löschen möchten, achten Sie darauf, dass das Löschen nach den Regelungen der Datenschutzgrundverordnung (DSGVO) erfolgt. Sprich: dass Sie sicher und richtig löschen .

USB-Sticks im Homeoffice

Was alltäglich passiert: Auf einem USB-Stick werden vorübergehend personenbezogene Daten gespeichert . Diese sollen sicher übertragen werden. Ist die Übertragung fertig, drückt man auf Löschen und hält die Daten für gelöscht . Im Homeoffice wird der eingesetzte (womöglich private) Speicherstick als Nächstes womöglich von jemandem aus der Familie genutzt. Daraufhin tauchen die Daten wieder auf – an Orten, wo sie überhaupt nichts zu suchen haben. Und schon besteht ein Verstoß gegen gesetzliche Vorgaben zum Datenschutz . Denn laut DSGVO sind personenbezogene Daten zu löschen , wenn sie für ihren Verarbeitungszweck nicht mehr gebraucht werden. Vorsicht: „ Löschen “ meint hier das „ Unkenntlichmachen gespeicherter personenbezogener Daten“, und das muss dauerhaft sein. Die Löschtaste zu drücken, reicht hier also nicht.

Datenschutzpannen mit USB-Sticks

Wer das nicht weiß, glaubt, sich richtig zu verhalten, hat aber möglicherweise einen Datenschutzverstoß begangen. Tauchen personenbezogene Daten , die gelöscht sein müssten , wieder auf und entsteht dadurch ein Risiko für die Rechte und Freiheiten Betroffener, kommt eine Meldepflicht an die Datenschutz-Aufsichtsbehörde hinzu. Wer dieser Pflicht nachkommen will, muss aber erst einmal von dem Verstoß wissen . Wenn die Daten irgendwo wieder aufgetaucht sind, ist es womöglich zu spät.

Wie wahrscheinlich ist das? Dass eine Datei mit sensiblen personenbezogenen Daten auf dem Speichermedium für gelöscht gehalten wird, in die falschen Hände gelangt, wieder nutzbar gemacht und gegen den Verantwortlichen verwendet wird, ist eher unwahrscheinlich . Passiert es allerdings doch, kann der Schaden hoch sein .

Was verlangt der Datenschutz?

In Sachen Datenschutz gilt, was immer gilt: Sie müssen die betrieblichen Prozesse durch geeignete technische und organisatorische Maßnahmen so gestalten, dass Datenpannen vermieden werden. Wenn also USB-Sticks im Einsatz sind und darauf personenbezogene Daten gespeichert werden, müssen diese daraufhin „dauerhaft unkenntlich“ gemacht werden. Das geht am besten durch Überschreiben mit Zufallszeichen . Dafür gibt es kostenfreie Software , die auch nicht schwer zu benutzen ist. Nur, wie so oft: Man muss wissen, dass es geht, und es tun .

Wer also im Unternehmen USB-Sticks nutzt , muss wissen , wann Dateien zu löschen sind und wie das geht – und das muss dann auch umgesetzt werden.

Meine Tipps für DSGVO-konformes Löschen von USB-Sticks

Sicherstellen, dass USB-Sticks nur von beschäftigten Personen genutzt werden dürfen, die sie für ihre Arbeit brauchen .
Sicherstellen, dass nur USB-Sticks im Einsatz sind, die dem Unternehmen gehören und mit der richtigen Software versehen sind.
Dafür sorgen, dass auf ausgegebenen USB-Sticks ein Programm zum sicheren Löschen aufgespielt ist und die Nutzer wissen , wie man damit umgeht.
Sicherstellen, dass die Nutzer von USB-Sticks geschult werden, wie sie Daten von den Sticks sicher löschen.
Stichprobenartig überprüfen , ob auf eingesetzten USB-Sticks ausschließlich solche Dateien vorhanden sind, die aktuell erforderlich sind. Nicht mehr benötigte Dateien sind verlässlich zu löschen.
Diese Regelungen sind in eine entsprechende Sicherheitsrichtlinie oder Datenschutzrichtlinie aufzunehmen. Die jeweilige Richtlinie regelmäßig auf Aktualität und Vollständigkeit prüfen .

Und die Kernfrage: Ist sichergestellt, dass personenbezogene Daten auf USB-Sticks verlässlich und dauerhaft gelöscht werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Daten archivieren on Premises oder in der Cloud?

Wed, 29 Mar 2023 10:41:02 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Wie als Unternehmen Daten archivieren?

Jedes Unternehmen steht früher oder später vor der Frage, wie es Daten archiviert . Denn, klar: Wer Daten verarbeitet (und wer tut das nicht?), muss eine Lösung dafür finden, wo und wie sie aufbewahrt werden sollen. Immerhin gibt es ganz unterschiedliche Möglichkeiten. Zwei davon sind: auf dem eigenen Betriebsgelände oder in der Cloud .

Fakt ist: Beide Methoden zur Archivierung elektronischer Daten sind heute in fast jedem Unternehmen im Einsatz . Es zählt also weniger die Frage, wo die Daten liegen , als vielmehr, ob Sie im Katastrophenfall möglichst schnell weiterarbeiten können.
Um das sicherzustellen, gibt es hilfreiche Kriterien. Wer sie beachtet, kommt der optimalen Vorgehensweise bei der Datenarchivierung einen großen Schritt näher.

Datensicherung in der Cloud vs. On Premises

Vorteile der Datenarchivierung in der Cloud

Zunächst gibt es ein paar ganz praktische Gründe , die für eine Datenspeicherung in der Cloud sprechen. Wird das Back-up außerhalb des Unternehmens aufbewahrt, fällt das Risiko weg, dass die Datensicherung durch Vorkommnisse auf dem Firmengelände beschädigt oder zerstört werden könnte. Bei Speicherung in der Cloud braucht es zur Datensicherung keine eigene Hardware – schon mal keine Datenträger, die kaputt gehen könnten.

Auch ein Vorteil: Der Speicher in der Cloud lässt sich einfach erweitern . Ärgerlich, wenn Daten nicht mehr gespeichert werden können, da die Speicherkapazität erschöpft ist.

Im Falle einer erforderlichen Datenrücksicherung sind die Daten in der Cloud in der Regel ständig verfügbar . Auf dem Unternehmensgelände hingegen können Datensicherungen etwa in einem Nebengebäude eingeschlossen sein. Was, wenn im Ernstfall die Kollegin mit dem Schlüssel nicht erreichbar ist?

Ein Punkt, der immer wichtiger wird, sind die verfügbaren Fachkräfte . Bei eigener Datensicherung ist eine intensive Betreuung des Sicherungsvorgangs durch Administratoren erforderlich. Gute Fachkräfte sind rar – und schwer zu ersetzen , wenn sie das Unternehmen verlassen.

Für die Cloud gilt: Ist die Archivierung einmal eingerichtet , entfällt der Aufwand für betriebseigenen IT-Fachkräfte. Außerdem gelten in der Cloud (natürlich abhängig von den vertraglichen Vereinbarungen) normalerweise sehr hohe Sicherheitsstandards , die viele bei der Datenarchivierung on Premises kaum in vergleichbarer Form leisten können.

Hinzu kommt: Datensicherung in der Cloud kann sehr einfach eingekauft werden . Oft reichen wenige Minuten für eine Vertragserweiterung. Je nach aktueller Marktlage ist es nicht immer leicht, Prozessoren und physische Speicherkapazität für die Datensicherung auf dem Betriebsgelände einzukaufen , wenn Knappheit an Computerchips herrscht. Sind sie vorrätig, braucht es Zeit, bis sie beschafft, eingebaut und bereit sind – ganz anders als bei der Cloud.

Risiken der Datenarchivierung in der Cloud

Allerdings hat die Datenspeicherung in der Cloud nicht nur Vorteile , sie ist auch mit Risiken verbunden, die teilweise erheblich sind. Das größte Risiko ist ein typisch deutsches. Bei der Datenübertragung in die Cloud braucht es, logisch, eine Internetverbindung . Und in Sachen Bandbreite zählt hier nicht die Download, sondern der Upload. Da ist die Datenrate in den meisten Fällen erheblich niedriger als beim Download. Das deutsche Internet ist in vielen Regionen deutlich schwächer als in den Nachbarländern. So kann es passieren, dass wegen fehlender Bandbreite bei einer Komplettsicherung Tage oder gar Wochen vergehen , bis alle Daten in der Cloud angelangt sind. Ab einer gewissen Datenmenge wird man kaum eine Wahl haben, als zumindest für die erste Datensicherung die Daten auf physischen Datenträgern zum Rechenzentrum zu bringen.

Eine Herausforderung bei der Cloudnutzung sind die Bestimmungen der Datenschutzgrundverordnung (DSGVO) , dass das Rechenzentrum in der Europäischen Union liegen muss. Alternativ können Sie natürlich eine sichere Verschlüsselung wählen, hier müssen aber die Prozesse sicher sein. Viele Verantwortliche ereilt ein ungutes Gefühl, wenn das wichtigste Firmenvermögen, also die Daten, anderswo liegt . Sind sie dort wirklich sicher vor unbefugten Zugriffen ?

Eine echte Kontrolle über den Dienstleister ist nicht ohne weiteres möglich. Sicher, ein Rechenzentrum kann man auditieren. Ob man dabei aber verlässlich erfährt, wo die eigenen Daten liegen , gehört ins Reich der Spekulation. Die Aussage „ Auf diesem Server liegen Ihre Daten “ halte ich in den meisten Fällen eher für ein Gerücht als für eine Tatsache.

Webinar

Cloud? Aber sicher!

Teilnahme online

Donnerstag, 30. März 2023

9:30 bis 12:00 Uhr

Datenarchivierung und Datenschutz

Es ist eine der zentralen Anforderungen der technischen und organisatorischen Maßnahmen der DSGVO, dass personenbezogene Daten , die verarbeitet werden dürfen, verfügbar sein müssen . Das betrifft auch die Datensicherungen . Außerdem muss bei einem physikalischen oder technischen Zwischenfall gewährleistet sein, dass eine rasche Wiederherstellung der personenbezogenen Daten möglich ist.

Diese beiden grundlegenden technischen und organisatorischen Maßnahmen laut Artikel 32 der DSGVO erfordern also eine strukturierte Datensicherung , bei der es im Grunde genommen keine Rolle spielt, ob sie On Premises oder in der Cloud erfolgt. Als Betreiber müssen Sie gewährleisten (und in der Folge auch prüfen), dass diese Daten verfügbar und wiedereinspielbar sind. Dafür ist ein verlässliches Business Continuity Management (BCM) zwingend erforderlich.

Cloud vs. On Premises?

13 Tipps für eine DSGVO-konforme Datenarchivierung

Stellen Sie fest, ob die Systemverantwortlichen alle Daten und Programme klassifiziert haben: Welche Daten sind unerlässlich , auf welche Daten kann eine gewisse Zeit verzichtet werden, bei welchen Daten kann ein längerer Ausfall toleriert werden?
Gibt es eine Übersicht, welche Daten tatsächlich kritisch sind?
Gibt es gesetzliche Vorschriften oder Anforderungen aus der Compliance , die eine Auslagerung von Daten in die Cloud verbieten ?
Gibt es verlässliche Aussagen darüber, ob und wie ein erforderliches Recovery durchgeführt werden kann?
Wenn die Datensicherung in der Cloud erfolgt, stellen Sie die Gründe für die Speicherung in der Cloud zusammen.
Klären Sie, ob es eine Sammlung der Gründe gegen Datensicherung in der Cloud gibt.
Stellen Sie sicher, dass das Unternehmen die Gründe für und gegen eine Datensicherung in der Cloud gegeneinander abgewogen und entsprechende Rückschlüsse gezogen hat.
Klären Sie, ob es eine Dokumentation der Risiken bei Datensicherung in der Cloud gibt.
Klären Sie, ob es eine Dokumentation der Risiken bei Datensicherung auf dem Betriebsgelände gibt.
Klären Sie, wie mit den Risiken der Datensicherung in der Cloud umgegangen wird.
Klären Sie, wie mit den Risiken der Datensicherung on Premises umgegangen wird.
Erstellen Sie eine Übersicht , welche Daten wo und wie abgesichert sind und wie ein Recovery durchgeführt werden kann.
Prüfen Sie all diese Punkte in einer Richtlinie regelmäßig auf Anwendbarkeit, Vollständigkeit und Aktualität und passen Sie sie bei Bedarf an .

Und die Kernfrage: Wird mit einer strukturierten Risikoanalyse abgewogen, welche Form der Datensicherung das geringere Risiko darstellt?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Webinar

Cloud? Aber sicher!

Teilnahme online

Donnerstag, 30. März 2023

9:30 bis 12:00 Uhr

Neues Webinar: Cloud? Aber sicher!

Fri, 24 Mar 2023 15:13:13 GMT

Cloud-Computing sicher und DSGVO-konform nutzen

Kaum mehr ein Unternehmen arbeitet ohne Cloud-Anwendungen. Microsoft OneDrive, Google Drive, Apple iCloud, Amazon Web Services oder IBM Cloud sind nur wenige Beispiele, wie Organisationen Geschäftsdaten auf fremden Servern speichern und bearbeiten, mit Software as a Service Programme flexibel im Abo nutzen und sich die Anschaffung der notwendigen Hardware ersparen.

So weit, so praktisch. Aber was sollten Unternehmen im Umgang mit Cloud-Computing wissen ? Welche technischen Herausforderungen bringt es mit sich und was ist in Sachen Datenschutz zu beachten ?

Fragen wie diese beantwortet das Live-Webinar

Cloud? Aber sicher!

Erfahren Sie, wie Sie einen Überblick über die Cloud-Nutzung gewinnen, Cloud-Leistungen rechtskonform nutzen , Verträge prüfen und im Bedarfsfall einen reibungslosen Wechsel des Cloud-Dienstleisters ermöglichen. Außerdem: Wie Sie personenbezogene Daten in der Cloud DSGVO-gemäß verarbeiten , Verarbeitungstätigkeiten richtig beschreiben und als Datenschutzbeauftragte die Cloud-Nutzung begleiten und überwachen .

Speaker ist Eberhard Häcker , langjähriger Datenschutzberater, Geschäftsführer der Team Datenschutz Services GmbH, Datenschutz-Fachautor und Kongressredner. Seine Spezialität: vorausschauende Lösungen zu finden, komplexe Themen verständlich zu erklären und mit vielen Beispielen aus der Praxis anschaulich und greifbar zu machen.

Nächster Termin

Donnerstag, 30. März 2023
von 9:30 bis 12:00 Uhr

Teilnahme online als Webkonferenz

Nicht verpassen, anmelden!

Brandschutz, Datenschutz & elementare Gefährdungen

Mon, 27 Feb 2023 11:13:09 GMT

Am Donnerstag im Arbeitskreis Datenschutz

Technische und organisatorische Maßnahmen
nach Artikel 32 DSGVO

Ab 2. März widmet sich der Arbeitskreis Klassischer Datenschutz Feuer, Wasser und anderen elementaren Gefährdungen für die Unternehmens-IT. Es wird spannend! Datenschutz-Experte Eberhard Häcker moderiert den Austausch um die wichtigsten Gefahren und die Maßnahmen, wie Sie sie vermeiden. Dabeisein lohnt sich!

Technische und organisatorische Maßnahmen im Datenschutz

Bundesweit lassen Datenschutz-Aufsichtsbehörden in ihren Jahresberichten, auf den Webseiten und in anderen Veröffentlichungen immer wieder eines durchklingen: Die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO sind immens wichtig.

Mit unseren Erfahrungen aus dem Datenschutz-Alltag können wir sagen: Das stimmt. Die technischen und organisatorischen Maßnahmen, kurz TOMs, werden immer wichtiger. Unternehmen sollten sie weitgehend vollständig umsetzen und insbesondere aktuell halten .

BSI-Bausteine: Elementare Gefährungen

Da sie für guten Datenschutz unverzichtbar sind, legen wir bei Team Datenschutz einen besonderen Schwerpunkt auf die TOMs. Wir wirken darauf hin, dass sie in Anlehnung an die BSI-Bausteine immer wieder aktualisiert und überarbeitet werden. Allerdings: Dort gibt es einen Bereich, den auch das BSI nicht so aktuell hält, wie das wünschenswert wäre.

Die „Elementaren Gefährdungen“ des BSI sind aktuell in der Version von 2020 veröffentlicht. Teile der dort aufgeführten 47 elementaren Gefährdungen sind allerdings wesentlich älter. Manche fehlen sogar ganz (Verschlüsselungstrojaner, Verlust zentraler Daten) oder gehen nicht auf aktuelle Entwicklungen ein, beispielsweise die elementare Gefährdung G 0.8: Ausfall oder Störung der Stromversorgung. Das letzte dort aufgeführte Beispiel ist aus dem Jahr 2005. Aktuell geht anders. Schließlich hat sich seitdem (hoffentlich) viel bei der Stromversorgung getan.

Aus diesem Grund ist das unser Thema im nächsten Arbeitskreis . Immerhin gibt es beim Datenschutz mehrfach die Verpflichtung in der DSGVO und in einschlägigen Rechtsvorschriften zu „geeigneten“ technischen und organisatorischen Maßnahmen . Datenschutzbeauftragte sollten dieses Thema also nicht ignorieren.

Für den Einstieg liegt unser Fokus auf folgenden elementaren Gefährdungen:

G 0.1 Feuer
G 02 Ungünstige klimatische Bedingungen
G 03 Wasser
G 04 Verschmutzung, Staub, Korrosion
G 08 Ausfall oder Störung der Stromversorgung

Den ersten davon widmen wir uns am 2. März, weitere elementare Gefährdungen behandeln wir in kommenden Arbeitskreissitzungen.

Das sind die wichtigsten Themen

Das erwartet uns:

wesentliche Gefährdungen durch die besprochene elementare Gefährdung
mögliche Folgen für Datenschutz
mögliche Folgen für Informationssicherheit
Richtlinien zum Thema – Inhalte, Verantwortlichkeit, Überprüfungen
Liste der umzusetzenden oder umgesetzten Maßnahmen
Überprüfungen durch Datenschutz
Mögliche Unterstützung durch Schulungen, Informationsblätter, Aushänge usw.
Weitere Reaktionen, Aktivitäten wie Berichte und vertiefende Maßnahmeempfehlungen
Außerdem soll die Diskussion zum Thema nicht zu kurz kommen.

Wir freuen uns auf eine rege Beteiligung und sind jetzt schon gespannt auf praktische Erfahrungen und Anregungen!

Die Arbeitskreise kennenlernen

Einfach online in zwei Veranstaltungen hineinschnuppern zum Kennenlernpreis von 59 € netto!

Inklusive Musterunterlagen und der Möglichkeit, Themen zu wünschen wie alle regulären Teilnehmer!

Nicht verpassen! Der Datenschutz-Arbeitskreis

Freuen Sie sich auf spannende 90 Minuten!

Termin

Donnerstag, 2. März 2023

14:30 bis 16:00 Uhr

Sie kennen den Datenschutz-Arbeitskreis noch nicht?

Dann schnuppern Sie doch einfach herein und überzeugen sich selbst!

Zu den Arbeitskreisen Datenschutz

Alle Infos, Abos und Anmeldung.

Arbeitskreis zu Datenschutz und künstlicher Intelligenz

Mon, 13 Feb 2023 13:54:49 GMT

KI und Datenschutz – Willkommen in der Zukunft des Datenschutzes

Am Donnerstag ist es so weit, der neue Arbeitskreis zu agilem Datenschutz und Digitalisierung startet. Und Moderator Eberhard Häcker hat zum Einstieg ein brandaktuelles Thema auf die Agenda gesetzt: künstliche Intelligenz und Datenschutz. Eins ist klar: Dabeisein lohnt sich!

Chatbots und künstliche Intelligenz

ChatGPT ist in aller Munde. Zu Recht oder als Marketingnummer? Was kann ChatGPT, was können vergleichbare Produkte wirklich? Wie wird sich unser aller Leben durch künstliche Intelligenz verändern ?

Was ist ChatGPT?

ChatGPT ist der Prototyp eines Chatbots , der mithilfe von künstlicher Intelligenz menschliche Sprache versteht und menschlich wirkende Antworten gibt. Er generiert in Sekundenschnelle Texte wie Reden, Aufsätze, Gedichte oder Quellcode. Der Bot wurde mit enormen Datenmengen aus Texten und Informationen trainiert und erfährt ein enormes Medienecho. Aktuell befindet er sich in einer kostenlosen Testphase, in der die Entwickler Feedback sammeln.

Herausforderungen der KI für den Datenschutz

Haben Sie sich beim Datenschutz schon warmgelaufen für die neuen Herausforderungen durch Artificial Intelligence ? Unser Leben ist schon heute nicht mehr ohne künstliche Intelligenz zu gestalten. Ob wir das wahrhaben wollen oder nicht, im Privaten ist KI bereits Alltag .

Aber was ist am Arbeitsplatz ? Wie viel künstliche Intelligenz gibt es da heute schon und wie sollten Verantwortliche und Datenschützer damit umgehen? Muss Artificial Intelligence beispielsweise im Verarbeitungsverzeichnis (VVT) berücksichtigt werden und gehört damit in die Beschreibungen der Verarbeitungstätigkeiten? Was ist, wenn von Datenverarbeitung Betroffene ein Auskunftsersuchen stellen, muss dann auf KI hingewiesen werden? Wie kann künstliche Intelligenz für das Erreichen von Unternehmenszielen eingesetzt werden und was muss in Sachen Datenschutz noch alles beachtet werden?

Thema KI im Arbeitskreis agiler Datenschutz

Mit spannenden Fragen wie diesen befasst sich der Arbeitskreis agiler Datenschutz am Donnerstag! Noch sind Plätze frei - neue Teilnehmende sind willkommen, auch zum Schnuppern!

Das sind die wichtigsten Themen

So viel KI bestimmt Anfang 2023 unsere IT-Nutzung
Definition KI – sogenannte KI oder echte KI?
Die Rolle personenbezogener Daten in der KI
KI-Beispiele aus dem Internet
Künstliche Intelligenz bei Amazon, YouTube und Netflix und angepasste Empfehlungen
Gesichtserkennung und künstliche Intelligenz
Spamfilter voller KI
KI in der Photovoltaikanlage
KI im Navi
Alexa, Cortana, Siri – Voraussetzung Artificial Intelligence
Übersetzungsprogramme – sinnvoll erst durch künstliche Intelligenz
Fahrassistenten – auch im Poolfahrzeug
Datenschutz und KI – Verarbeitungsverzeichnis und Auskunft an Betroffene

Die Arbeitskreise kennenlernen

Einfach online in zwei Veranstaltungen hineinschnuppern zum Kennenlernpreis von 59 € netto!

Inklusive Musterunterlagen und der Möglichkeit, Themen zu wünschen wie alle regulären Teilnehmer!

Zweifellos wird auch künftig künstliche Intelligenz im Arbeitskreis agiler Datenschutz relevant bleiben, je nach aktuellen Themen werden wir von Team Datenschutz immer wieder bestimmte Bereiche und Programme mit KI aufgreifen und gemeinsam mit den Teilnehmenden bearbeiten.

Das Ziel diesmal sind ein Überblick über aktuelle Entwicklungen und Herausforderungen und ein Ausblick in Sachen, was uns bei künstlicher Intelligenz noch erwartet.

Der Arbeitskreis zum agilen Datenschutz

Seien Sie dabei! Gehen Sie zusammen mit Moderator Eberhard Häcker und den Teilnehmenden aus verschiedenen Unternehmen auf eine Reise in die Zukunft. Was werden wir, unsere Kinder und Enkel da noch alles erleben? Wie können wir uns und den Datenschutz auf künstliche Intelligenz vorbereiten ?

Freuen Sie sich auf spannende 90 Minuten!

Termin

Donnerstag, 16. Februar 2023

14:30 bis 16:00 Uhr

Sie kennen den Datenschutz-Arbeitskreis noch nicht?

Dann schnuppern Sie doch einfach herein und überzeugen sich selbst!

Zu den Arbeitskreisen Datenschutz

Alle Infos, Abos und Anmeldung.

Jetzt neu! Der Arbeitskreis für agilen Datenschutz

Fri, 10 Feb 2023 11:43:25 GMT

Digitalisierung sicher managen

mit dem Arbeitskreis Agiler Datenschutz

Im Arbeitskreis von Team Datenschutz tauschen Datenschützer Erfahrungen, Ideen und Lösungen. Jetzt gibt es ganz neu den Arbeitskreis zum agilen Datenschutz. Das Ziel: Die Digitalisierung datenschutzgerecht managen. Schnuppern Sie doch mal rein!

Wer Datenschutz managt, hat viel zu tun. Datenschutz ist nie „fertig“ – und stellt uns in der Praxis immer wied er vor neue Aufgaben und Herausforderungen. Um so wichtiger ist es für Datenschutzbeauftragte , sich regelmäßig mit anderen auszutauschen und Erfahrungen, Ideen und Lösungsansätze zu diskutieren. Aus diesem Grund hat Team Datenschutz vor vielen Jahren den Arbeitskreis Datenschutz ins Leben gerufen.

Monatlich aktuelle Datenschutz-Themen und Know-how

Hier treffen sich jeden Monat Datenschutzbeauftragte, DatenschutzkoordinatorInnen und andere Interessierte online und besprechen aktuelle Fragen des Datenschutzes . Der Schwerpunkt unseres Moderators liegt dabei auf den Anliegen und Tasks, die die Teilnehmenden in Sachen Datenschutz und Informationssicherheit aktuell beschäftigen .

Im Datenschutz sind die Aufgaben vielfältig. Da ist beispielsweise die Dokumentationspflicht zu erfüllen. Datenschutzbeauftragte haben eine Prüfaufgabe und müssen feststellen, ob Verantwortliche Datenschutz richtig umsetzen . Die Erfüllung dieser Aufgabe erfordert umfassendes Know-how, das der Arbeitskreis vermittelt.

Datenschutz-Muster für die Praxis

Oft sind Datenschutzbeauftragte beteiligt, wenn es um die „richtige“ Dokumentation geht. Zwar dürfen sie nicht selbst operativ tätig sein, aber sie dürfen die Prozessverantwortlichen auf die Kriterien und Inhalte hinweisen, auf die es ankommt. So entstehen Musterdokumente , die von den fachlich Verantwortlichen an die reale Situation angepasst werden. Im Idealfall sind Datenschutzbeauftragte hier mit eingebunden und können sofort prüfen, ob die Dokumentation zum einen den rechtlichen Anforderungen des Datenschutzes entspricht und zum anderen, ob sie praktikabel ist – und also davon ausgegangen werden kann, dass die Beschäftigten die Vorgaben umsetzen werden.

Wenn das gelingt, ist viel gewonnen. Das betrifft Verarbeitungstätigkeiten ebenso wie die technischen und organisatorischen Maßnahmen , Verträge zur Auftragsverarbeitung und Datenschutz-Schulungen.

Der neue Arbeitskreis für agilen Datenschutz

Durch die Digitalisierung kommen ganz eigene Herausforderungen hinzu. Digitalisierung macht alles schneller, der Anspruch an die Geschwindigkeit wächst und damit wachsen die Gefährdungen für den Schutz personenbezogener Daten .

Das Softwarepaket Microsoft 365 etwa wirft eine Unmenge datenschutzrechtlicher Fragen auf, ebenso die Datenspeicherung in der Cloud , Dienstwagen liefern Herstellern eine Flut an personenbezogenen Daten der Angestellten.
Vorgänge wie diese machen es zu einer echten Herausforderung, Datenschutz mit all seinen rechtlichen Anforderungen gerecht zu werden.

Datenschutz in der digitalisierten Arbeitswelt

Deshalb haben wir jetzt einen neuen Arbeitskreis ins Leben gerufen. Sein Schwerpunkt ist agiler Datenschutz . Er befasst sich ganz konkret auf die Herausforderungen der Digitalisierung in der modernen Arbeitswelt . Der neue Arbeitskreis ist die ideale Ergänzung zum bisherigen Arbeitskreis zum klassischen Datenschutz. Sie decken ab, was Datenschützer an Know-how, Austausch und Ideen brauchen, um im Datenschutz auf der Höhe der Zeit zu bleiben.

Entdecken Sie agilen Datenschutz

Sie nehmen schon am Arbeitskreis teil?

Dann besuchen Sie jederzeit die Veranstaltungen beider Arbeitskreise – ganz ohne Zusatzkosten!

Sie kennen den Datenschutz-Arbeitskreis noch nicht?

Dann schnuppern Sie doch einfach mal herein und überzeugen sich selbst!

Die Arbeitskreise kennenlernen

Einfach online in zwei Veranstaltungen hineinschnuppern zum Kennenlernpreis von 59 € netto!

Inklusive Musterunterlagen und der Möglichkeit, Themen zu wünschen wie alle regulären Teilnehmer!

So lohnen sich die Datenschutz-Arbeitskreise

Mitglieder der Arbeitskreise können Veranstaltungen des anderen Arbeitskreises mit besuchen – ohne zusätzliche Kosten .
Je nach Abo können an den Arbeitskreis-Veranstaltungen weitere Personen aus Ihrem Unternehmen teilnehmen . Das müssen nicht immer dieselben sein. Bringen Sie einfach mit, für wen das aktuelle Thema relevant ist! Für zielgenaues Know-how und top aufgestellen Datenschutz
Für jede Teilnahme an einer Arbeitskreis-Sitzung erhalten Sie eine Teilnahmebescheinigung – der ideale Nachweis, dass Sie Ihrer Pflicht zur Weiterbildung nachkommen . Eine Bestätigung über die besuchten Veranstaltungen und Themen eines Jahres gibt es on top.
Dank laufender Weiterbildung erfüllen Sie ganz nebenbei einen wichtigen Baustein im Zusammenhang mit Zertifizierungen , wo immer häufiger gezielt nach Weiterbildung in Sachen Datenschutz und Informationssicherheit gefragt wird.
Die Teilnehmenden erhalten und erarbeiten Musterdokumente und Best Practices für die Anwendung in der Praxis.
Themen für die Arbeitskreise schlägt unser Moderator vor. Dazu können Teilnehmende jederzeit Themenwünsche einbringen, die im Arbeitskreis besprochen werden. Inhalte sind immer topaktuell – Gesetzesänderungen oder grundlegende Gerichtsentscheide nehmen wir kurzfristig auf die Tagesordnung.
Und als besonderes Extra: Teilnehmende der Arbeitskreise besuchen unser jährliches Tagesseminar Datenschutz-Update mit einem Rabatt von 50 % !

Neugierig geworden? Dann seien Sie dabei!

Zu den Arbeitskreisen Datenschutz

Alle Infos, Abos und Anmeldung.

14 Tipps für ein erfolgreiches Datensicherungskonzept

Thu, 26 Jan 2023 14:03:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Was tun, wenn Daten weg sind?

Kennen Sie das? Sie brauchen nur mal schnell eine Datei . Damit wollen Sie ein Dokument erstellen, das heute noch raus muss. Davon hängt viel ab. Also schalten Sie Ihren Rechner an . Allerdings dauert das heute deutlich länger als sonst . Und länger als sonst. Und länger. Sie starten den Rechner neu. Und wieder beginnt er nicht zu laufen. Irgendwas stimmt da nicht.

Was, wenn jetzt der Rechner kaputt ist? Sich auch nicht mehr zur Zusammenarbeit überreden lässt? Na, dann wird er eben neu aufgesetzt. Oder ein neuer wird beschafft. Dann werden die Daten wieder eingespielt . In einem Unternehmen oder einer Institution wird die IT verständigt . Im Homeoffice haben Sie hoffentlich die Kontaktdaten, aber die lassen sich im Zweifel ermitteln. Und dann müssen Sie eben ein paar Stunden überbrücken.

Wenn Sie aber selbst für Ihre Daten verantwortlich sind oder wenn aus anderen Gründen die Datensicherung nicht richtig funktioniert hat oder bestimmte Daten möglicherweise gar nicht gesichert wurden, weil Sie im Homeoffice keine Sicherung durchgeführt haben oder wenn … Klar ist: In einem solchen Fall hängt sehr viel davon ab, ob die Datensicherung richtig strukturiert ist und auch die Rücksicherung funktioniert .

Und dafür gibt es hoffentlich ein professionelles Datensicherungskonzept (das hoffentlich auch richtig umgesetzt wurde), damit jetzt die erforderliche Rücksicherung zur Verfügung steht .

Daten sichern mit erfolgreichen Back-ups

Moderne IT-Systeme speichern eine Vielzahl von Daten. Unternehmen sind stärker denn je darauf angewiesen , dass keine Daten verloren gehen – oder zumindest zeitnah rückgesichert werden können . Dazu können Daten mit unterschiedlichen Lösungen abgespeichert werden, beispielsweise auf speziellen Storage-Systemen , auf Bandlaufwerken , auf mobilen Datenträgern wie mobilen Festplatten oder USB-Sticks, auf optischen Datenträgern wie CD, DVD, Blu-Ray usw. In Frage kommen auch Online- und Cloud-Lösungen wie einer internen Cloud oder einer bei einem externen Dienstleister .

Mancher verwendet auch Datenspiegelungen wie beispielsweise RAID-Systeme. Die werden jedoch nicht als Datensicherung verstanden, da die gespiegelten Daten simultan verändert werden und die Spiegelung daher nicht vor unbeabsichtigtem Überschreiben oder einer Infektion mit Schadsoftware schützen kann . Das kann einem Hardwaredefekt einzelner Datenträger vorbeugen, ist aber nicht für die langfristige Datensicherung vorgesehen.

Back-ups sicher erstellen und aufbewahren

Daneben ist noch wichtig, wer die Datensicherung vornimmt und wo die Datenträger möglichst sicher gelagert werden. Denn im Falle der erforderlichen Rücksicherung (Restore) ist eine schnelle Reaktion bares Geld wert. Dazu muss zumindest hin und wieder geprüft werden, ob die Datensicherungen auch wirklich durchgeführt wurden und ob die Datenträger funktionieren und für einen erforderlichen Restore zur Verfügung stehen.

Damit das klappt, braucht es auf jeden Fall eines: eine Übersicht aller Daten , die in die regelmäßige Datensicherung einzubinden sind. Alle müssen wissen, wer im Zweifelsfall was in welcher Reihenfolge zu tun hat.

Klar ist: Die mötigen Tätigkeiten müssen umfangreich und strukturiert erfolgen. Es stimmt also: Ein Datensicherungskonzept muss sein. Und zwar so, dass es zuverlässig umgesetzt wird und aktuell und vollständig ist.

Die wichtigsten Risiken mangelhafter Back-ups

Die Risiken eines fehlenden Datensicherungskonzepts sind, da hilft kein Schönreden, existenzbedrohend. Wenn Daten nicht zur Verfügung stehen, können die für den Geschäftsbetrieb erforderlichen Tätigkeiten nicht ausgeführt werden. Sprich: Arbeit bleibt liegen . Das Unternehmen oder die Institution ist nicht oder kaum mehr handlungsfähig .

Risiko Nr. 1: fehlende Datensicherung

Gibt es keine Backups, kann es zum Datenverlust und zur Handlungsunfähigkeit kommen.

Risiko Nr. 2: fehlende Prüfungen

Immer wieder werden Daten nicht gesichert, weil beim Back-up ein Fehler vorliegt. Wer nicht prüft, ob die Wiederherstellung funktioniert, verhindert das Entdecken etwaiger Fehler, solange man sie leicht beheben könnte.

Risiko Nr. 3: Aufbewahrung

Werden Datensicherungsmedien falsch aufbewahrt, könnten Datenträger ausfallen, gestohlen werden oder nur teilweise funktionieren. Insbesondere bei technischen Neuerungen wie neuen Systemen oder neuer Systemsoftware können Sie dann nicht mehr auf Daten zugreifen.

Risiko Nr. 4: fehlende Dokumentation

Ist die Dokumentation der Datensicherung und der Datensicherungsmedien nicht vorhanden oder fehlerhaft, kann das im Wiederherstellungsfall zu Datenverlust führen.

Risiko Nr. 5: Rechtsverstoß

Werden gesetzliche Vorgaben wie Datenschutzvorschriften verletzt, kann dies zu Geldbußen oder Schadenersatzforderungen führen.

Risiko Nr. 6: unübersichtliche Aufbewahrung

Wer gesicherte Daten chaotisch aufbewahrt, riskiert, dass einzelne Datenträger nicht gefunden und auch nicht eingespielt werden können. Damit betraute Verantwortliche oder Dienstleister können dann womöglich nicht Hand in Hand mit der IT arbeiten, weil sich erforderliche Abläufe nicht einhalten lassen.

Risiko Nr. 7: Abweichung von der Herstellerempfehlung

Hersteller geben Empfehlungen, wann Datensicherungsmedien erneuert werden sollten, um Datenverlust zu vermeiden. Werden diese Empfehlungen ignoriert, kann es bei abgenutzten Datenträgern zu Datenverlust kommen.

Risiko Nr. 8: zu wenig Speicherplatz

Falls die Speicherkapazitäten nicht ausreichen, treffen Sicherungssysteme womöglich eigene Entscheidungen. Die Datensicherung kann nicht abgeschlossen werden, ein Teil der Daten bleibt ungesichert.

Risiko Nr. 9: Missachtung spezieller Vorgaben

Werden Anforderungen des Fachbereichs zur Erfüllung zwingender Vorgaben nicht beachtet, werden womöglich falsche Intervalle oder Termine für die Datensicherung gewählt. Die Sicherung ist dann nur teilweise oder gar nicht verwertbar oder Daten müssen aufwendig nachbearbeitet werden.

Risiko Nr. 10: mangelnde Organisation

Organisatorische Mängel können eine Wiederherstellung gesicherter Daten unmöglich machen. Dies kann beispielsweise der Fall sein, wenn Back-ups verschlüsselt sind und der Schlüssel auf dem System gespeichert wurde, das vom Datenverlust betroffen ist. In diesem Fall kann die Datensicherung nicht verwendet werden.

Risiko Nr. 11: Sicherungszyklus

Wenn die Datensicherung länger dauert als der Rhythmus der regelmäßigen Sicherung, können Daten verloren gehen. Soll das System beispielsweise täglich sichern, die Sicherung dauert jedoch länger als 24 Stunden, werden Datensicherungen entweder unvollständig oder das System führt eine neue Sicherung durch, bevor die alte abgeschlossen ist. Das kann zu Überlastung oder zu fehlender Datenkonsistenz führen.

Risiko Nr. 12: ungeschützte Back-ups

Wird das Unternehmen von einem Kryptotrojaner angegriffen, darf die Ransomware keine Möglichkeit haben, das Back-up zu verändern. Kann sie das, wird eine Wiederherstellung der Daten unmöglich. Daher: Schützen Sie Datenträger hinreichend vor nachträglicher Änderung.

Risiko Nr. 13: Missachtung von Datenschutzvorgaben der DSGVO

Mit jeder Datensicherung werden immer auch personenbezogene oder auf Personen beziehbare Daten verarbeitet. Für deren Verarbeitung gelten die Grundsätze sowie die Rechtmäßigkeit der Datenverarbeitung, zu ergreifende Schutzmaßnahmen sowie umfangreiche technische und organisatorische Maßnahmen. Sind Datensicherungen nicht oder nur unzureichend mit dem Datenschutzmanagement abgestimmt, kann es zu Datenschutzverletzungen kommen, die möglicherweise meldepflichtig sind.

Risiko Nr. 14: mangelnde Abstimmung

Rechteverletzungen wegen unzureichender Zusammenarbeit von IT und Fachbereich sind dann möglich, wenn Fachbereiche über die hier genannten informationstechnischen und datenschutztechnischen Gefährdungen nicht ebenso informiert sind wie die IT über die fachlichen Anforderungen. Fehlende Abstimmung ist häufig die entscheidende Ursache für Datenschutzverletzungen.

Back-ups und Datenschutzrecht

Die Übersicht der Risiken erhebt keinen Anspruch auf Vollständigkeit. Sie zeigt jedoch: Fast immer sind in der Folge Datenschutzverletzungen zu befürchten . Davon abgesehen gilt im Datenschutz: Daten müsse n in der Zeit, da sie verarbeitet werden, verfügbar sein . Weiterhin müssen Sie Daten, die nicht mehr erforderlich sind, löschen . Das ist dann der Fall, wenn sie für die Geschäftsprozesse nicht mehr gebraucht werden und keine gesetzlichen Bestimmungen mehr zu einer längeren Aufbewahrung verpflichten .

Beachten Sie also, dass nicht nur Datenschutz zur Aufbewahrung von Personendaten verpflichtet . Auch Vorgaben aus dem Steuerrecht sind strikt zu beachten. Unternehmensverantwortliche müssen sich darüber im Klaren sein, dass eine nicht funktionierende Datensicherung Geldbußen oder Schadenersatzforderungen nach sich ziehen kann.

14 Tipps für Ihr Datensicherungskonzept

Stellen Sie sicher, dass ...

ein aktuelles und vollständiges Datensicherungskonzept vorhanden ist und erfolgreich angewendet wird.
im Datensicherungskonzept alle erkannten Risiken bei der Datensicherung festgehalten und mit den Methoden des Risikomanagements bewertet sind und entsprechende Maßnahmen vorgesehen sind.
im Konzept alle Anwendungen in einer Übersicht wie einem Softwareinventar erfasst sind und dass diese Übersicht aktuell gehalten wird.
in jedem Einzelfall bekannt ist, ob und wie lange die Daten gesichert werden müssen.
das Datensicherungskonzept eine Übersicht aller Datenträger enthält, auf denen Daten gespeichert werden.
Datensicherungen gemäß dem Datensicherungskonzept definiert sind.
Datensicherungen gemäß dem Datensicherungskonzept vorgenommen werden.
geprüft wird, ob vorgesehene Sicherungen auch wirklich vorgenommen wurden.
die Datensicherungsmedien wie vorgesehen gelagert werden.
eine erforderliche Datenrücksicherung , also die Wiederherstellung verlorener Daten, strukturiert ausgeführt wird.
Datenschutzbeauftragte in alle Maßnahmen zur Datensicherung eingebunden sind.
Datenschutzbeauftragte im Rahmen ihrer Überwachungsaufgabe alle konzeptionellen, strategischen und operativen Schritte der Datensicherung und möglicher Rücksicherungen prüfen und bewerten .
die Datensicherung im Datenschutz-Jahresbericht angemessen berücksichtigt wird.
das Datensicherungskonzept keine Angriffsfläche bietet für mögliche Schadenersatzforderungen von betroffenen Personen.

Und die Kernfrage : Kann gewährleistet werden, dass ein aktuelles und vollständiges Datensicherungskonzept vorhanden ist, das erfolgreich angewendet wird?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

9 Tipps für mobile Apps ohne Datenpannen

Fri, 20 Jan 2023 09:31:29 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Mobile Geräte im Einsatz

So gut wie jeder und jede Beschäftigte nutzt Smartphones, Tablets und ähnliche mobile Geräte . Und viele nutzen ihre Devices regelmäßig oder zumindest gelegentlich auch geschäftlich . So weit, so normal. Allerdings: Ist das Handy oder Tablet mit der betrieblichen IT verknüpft, kann es auf dort liegende Daten und Informationen mobil zugreifen oder Daten an die Apps übertragen. Und das rund um die Uhr.

Erhöhte Risiken durch mobiles Arbeiten

So können etwa Mails, Kontakte, Termine und Aufgaben von Outlook auf das mobile Gerät weitergeleitet werden. Microsoft stellt hierfür die Lizenzen zur Verfügung, so dass das lizenzrechtlich erlaubt ist. Aber haben Sie im Blick, welche Risiken damit verbunden sind? Klar: Einerseits sollen Beschäftigte überall arbeiten können , auch mobil und im Homeoffice. Möglichst viele Geräte sollen also auch mobil genutzt werden können. Hat Ihr Betrieb dafür ein Mobile Device Management (MDM) , lassen sich Regeln voreinstellen und damit viele Risiken minimieren. Sind jedoch Geräte im Einsatz, deren Zugriff auf Appstores nicht zentral unterbunden wird, reicht das MDM nicht aus. Dann können Daten in mobilen Anwendungen „Füßchen“ bekommen und mobiler werden, als Informationssicherheit und Datenschutz erlauben .

Es geht nicht ohne Regeln

Daher müssen Vorschriften aufgestellt und durchgesetzt werden, die den Umgang mit mobilen Apps technisch und organisatorisch so regeln , dass die Risiken durch Datenabfluss und Datenschutzverletzungen minimiert werden. Die besten Regelungen sind technischer Art , da sie von Anwendern nicht umgangen werden können. Wo das nicht geht, sollten Sie organisatorische Maßnahmen und Folgen bei Nichtbeachten bestimmen. Dazu gehört beispielsweise, unter welchen Umständen welche App installiert werden darf. Oder wie mit Metadaten umzugehen ist, die bei Apps regelmäßig entstehen. Sind die Anwender nicht geschult oder unvorsichtig , können damit nämlich Interna und Personendaten nahezu ungeschützt weitergegeben werden.

Nervige Abfragen wegklicken

Sind mobile Apps im Einsatz, benötigen sie bestimmte Berechtigungen , die normalerweise per Klick freigegeben werden. Kennen sich die Anwender nicht aus, willigen sie aus Bequemlichkeit ein oder verstehen sie nicht, was sie durch ihren Klick auslösen, kommt es schnell zu Datenpannen . Geben Apps Infos an unbefugte Dritte weiter, möglicherweise noch in ein DSGVO-Drittland wie die USA, zählt das gleich als doppelter Datenschutzverstoß. Dabei kann es sich um Daten wie Standort, Fotos, Kontakte, Termine, private Daten oder Metadaten handeln. Manche Apps können sogar auf dem Gerät gespeicherte Daten verändern oder löschen .

Weiterverarbeitung mit KI

Andere Programme verarbeiten Daten mit Hilfe künstlicher Intelligenz , beispielsweise der Microsoft-Dienst Viva. Der wertet beispielsweise Mails aus und gibt Empfehlungen, etwa, wie mit einem bestimmten Kunden weiter verfahren werden soll. Dafür fehlt es in der Regel an der Rechtsgrundlage . Dass die Daten in den USA verarbeitet werden, macht die Sache nicht besser – und bedeutet regelmäßig einen Datenschutzverstoß .

Wenn Wetterapps Profile erlauben

Mit gängigen Wetterapps werden mit jedem Zugriff Standort und Art der Abfrage übermittelt, unter Umständen an mehr als tausend Server weltweit . So entstehen Profile, die schnell recht genaue Vorhersagen erlauben. Wer beispielsweise jeden Morgen zu einer bestimmten Uhrzeit nach der Temperatur schaut, geht mit gewisser Wahrscheinlichkeit joggen oder mit dem Hund spazieren. Kommen die Anfragen von unterschiedlichen Standorten und weisen einen gewissen Rhythmus auf, lässt sich auf Dienstreisen oder private Lebensgewohnheiten schließen. Auf privaten Geräten ist das Sache des Anwenders. Geschieht das jedoch auf einem Dienstgerät , muss sich der Arbeitgeber eines Tages womöglich mit dem Vorwurf auseinandersetzen, mit dem Geschäftshandy seien ohne Einwilligung des Mitarbeiters dessen sensible Daten abgeflossen .

Ohne Regeln geht es nicht

Hier sind klare Regelungen unerlässlich . Sobald es sie gibt, müssen Sie sie im Betrieb bekannt machen , sensibilisieren und gegebenenfalls Kontrollen durchführen, ob die Regeln eingehalten werden.

Datenschutz und drohende Datenpannen

Wann immer personenbezogene Daten unbefugt oder auch unabsichtlich kopiert, vernichtet oder verändert werden, wenn personenbezogene Daten unbefugt offengelegt werden oder unbefugt darauf zugegriffen wird, handelt es sich um eine Verletzung des Schutzes personenbezogener Daten , die nach DSGVO grundsätzlich eine Meldepflicht an die Aufsichtsbehörde für den Datenschutz auslöst. Das gilt zumindest dann, wenn sich nicht ausschließen lässt, dass die Grundrechte und Grundfreiheiten derer in Gefahr geraten, um deren persönliche Daten es geht.

Und was ist mit der Rechenschaftspflicht?

Das betrifft natürlich auch die Rechenschaftspflicht des Verantwortlichen . Haben Sie als Verantwortliche durch geeignete technische und organisatorische Maßnahmen Datenschutzverletzungen vorgebeugt, sind Sie auf der sicheren Seite. Haben Sie das versäumt oder können es nicht nachweisen und die Datenschutz-Aufsichtsbehörde erfährt davon, kann sie ein Bußgeldverfahren einleiten.

Verantwortliche sollten also klare Regelungen für den Umgang mit Software auf Mobilgeräten schaffen und für deren Durchsetzung sorgen, auch, indem sie die betroffenen Nutzer angemessen sensibilisieren.

9 Tipps, um Datenpannen durch Apps auf mobilen Geräten zu vermeiden

Prüfen Sie, wie Apps auf Mobilgeräten bisher gehandhabt werden.
Prüfen Sie, ob es dafür bereits geeignete Regelungen gibt.
Gibt es Regelungen , stellen Sie sicher, dass sie vollständig und aktuell sind.
Schaffen Sie Regeln , wie das Verhalten der Apps überprüft werden kann, beispielsweise indem Sie sich die Datenschutzbestimmungen genau ansehen oder Tests zum Verhalten der Apps durchführen.
Entwickeln Sie geeignete Maßnahmen zur Sensibilisierung zu Gefährdungen beim Umgang mit mobilen Apps, beispielsweise Mitarbeiterschulungen , führen Sie sie durch und dokumentieren Sie die Teilnahme angemessen
Prüfen Sie, ob Sie eine Whitelist für erlaubte Apps einrichten können, und regeln Sie gegebenenfalls, wie die Zulassung weiterer Apps abzulaufen hat.
Soweit dies technisch möglich ist, stellen Sie sicher, dass die Weiterleitung geschützter und personenbezogener Daten auf private Geräte sowie der Zugriff durch Apps auf solche Daten unterbunden wird.
Wenn die Verhinderung der Weiterleitung nicht möglich ist, weisen Sie die Beschäftigten in aller Deutlichkeit auf die Gefährdungen hin. Legen Sie Konsequenzen bei Verstößen fest und setzen Sie sich um.
Wenn ein Mobile Device Management zum Einsatz kommt, stellen Sie sicher, dass es möglichst nicht umgangen werden kann.

Und die Kernfrage: Kann sichergestellt werden, dass personenbezogene und andere schützenswerte Daten auf mobilen Geräten nicht unbefugt nach außen gelangen?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Innentäter-Angriffe | Das neue Webinar

Fri, 06 Jan 2023 10:43:06 GMT

Innentäter-Angriffe und wie sich Unternehmen DSGVO-konform schützen

Was Innentäter tun, welchen Schaden sie anrichten können und wie Sie vorbeugen. Jetzt anmelden!

Das brandaktuelle Webinar
zu Gefahren für Unternehmen aus den eigenen Reihen

Angriffe auf Unternehmen mittels Hacking, Phishing & Co. passieren täglich und werden immer häufiger. Betriebe reagieren und versuchen, sich durch Attacken von außen zu schützen. Aber kommen Angriffe immer von außen? Auch intern lauern Gefahren durch Mitarbeitende, die bewusst oder unbewusst zu Tätern werden .

Was Sie über Innentäter wissen sollten und wie Sie sich schützen, verrät das Live-Webinar. Jetzt anmelden und dabei sein!

Speaker ist Eberhard Häcker , langjähriger Datenschutz-Berater, Informationssicherheitsbeauftragter und Compliance-Officer. Er erläutert das Thema kompakt, verständlich und mit vielen wertvollen Beispielen und Tipps aus der Praxis .

Nächster Termin

Donnerstag, 26. Januar 2023 von 9:30 bis 12:00 Uhr

Teilnahme online als Webkonferenz

Nicht verpassen, anmelden!

Das war der Datenschutz-Adventskalender

Wed, 28 Dec 2022 14:52:48 GMT

Danke für 24 ganz besondere Datenschutz-Abenteuer

DATSIPrUse und der Datenschutz-Adventskalender 2022

Was für eine Adventszeit! Der Außerirdische DATSIPrUse hat die Erde besucht, um für seinen Heimatplaneten mehr über Datenschutz herauszufinden. Datenschützer Eberhard und Spürnase Diego haben ihm geholfen, Datenschutz besser zu verstehen .

Im Adventskalender von Team Datenschutz haben sie 24 ganz besondere Datenschutz-Abenteuer erlebt. Mit kleinen Geschichten und Anekdoten, die Datenschutz richtig lebendig gemacht haben. Spannend war es, überraschend, unterhaltsam. Und man konnte immer etwas lernen!

DATSIPrUse bedankt sich bei allen, die mit dabei waren !

Er freut sich schon auf seinen nächsten Besuch bei uns. Bestimmt mit neuen Abenteuern!

"Viel Erfolg mit eurem
Datenschutz.
Bis ba-ald!
Euer DATSIPrUse"

Schon entdeckt?

Das waren DATSIPrUses Datenschutz-Tipps

9. Türchen im Datenschutz-Adventskalender

Thu, 08 Dec 2022 23:00:00 GMT

9. Türchen

Reingelegt

Heute gehts um Passwörter ! DATSIPrUse begreift das alles noch nicht so richtig. Passwörter sind wichtig und müssen geheim bleiben, ja, aber wie soll man sich denn so viele verschiedene Passwörter merken ? Was ist ein Passwort-Safe und was hat das mit Datenschutz zu tun? Eberhard erklärt ihm gerne, was er wissen möchte. So schwer ist das mit den Passwörtern nämlich gar nicht, wenn man weiß, wie! Außerdem erzählt er gleich noch eine lustige Geschichte , die er selbst mal mit einem Passwort hatte — oder zumindest etwas Ähnlichem ...

Jeden Tag ein neues Abenteuer

Der Datenschutz-Adventskalender

Die Abenteuer des kleinen DATSIPrUse

Weitersagen erlaubt!

Wenn euch die Abenteuer von Eberhard, DATSIPrUse und Diego gefallen, dürft ihr sie gerne herunterladen und benutzen — zum Beispiel in euren Datenschutz-Schulungen . DATSIPrUse hat ausdrücklich eingewilligt!

Wir freuen uns, Datenschutz lebendig zu machen .

Der Adventskalender von Team Datenschutz

Wed, 30 Nov 2022 06:45:00 GMT

DATSIPrUse auf großer Reise

Jeden Tag ein neues Abenteuer!

Morgen ist es so weit, das erste Türchen darf geöffnet werden. Und Team Datenschutz hat in diesem Jahr einen ganz, ganz besonderen Adventskalender!

Datenschützer Eberhard hat nämlich Besuch bekommen von DATSIPrUse , der die weite, weite Reise von seinem Heimatplaneten auf sich genommen hat, um hier auf der Erde alles über Datenschutz zu erfahren. Eberhard hilft ihm da natürlich gerne weiter und erzählt ihm allerlei lustige Datenschutz-Geschichten .

Hinter jedem Türchen wartet ein neues Abenteuer der beiden und ein toller Datenschutz-Tipp !

Schon neugierig? DATSIPrUse stellt sich schon einmal vor und erzählt ein bisschen von sich und seiner großen Erkundungsreise.

Gleich reinschauen – und täglich erfahren, was Eberhard und DATSIPrUse so alles erleben!

Rückblick auf das Jahresevent Datenschutz-Update

Fri, 11 Nov 2022 15:36:09 GMT

Kurzweiliger Tag zu brandaktuellen Datenschutz-Trends

Lesezeit: ca. 2 Minuten

Wieder ein besonderes und gelungenes Event: Heute fand das beliebte Datenschutz-Update von Team Datenschutz statt. Das Tagesseminar gibt jedes Jahr im November einen vielseitigen Überblick über die neuesten Datenschutz-Themen und vor allem einen Ausblick auf das, was in nächster Zeit auf Unternehmen und Datenschützer·innen zukommt. In mittlerweile bewährter Form fand das Event in hybrider Form statt mit Teilnehmenden im Akademiehotel Karlsruhe und virtuell via Microsoft Teams.

Aktuelle Datenschutz-Trends

Speaker Eberhard Häcker leitet das Datenschutz-Update seit vielen Jahren und führte mit gewohnt spannenden und griffigen Themen und Beispielen routiniert durch den Tag. Von künftig digitalen Arbeitsunfähigkeitsbescheinigungen über die Frist für Standardvertragsklauseln im Dezember hin zu den neuesten Entwicklungen des europäischen wie internationalen Datenschutzes gab es wie immer eine Menge kurzweilige Themenblöcke. Wer dem Datenschutzexperten und Geschäftsführer zuhört, spürt seine Erfahrung und Begeisterung für praxistauglichen Datenschutz. Er sagte ganz klar, was Datenschutz nicht ist , auch wenn es ihm gerne vorgeworfen wird: Verhinderung des Datenverkehrs, ein überflüssiges Grundrecht, ein Hindernis bei der täglichen Arbeit. Ganz im Gegenteil!

Chancen durch den Datenschutz

Diesen Punkt griff Co-Geschäftsführer Markus Berresheim in seinem Beitrag auf. Sein Fokus lag auf dem DSGVO-Prinzip Datenschutz by Design und Datenschutz by Default und zeigte anschaulich, dass Datenschutz keineswegs bloße lästige Pflicht ist, sondern ganz unmittelbar zu handfesten Verbesserungen im Geschäftsalltag führen und Unternehmen bares Geld sparen kann.

Bewährtes Datenschutz-Jahresevent

Wieder ein tolles Event, das den Teilnehmenden viele Erkenntnisse und sicher auch das ein oder andere To Do beschert hat. Danke allen, die dabei waren – wir freuen uns schon auf das nächste Datenschutz-Update!

Seien Sie nächstes Jahr (wieder) mit dabei, dann wieder mit topaktuellen Themen, Trends und Schwerpunkten im Datenschutz!

Hat Ihnen der Beitrag gefallen? Empfehlen Sie ihn weiter!

Datentipp: Auskunftsanfrage – ist die anfragende Person echt?

Thu, 10 Nov 2022 13:43:07 GMT

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Neugier und andere Motivationen

Wer kann so fies sein?

Stellen Sie sich einmal folgendes vor. Nebenan sind neue Nachbarn eingezogen . Neugierig wie Sie sind, wollen Sie wissen, was die so alles machen. Sie wissen schon, wie die neuen Nachbarn heißen, und bekommen zufällig mit, dass diese etwas aus einem bestimmten Onlineshop geliefert bekommen. Um Ihre Neugier zu befriedigen, legen Sie sich eine neue E-Mailadresse an – auf den Namen der neuen Nachbarn .

Unter Ihrer neuen Mailadresse stellen Sie im Namen der neuen Nachbarn eine Auskunftsanfrage für Betroffene nach DSGVO bei dem genannten Onlineshop – Musterformulare stellen beispielsweise Datenschutz-Aufsichtsbehörden und die Verbraucherzentrale bereit. Mal sehen , was Sie so alles über Ihre neuen Nachbarn herausfinden .

Die Identität von Anfragenden prüfen, immer

Natürlich würden Sie das nie tun. Aber können Sie sich vorstellen, dass es Menschen gibt, die so etwas tun? Neben Neugierde kann es dafür eine ganze Reihe weiterer Gründe geben, beispielsweise Profiling für Geschäftsanbahnungen.
Dass Menschen manchmal tatsächlich so etwas tun, ist einer der Gründe, warum Unternehmen immer prüfen müssen , ob anfragende Personen die sind, die sie zu sein behaupten .

Mögliche Datenpannen bei der Datenauskunft

Auskunftsrecht der betroffenen Person

Betroffenenanfragen zum Thema Datenschutz müssen gemäß den Vorgaben von Artikel 15 der Datenschutzgrundverordnung beantwortet werden. Dafür haben wir 30 Tage Zeit . In aller Regel ist es schwierig genug, alle möglichen Datenquellen und Speicherorte auszumachen und zu recherchieren, ob Daten der betroffenen Person vorhanden sind. Dass unbedingt auch deren Identität überprüft werden muss, wird dabei schnell übersehen.

Keine Rechte Dritter verletzen

Wo steht, dass Sie das müssen? Das ergibt sich aus Artikel 15 der DSGVO. In Absatz 4 heißt es, durch die Übermittlung der Daten an die anfragende betroffene Person dürfen die Rechte und Freiheiten anderer nicht beeinträchtigt werden . Damit ist klar: Auskünfte dürfen nicht an fremde Personen erteilt werden, sondern nur direkt an die betroffene Person.

Vorsicht, Geldbuße droht!

Das Recht auf Auskunft gehört zu den wichtigsten Betroffenenrechten der Datenschutzgrundverordnung. Ein Verstoß dagegen kann mit der höheren möglichen Geldbuße , also 20 Millionen € bzw. 4 % des gesamten Konzernumsatzes im Vorjahr geahndet werden. Klar: Dass wegen einer falschen Auskunft oder Verletzung des Auskunftsrechts diese höchste aller Geldbußen gefordert wird, ist unwahrscheinlich. Das Risiko einer gesalzenen Strafzahlung besteht dennoch.

Auch Schadenersatz ist möglich

So gering die Eintrittswahrscheinlichkeit für die höchste aller Geldbußen sein mag: Dass es zu einer Geldbuße oder, etwa bei Überschreiten der Frist für die Beauskunftung oder bei fahrlässig erteilter Auskunft an den falschen Empfänger zu Schadenersatz kommen kann, hat sich in der Vergangenheit mehrfach gezeigt. Grund genug, Auskünfte wirklich nur Berechtigten zu erteilen.

Die Identität prüfen – aber wie?

Personalausweis – mit Kanonen auf Spatzen schießen

Sie sind also entschlossen, die Identität der Anfragenden zu prüfen , ehe Sie Personendaten herausrücken. Aber wie machen Sie das DSGVO-gerecht? Manche empfehlen konsequent: Lassen Sie sich eine Kopie des Personalausweises zuschicken. Felder , die es zur Identitätsfeststellung nicht zwingend braucht, können ja vorab geschwärzt werden. Geschwärzt oder nicht: Das ist die schärfste Waffe zur Identifizierung einer Person , die Sie zum Einsatz bringen können.

Infobox: Wann darf man Ausweise kopieren?

Das Personalausweisgesetz gibt vor, dass Kopien des Personalausweises nur mit Zustimmung des Ausweisinhabers zulässig sind und eine Ausweiskopie klar als Kopie zu erkennen sein muss. Das gilt für das Kopieren, das Fotografieren und das Einscannen des Ausweises.

Die DSGVO bestimmt in Artikel 5 , dass personenbezogene Daten nur verarbeitet werden dürfen, wenn es dem Zweck angemessen und auf das unbedingt notwendige Maß beschränkt ist. Sie dürfen nicht länger als nötig gespeichert werden und sind anschließend zu löschen .

Zu beachten ist der Grundsatz der Datenminimierung . Um die Identität einer Person festzustellen, reichen in der Regel Vor- und Nachname , die Adresse und gegebenenfalls die Gültigkeitsdauer . Nach erfolgter Identifizierung ist die Kopie zu vernichten , mit einem Aktenvermerk „Ausweiskopie geprüft“ lässt sich der Vorgang dokumentieren und nachvollziehen.

Oder die einfache Variante

Es geht auch einfacher. Beim Datenschutzkongress IDACON im Oktober 2022 hat die Moderatorin Daniela Will einen anderen Weg angeregt . Sie ist als Datenschutzbeauftragte tätig, und weil die Idee gut und das Vorgehen einfach ist, gebe ich den Vorschlag hier gerne weiter.

Zweifelt man an der Identität, kann man zunächst die Beauskunftung erstellen , angemessen verschlüsseln und an die Mail-Adresse des Anfragers schicken . Mithilfe bereits vorliegender Kontaktdaten schickt man der betroffenen Person nun per Post das Passwort zu , um die Daten zu entschlüsseln. Handelt es sich um die Auskunft erbittende Person, ist alles in Ordnung. Hat aber jemand anderes die Auskunftsanfrage gestellt , kann derjenige mit den übermittelten Daten ohne Passwort nichts anfangen.

Wenn Unbefugte Anfragen stellen

Mag sein, dass die Betroffene nach Empfang des Passworts neugierig wird und von uns wissen möchte, wer denn diese Anfrage gestellt hat? Leider können wir diese Antwort nicht erteilen – auch, da wir ja nicht wissen, wer hinter der Mailadresse der Anfrage steckt. Unseretwegen kommt es unter den neuen Nachbarn jedenfalls nicht zum ersten Nachbarschaftsstreit .

Tipps für Datenauskünfte ohne Pannen

Sicherstellen, dass ein Auskunftsersuchen nur gegenüber der Person beantwortet wird, um deren Daten es geht.
Sicherstellen, dass durch die Beauskunftung keine Rechte Dritter verletzt werden.
Durch eine geeignete Identifikation sicherstellen, dass Sie auch gegen keine anderen Gesetze verstoßen , beispielsweise das Personalausweisgesetz .
Die Beauskunftung zusammenstellen und an die anfragende Adresse senden, das Ganze aber mit einem Passwort verschlüsseln .
Über hinterlegte Kontaktdaten das Passwort an die betroffene Person senden.
Eine Dokumentation des gesamten Vorgangs anfertigen , damit Sie später die Vorgehensweise nachweisen können.

Und die Kernfrage:

Ist sichergestellt, dass Auskunftsanfragen nur betroffenen Personen erteilt werden?

Weiterführende Links

Musteranfrage für Betroffene der Verbraucherzentrale:

https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/ihre-daten-ihre-rechte-die-datenschutzgrundverordnung-dsgvo-25152
Musteranfrage für Betroffene des LfdI Baden-Württemberg:

https://www.baden-wuerttemberg.datenschutz.de/praxishilfen/#betroffenenrechte

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Datentipp: Keine Lust auf Auskunft – lieber schnell Daten löschen?

Thu, 27 Oct 2022 09:49:24 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

7 Tipps für eine gelungene Datenauskunft

Fass ohne Boden? Die datenschutzrechtliche Auskunftsanfrage

Wer schon einmal ein Ersuchen um Auskunft nach DSGVO erhalten hat, kennt den Aufwand , dieser Anfrage sachgerecht nachzukommen. Es hilft aber nichts – der Datenschutz gibt das Recht auf Auskunft jedem , dessen persönliche Daten verarbeitet werden. Im Fall einer Anfrage müssen Unternehmen zusammentragen, welche personenbezogenen Daten der Anfragenden sie verarbeiten .

Anfragen von Beschäftigten

Je nachdem, um welche Betroffenenkategorie es sich handelt, kann das recht aufwendig sein. Allein bei der Kategorie „im Betrieb beschäftigte Personen“ kann es sein, dass die Daten an unterschiedlichen Stellen in unterschiedlichen Zusammenhängen verarbeitet werden.

Da gibt es zum einen die Daten, die für die Verarbeitung des Beschäftigungsverhältnisses direkt und zwingend erforderlich sind. Darunter fallen Daten der Personalakte , zur Lohn- und Gehaltsabrechnung , zu Arbeitsunfähigkeit usw.
Daneben können in erheblichem Umfang Daten anfallen, die „nur“ in irgendeiner Weise mit dem Beschäftigungsverhältnis zusammenhängen . Wenn beispielsweise die um Auskunft bittende Kollegin Poolfahrzeuge des Unternehmens nutzt, müssen auch die Daten zusammengesucht werden, die bei der Nutzung der Fahrzeuge anfallen. Oder wenn der nach Auskunft fragende Kollege in der Betriebssportgruppe ist, möglicherweise noch unterschiedliche Sportarten ausübt und dafür Daten verarbeitet werden, müssen Sie auch darüber Auskunft erteilen.

Nicht zu vergessen sind Daten, die Verantwortliche gar nicht selbst verarbeiten – beispielsweise, wenn der betroffene Kollege einmal ein Gespräch mit dem Betriebsrat geführt hat. Dann muss der Verantwortliche Auskunft geben zu Verarbeitungsvorgängen, auf die er nach deutschem Recht keinen eigenen Zugriff hat.

E-Mails sind übrigens ein Sonderfall . Hier hat die Rechtsprechung mittlerweile festgestellt, dass Mails im Postfach der anfragenden Mitarbeiterin nicht in der Datenauskunft aufgeführt werden müssen – die Mails kennt die Mitarbeiterin ja schon.

Achten Sie in jedem Fall darauf, bei der Beauskunftung keine Rechte Dritter zu beeinträchtigen . Das hat möglicherweise zur Folge, dass Sie fleißig schwärzen müssen.

Bitte um Auskunft und Datenlöschung

Die Auskunftsanfrage, sie hat ihre Tücken. Das gilt bei den eigenen Beschäftigten ebenso wie bei Anfragen von Kunden, Lieferanten, Webseitenbesuchern und wer Ihnen sonst noch so einfällt.
Mitunter macht eine Bitte um Auskunft sehr aufwendige Nachforschungen und umfassende Prozessanalysen nötig. Manchmal erreichen Betriebe Anfragen von Betroffenen , die wenig Kontakt mit dem Unternehmen hatten, sich vielleicht nur mal ein Angebot haben erstellen lassen. Solche Anfragen sind nicht selten mit der Bitte verbunden , eine Löschung der Daten gemäß Artikel 17 der DSGVO durchzuführen.
Liegt es da nicht nahe, gleich zu löschen und zu antworten, dass die Daten nicht mehr vorhanden sind – weil bereits gelöscht ?

Mal eben löschen – fertig?

Auf den ersten Blick plausibel und verlockend – aber leider nicht rechtens. Der europäische Datenschutzausschuss hat hier eine klare Linie: Der Verantwortliche muss diejenigen Daten beauskunften , die er zum Zeitpunkt des Zugangs des Auskunftsbegehrens besitzt ( EDSA-Leitlinien 01/2022, Stand 18.01.2022, Rn. 37-39 ). Denn: Zum einen steht nicht fest, ob nicht in irgendeinem anderen Prozess Daten der Anfragerin liegen, Sie also versehentlich nur einen Teil ihrer Daten löschen. Und zum anderen müssen Sie Auskünfte wahrheitsgemäß erteilen .
Das Risiko? Anfragende könnten wegen falscher Auskunft Schadenersatz von Ihnen verlangen. Und: die Datenschutz-Aufsichtsbehörde sieht in der falschen Beauskunftung einen Verstoß gegen Betroffenenrechte, die sie mit einer Geldbuße ahnden kann. Laut DSGVO mit bis zu 20 Million € pro Fall oder 4 % des weltweit erzielten Jahreseinkommens des Vorjahres der gesamten Unternehmensgruppe. Ein nicht zu unterschätzendes Risiko.

Was sagt der Datenschutz zur Auskunftsanfrage?

Geschäftsprozesse sollten also so transparent sein, dass Sie schnell ermitteln können, wo welche Personendaten verarbeitet werden. Im Falle des Antrags auf Auskunft können Sie so relativ schnell diese Daten zusammentragen.
Wir von Team Datenschutz empfehlen immer wieder, ein gut strukturiertes Verzeichnis der Verarbeitungstätigkeiten zu führen. Darin sehen Sie im Idealfall auf einen Blick die Verarbeitungsprozesse und die jeweiligen Personenkategorien , also Daten Beschäftigter, Kundendaten, Lieferantendaten, Daten von Besuchern der Website usw.
Im Falle einer Auskunftsanfrage können Sie die jeweiligen Kategorien wie eine Checkliste abarbeiten. Wenn das Verzeichnis sauber geführt ist, können Sie davon ausgehen, alle betroffenen Daten zuverlässig ausfindig zu machen .

Die eigentlich clevere Idee, eine Betroffenenanfrage mit dem Auftrag zum Löschen gemeinsam zu bearbeiten, führt also leider zum falschen Ergebnis. Da der Anfrager ja sowieso möchte, dass die Daten gelöscht werden, und man das der Einfachheit halber einfach vorher macht, greift zu kurz. Alle Betroffenenrechte sind umfassend und korrekt zu erfüllen .

7 Tipps für eine rechtlich sichere und reibungslose Datenauskunft

Stellen Sie sicher, dass bei Anfragen nach Datenauskunft die jeweiligen Betroffenenrechte tatsächlich erfüllt werden können.
Erstellen Sie für alle Geschäftsprozesse mit Daten einer bestimmten Personenkategorie eine Checkliste , aus der die jeweils betroffenen Datenkategorien hervorgehen
Bereiten Sie die Prozesse zur Beauskunftung und zur Löschung personenbezogener Daten betroffener Personen so weit vor , dass die Erfüllung der Betroffenenrechte zu einem überschaubaren Prozess wird und nicht jedes Mal eine ausufernde Recherche auslöst.
Passen Sie bei Bedarf Abläufe im Unternehmen so an , dass Sie die verarbeiteten Daten zu den verschiedenen Personenkategorien schnell identifizieren können.
Da es zu einzelnen betroffenen Gruppen immer wieder Betroffenenanfragen geben kann, können Sie diese in Muster-Beauskunftungen zusammenfassen, die sich bei Eingang der Anfrage als Vorlage verwenden lässt. Bei wiederholten Anfragen kann das den Prozess erheblich beschleunigen .
Stellen Sie sicher, dass Betroffenenanfragen , egal welcher Kategorie, im Betrieb immer ernst genommen werden.
Sorgen Sie dafür, dass vor Erteilen einer Betroffenenauskunft die Identität geprüft wird. Die Auskunft über personenbezogene Date n dürfen Sie nur dem jeweils Betroffenen geben. Sonst begehen Sie möglicherweise einen Verstoß gegen die Datenschutzgrundverordnung , der wiederum Ermittlungen der Datenschutz-Aufsichtsbehörde auslösen kann.

Das ist die Kernfrage: Ist sichergestellt, dass alle Betroffenenanfragen ernst genommen werden und sachgerecht und professionell beantwortet werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Datentipp: Das Verzeichnis der Verarbeitungstätigkeiten im Griff

Wed, 19 Oct 2022 09:55:49 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Warum ein Verzeichnis der Verarbeitungstätigkeiten?

Wenn Sie Datenschutz strukturiert so umsetzen wollen, wie die Datenschutz-Grundverordnung (DSGVO) das fordert, müssen Sie wissen, in welchen Prozessen Ihr Betrieb personenbezogene Daten verarbeitet. Aus diesem Grund fordert die DSGVO in Artikel 30, dass Verantwortliche ein Verzeichnis der betroffenen Verarbeitungstätigkeiten führen.

Um die Vorgaben des Artikels 30 erfolgreich umzusetzen, sollten Sie eine verbindliche Anleitung verfassen, wie das Verzeichnis der Verarbeitungstätigkeiten erstellt und gepflegt werden soll. Unsere Beobachtung aus dem Beratungsalltag: Erstaunlich wenige Verantwortliche haben eine solche verbindliche Anleitung.

Wenn Sie keine solche Anweisung haben, bedeutet das in der Regel, dass Sie zweierlei nicht sicherstellen können: zum einen, dass alle Verarbeitungstätigkeiten mit personenbezogenen Daten überhaupt erfasst sind. Zum anderen, dass das Verzeichnis der Verarbeitungstätigkeiten vollständig und aktuell ist. Es fehlt also eine wesentliche Grundlage, die Anforderungen der DSGVO strukturiert umzusetzen .

Faktisch ist das Verzeichnis der Verarbeitungstätigkeiten Voraussetzung für die Umsetzung der DSGVO . Wenn Datenschutzbeauftragte und Mitglieder des Datenschutzteams nicht wissen, in welchen Prozessen welche Daten wie verarbeitet werden , können Verantwortliche die Forderungen der DSGVO schlichtweg nicht oder nicht vollständig umsetzen.

Lückenhaftes oder veraltetes Verarbeitungsverzeichnis

Die niedersächsische Aufsichtsbehörde für den Datenschutz hat vor wenigen Monaten ihren Bericht für das Jahr 2021 veröffentlicht. Darin berichtet sie von Überprüfungen , die sie in 30 niedersächsischen Kliniken vorgenommen hat. Die Behörde wollte unter anderem wissen, wo die Kliniken beim Verzeichnis der Verarbeitungstätigkeiten stehen .

Für Insider war das Ergebnis nicht überraschend. Das kleinste Verzeichnis enthielt 17 Verarbeitungstätigkeiten , das größte mehr als 800 . Natürlich gab es einen Zusammenhang zwischen der Größe der Klinik und der durchschnittlichen Zahl erfasster Verarbeitungstätigkeiten . Die Bandbreite ist allerdings so groß, dass die niedersächsische Aufsichtsbehörde für dieses Jahr weitere Untersuchungen in diesem Bereich angekündigt hat.

Wird das Verzeichnis der Verarbeitungstätigkeiten nicht oder nicht vollständig geführt und kann auf Anfrage der Aufsichtsbehörde nicht vorgelegt werden, liegt ein Datenschutzverstoß vor. Im schlimmsten Fall kann das zu einer Geldbuße führen. Hier gilt der „kleinere“ Bußgeldrahmen bis 10 Millionen Euro oder, bei verbundenen Unternehmen, bis 2 Prozent des Vorjahresumsatzes .

Allerdings: Da ein funktionierendes Verzeichnis der Verarbeitungstätigkeiten die absolute Grundlage für jede weitere Arbeit im Datenschutz ist, kommen in aller Regel ganz automatisch weitere Verstöße gegen die DSGVO hinzu. Das Risiko, in Konflikt mit der Aufsichtsbehörde zu geraten, ist also nicht von der Hand zu weisen.

Der VVT-Check

Passgenaue Analyse. Klare Empfehlungen.

Endlich Sicherheit beim Verzeichnis der Verarbeitungstätigkeiten.

Jetzt unverbindlich kennenlernen:

Die Grundlage für guten Datenschutz

Funktionierender Datenschutz ist darauf angewiesen , dass Geschäftsprozesse hinreichend beschrieben sind. Dafür sind die Forderungen aus Artikel 30 nicht ausreichend . Tatsächlich hat die DSGVO an anderer Stelle weitere Forderungen für eine saubere Datenverarbeitung in den Geschäftsprozessen , die Artikel 30 unerwähnt lässt. Dazu gehört beispielsweise die Prüfung , ob im Prozess eine Datenschutzfolgenabschätzung vorzunehmen ist. Wo wird diese Prüfung dokumentiert, wenn nicht im Zusammenhang mit den Verarbeitungstätigkeiten? Eben. Es ist also ratsam, an einer Stelle zusammenzutragen , welche Personendaten in welchem Prozess wie verarbeitet werden und wie dabei die Anforderungen der DSGVO erfüllt werden können.

Wenn Datenschutzbeauftragte ihre Arbeit richtig machen wollen, muss sichergestellt sein, dass die Prozessverantwortlichen zusammen mit den Mitgliedern des Datenschutzteams die Geschäftsprozesse einheitlich beschreiben . Datenschutzbeauftragte haben zu überprüfen , ob die Umsetzung den Anforderungen des Artikel 30 DSGVO genügt.

Vergessen Sie aber nicht: Datenschutzbeauftragte sollten die Beschreibungen der Verarbeitungstätigkeiten nicht selbst vornehmen . Sie haben nämlich laut DSGVO (genauer beschreibt es Artikel 39) eine Überwachungsaufgabe und würden sich damit selbst kontrollieren . Dies schließt die DSGVO jedoch in den Artikeln 36 und 37 aus.

Datenschutzbeauftragte sollten beim Verantwortlichen also darauf hinwirken , dass die Beschreibungen der Verarbeitungstätigkeiten vollständig, aktuell und so klar sind, dass die Verarbeitungen in den Prozessen verstanden werden können. Zumindest so weit, dass die Anforderungen der DSGVO strukturiert und ohne Beanstandungen umgesetzt werden können, beispielsweise im Zusammenhang mit Betroffenenrechten . Das Verzeichnis der Verarbeitungstätigkeiten ist sodann von Datenschutzbeauftragten zu prüfen .

In 11 Schritten zum erfolgreichen Verarbeitungsverzeichnis

1. Verfassen Sie eine verbindliche Anweisung zur Erstellung der Beschreibungen von Verarbeitungstätigkeiten
2. Stellen Sie sicher, dass alle Prozessverantwortlichen diese verbindliche Anweisung kennen und anwenden
3. Sorgen Sie systematisch dafür, dass alle Verarbeitungstätigkeiten erfasst und gemäß den Anforderungen der DSGVO im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden.
4. Falls sich Prozessverantwortliche und in den Prozessen tätige Personen nicht sicher sind, welche Infos alle in das Verzeichnis der Verarbeitungstätigkeiten eingebunden werden sollen, sollten sie Datenschutzbeauftragte fragen und hinzuziehen . Diese dürfen zwar nicht operativ tätig werden, können aber beantworten, welche Inhalte das Verzeichnis der Verarbeitungstätigkeiten haben muss und in welcher Form dies zu dokumentieren ist.
5. Prüfen Sie regelmäßig , ob das Verzeichnis der Verarbeitungstätigkeiten vollständig ist.
6. Prüfen Sie regelmäßig , ob das Verzeichnis der Verarbeitungstätigkeiten aktuell ist.
7. Stellen Sie sicher, dass Änderungen , seien sie technischer Natur oder rechtlich bedingt, zu einer Aktualisierung der dokumentierten Verarbeitungstätigkeiten führen.
8. Sorgen Sie dafür, dass Änderungen in den Geschäftsprozessen ebenfalls Niederschlag im Verzeichnis der Verarbeitungstätigkeiten finden.
9. Stellen Sie sicher, dass neue Verarbeitungstätigkeiten auch zu einer Überprüfung und gegebenenfalls Ergänzung der Datenschutzinformationen („Informationspflicht“) führen.
10. Vergewissern Sie sich, dass das Verzeichnis der Verarbeitungstätigkeit in einer Art und Weise geführt wird, die es erlaubt, es der Aufsichtsbehörde für den Datenschutz in geeigneter Weise zur Einsicht zu geben .
11. Nutzen Sie die Erfahrung von langjährigen Datenschutz-Profis , um Ihr Verarbeitungsverzeichnis endlich optimal aufzustellen . Mit dem VVT-Check von Team Datenschutz erfahren Sie, wo Ihr Verzeichnis Handlungsbedarf hat und wie Sie es schnell und zielgerichtet auf einen Stand bringen, der sich in vielerlei Hinsicht bezahlt macht .

Bei Datenschutz-Fragen Team Datenschutz fragen.

Der VVT-Check

Passgenaue Analyse. Klare Empfehlungen.

Endlich Sicherheit beim Verzeichnis der Verarbeitungstätigkeiten.

Jetzt unverbindlich kennenlernen:

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Oktober-Highlight: Verzeichnis der Verarbeitungstätigkeiten

Thu, 13 Oct 2022 14:00:24 GMT

Daten professionell schützen – jeden Monat aktuell

Das Datenschutz-Oktober-Highlight:
Ist Ihr Verarbeitungsverzeichnis aktuell und vollständig?

Aufsichtsbehörde prüft Verarbeitungsverzeichnisse

Wie ist das Verzeichnis der Verarbeitungstätigkeiten zu führen und vor allem, wie umfassend muss es sein? Dieser Frage geht der Tätigkeitsbericht der niedersächsischen Landesdatenschutzbeauftragten für das Jahr 2021 nach. Die Behörde hat in 30 Kliniken stichprobenartig den Status des Datenschutzes geprüft. Die Anzahl im Verarbeitungsverzeichnis beschriebener Tätigkeiten reichte dort von 17 bis über 800 . Auf Seite 154 des Berichts kann man nachlesen, dass der Durchschnitt in kleineren Häusern mit weniger als 20.000 Patienten im Jahr bei 90 Verarbeitungstätigkeiten lag, in Häusern mit mehr als 20.000 Patienten jährlich bei 207 .

In ihrem Bericht schreibt Landesdatenschutzbeauftragte Barbara Thiel, derzeit lägen keine konkreten Informationen vor, wie viele Verarbeitungstätigkeiten in einem Klinikum tatsächlich zu führen sind. Die festgestellte Spanne erscheint ihr allerdings zu groß. Sie kündigt an, im Jahr 2022 im Rahmen einer Nachprüfung diese Frage gesondert zu klären und sich Auszüge der Verarbeitungstätigkeiten in den Kliniken zeigen zu lassen.

Können Sie die gesetzlichen Vorgaben nachweisen?

Wie sind Sie in Sachen Verarbeitungsverzeichnis aufgestellt? Selbst wenn es sich bei Ihrer Organisation um kein Klinikum handelt und auch wenn die niedersächsische Aufsichtsbehörde für Sie nicht zuständig sein sollte: Könnten Sie Ihrer Aufsichtsbehörde auf entsprechende Fragen die verlässliche Auskunft erteilen, zu der Sie gesetzlich verpflichtet sind?

Das sagt die DSGVO

Die Anforderung der DSGVO laut Artikel 30: „Der Verantwortliche oder der Auftragsverarbeiter sowie gegebenenfalls der Vertreter des Verantwortlichen oder des Auftragsverarbeiters stellen der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung.“

Könnten Sie einer solchen Anforderung in der geforderten Zeit, nämlich binnen 30 Tagen , angemessen und korrekt Folge leisten? Wissen Sie, ob Ihr Verarbeitungsverzeichnis aktuell und vollständig ist und entsprechend den Vorgaben der DSGVO geführt wird? Lassen Sie sich hierzu regelmäßig berichten ? Haben bei Ihnen Datenschutzbeauftragte, Datenschutzkoordinatoren und Verantwortliche für die einzelnen Prozesse genügend Ressource n, die Anforderungen der DSGVO zu erfüllen?

Kompetente Unterstützung durch Experten von Team Datenschutz

Sollten Sie sich unsicher sein: Team Datenschutz hat für Hunderte Verarbeitungstätigkeiten Mustertexte erarbeitet. Kein Betrieb ist wie der andere, vorgefertigte Texte müssen natürlich an individuelle Gegebenheiten angepasst werden. Muster sparen allerdings eine Menge Zeit – und verringern ganz erheblich das Risiko, dass etwas übersehen wird.

Verarbeitungsverzeichnis vervollständigen

Klar ist, ein Verarbeitungsverzeichnis ist nie fertig . Zu oft gibt es Änderungen . Aber: Die Regel muss sein, dass neue Verarbeitungstätigkeiten schnell in das Verzeichnis aufgenommen werden. Es gilt regelmäßig zu prüfen , ob die Inhalte vollständig und aktuell sind. Beste Voraussetzung ist eine entsprechende Richtlinie oder Arbeitsanweisung .

Aktuelles Beispiel Arbeitsunfähigkeitsbescheinigung

Ein aktuelles Beispiel für die Anforderung, das Verarbeitungsverzeichnis zu aktualisieren, sind die Änderungen bei der Arbeitsunfähigkeitsbescheinigung . Durch die Digitalisierung ändert sich dieser Prozess grundlegend . Die Änderungen müssen im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Ist das bei Ihnen schon geschehen oder befindet sich in Vorbereitung?

Risikoanalyse und weitere Anforderungen

Die niedersächsische Aufsichtsbehörde verweist auf die Tatsache, dass bei den Beschreibungen der Verarbeitungstätigkeiten eine Risikoanalyse erkennbar sein muss , aus der geeignete Maßnahmen hervorgehen, um ein potentielles Risiko zu minimieren oder bestenfalls auszuschließen. Mit geeigneten technischen und organisatorischen Maßnahmen sind diese Gegenmaßnahmen tatsächlich und nachvollziehbar umzusetzen .

Sind diese Anforderungen bei Ihnen erfüllt oder gibt es hier Potenzial zur Verbesserung? Wie würde Ihre Antwort auf eine Anfrage der Aufsichtsbehörde aussehen? Wissen Sie, wie viele Verarbeitungstätigkeiten in Ihrem Verzeichnis vorhanden sind und ob diese aktuell und vollständig sind? Haben Sie eine Arbeitsanweisung, Verarbeitungsvorgänge so zu dokumentieren , wie es die DSGVO in Artikel 30 fordert? Und dienen die Verarbeitungsbeschreibungen als Grundlage für die Erfüllung der grundsätzlichen Anforderungen des Datenschutzes?

Zur Sicherheit: Wie wäre es mit dem VVT-Check?

Die Experten von Team Datenschutz unterstützen Sie gerne. Mit dem VVT-Check haben sie ein Verfahren entwickelt, das Klarheit schafft , wo beim Verarbeitungsverzeichnis Handlungsbedarf besteht. So gering das Risiko für eine Geldbuße durch die Datenschutz-Aufsichtsbehörde sein mag – das Einhalten verbindlicher gesetzlicher Vorschriften ist unmissverständlich Handlungsgrundlage aller Unternehmen. Übrigens unabhängig davon, ob sie Datenschutzbeauftragte benennen müssen oder nicht.

Die Chance für Prozessoptimierung

Übrigens bergen gut dokumentierte Verarbeitungstätigkeiten ein vielfach unterschätztes Potenzial, denn sie sind die ideale Grundlage für Prozessoptimierung . Gut gemachter Datenschutz spart Geld, Zeit und Nerven.

Der VVT-Check von Team Datenschutz. Jetzt kennenlernen!

Mit dem VVT-Check von Team Datenschutz gewinnen Sie endlich Sicherheit in Sachen Verarbeitungstätigkeiten und bekommen klare Empfehlungen , wo Sie nachbessern sollten.

Noch unsicher? Mit unserem Schnell-Check geben wir Ihnen gerne eine erste Einschätzung – kostenlos und unverbindlich !

Der VVT-Check

Passgenaue Analyse. Klare Empfehlungen.

Endlich Sicherheit beim Verzeichnis der Verarbeitungstätigkeiten.

Jetzt unverbindlich kennenlernen:

Online-Seminar zur Datenminimierung

Tue, 13 Sep 2022 08:51:35 GMT

90 Minuten kompaktes Know-how von Datenschutz-Experte Eberhard Häcker

Datenminimierung: So heben Sie Ihre Schätze

Online-Seminar mit Speaker Eberhard Häcker

Wie sparen Unternehmen Kosten, gewinnen Zeit für Nützliches und verursachen weniger CO₂? Datenschutz-Experte Eberhard Häcker hat einen Vorschlag: Datenminimierung.

Datenminimierung ist einer der Grundsätze der DSGVO und verpflichtend für Unternehmen, die mit personenbezogenen Daten arbeiten. Sie hat aber auch jede Menge Vorteile, von denen Betriebe nachhaltig profitieren.

Welche das sind und wie Unternehmens-Teams damit erfolgreicher, effizienter und zufriedener arbeiten, verrät der langjährige Datenschutz-Berater im aktuellen Online-Seminar des WEKA-Verlags.

Neugierig?

Datenminimierung: So heben Sie Ihre Schätze

Donnerstag, 15. September 2022

10:30 bis 12:00 Uhr

Infos & Anmeldung

Alle Infos zum Seminar und die Anmeldung finden Sie auf der Website des WEKA-Verlags:

Der betriebliche Fuhrpark im Verzeichnis der Verarbeitungstätigkeiten

Mon, 04 Jul 2022 14:45:43 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Das Verarbeitungsverzeichnis

„Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen.“ So steht es in Artikel 30 der DSGVO. Heißt mit anderen Worten: Ein Betrieb muss ein Verarbeitungsverzeichnis führen, worin alle Vorgänge mit Personendaten gesammelt und mit bestimmten Mindestangaben festgehalten sind.

Personenbezogene Daten aus dem Fuhrpark?

Wie steht es um Ihr Verarbeitungsverzeichnis? Ist eine Verarbeitungstätigkeit zum betrieblichen Fuhrpark darin enthalten – oder gehen Sie entspannt davon aus, dass der Fuhrpark gar keine personenbezogenen Daten verarbeitet und demzufolge nicht in dieses Verzeichnis muss? Wenn ja: Glauben Sie ernsthaft, dass ein Fahrzeug heutzutage keine personenbezogenen Daten verarbeitet? Wieder ja? Dann machen Sie sich auf etwas gefasst!

Verarbeitungstätigkeiten zum Fuhrpark

Sind Sie sich der Datenverarbeitung durch Geschäftswagen, Transporter & Co. bewusst und haben eine entsprechende Verarbeitungstätigkeit? Sehr gut! Allerdings auch hier: Glauben Sie, Sie haben einen realistischen Überblick über die personenbezogenen Daten, die mit dem Fuhrpark verarbeitet werden?

Keine Verarbeitungstätigkeiten zum Fuhrpark

Noch einmal zurück zum ersten Szenario. Eine Verarbeitungstätigkeit zum Fuhrpark ist nicht Bestandteil Ihres Verzeichnisses der Verarbeitungstätigkeiten. Vielleicht haben Sie bisher übersehen, dass mit der Nutzung des Fuhrparks personenbezogene Daten entstehen, oder vielleicht sind Sie einfach noch nicht dazu gekommen. So oder so sollten Sie das Thema jetzt angehen und eine Verarbeitungstätigkeit zur Nutzung betrieblicher Fahrzeuge erstellen.

Fahrzeugdaten sind personenbeziehbare Daten

Aber mal langsam – fallen Daten aus dem Fuhrpark überhaupt in den Geltungsbereich der DSGVO? Ja, das tun sie. Jedes Fahrzeug hat eine eindeutige Fahrzeugidentifikationsnummer (die früher auch als Fahrgestellnummer bezeichnet wurde) und ein Kfz-Kennzeichen. Beide Daten lassen sich Haltern und (wegen rechtlicher Verpflichtungen) Fahrern zuordnen. Damit sind alle im Fahrzeug anfallenden Daten auf Personen beziehbar und unterliegen uneingeschränkt den Bestimmungen der DSGVO. Und da jedes moderne Fahrzeug über eine stolze Zahl von SIM-Karten und/oder Kameras verfügt, handelt es sich um eine ganz beträchtliche Menge Daten.

Geschäftswagen & Co. im Verzeichnis der Verarbeitungstätigkeiten

Damit gilt der schon zitierte Artikel 30 der DSGVO mit der Verpflichtung, Fahrzeugdaten den Verarbeitungstätigkeiten zuzurechnen. Also muss es mindestens eine Verarbeitungstätigkeit geben, die sich mit Fuhrpark, Geschäftswagen, Poolfahrzeugen etc. befasst.

Wo ist das Risiko?

Wer einen Fuhrpark betreibt und eine solche Verarbeitungstätigkeit versäumt, verstößt gegen Pflichten aus dem Datenschutzrecht. Das betrifft nicht nur die Verpflichtung aus der DSGVO, ein Verarbeitungsverzeichnis zu führen. Damit hängen nämlich weitere Pflichten zusammen, etwa die, korrekte Auskünfte zu geben oder einer Aufforderung zur Löschung personenbezogener Daten nachzukommen. Diese Risiken lassen sich schnell ausmerzen, wenn Sie den Fuhrpark angemessen im Verarbeitungsverzeichnis berücksichtigen.

Überwachungsaufgabe des Datenschutzbeauftragten

Die DSGVO verpflichtet Datenschutzbeauftragte, zu überwachen, ob der Verantwortliche die Vorschriften zum Datenschutz umsetzt.
Konkret fordert die DSGVO die „Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen“. (Artikel 39 Absatz 1 DSGVO)

Verarbeitungstätigkeit vorhanden – ja oder nein?

Also müssen Datenschutzbeauftragte exakt diese Frage stellen: Gibt es eine Verarbeitungstätigkeit nach Art. 30 DSGVO zu Fahrzeugdaten aus dem Fuhrpark? Wenn nicht, muss im Datenschutz-Jahresbericht des oder der Datenschutzbeauftragten stehen, dass diese Verpflichtung nicht erfüllt ist.

Das droht bei „Nein“

Die DSGVO gibt Aufsichtsbehörden für den Datenschutz zehn Abhilfebefugnisse an die Hand. Die Geldbuße steht erst an neunter Stelle, sollte aber ernstgenommen werden. Wer wissen will, wie hoch sie ausfallen kann, wird in Artikel 83 der DSGVO fündig: Die Geldbuße bei nicht geführtem oder nicht vollständigem Verarbeitungsverzeichnis reicht bis zu 10 Millionen € oder 2 % des Vorjahresumsatzes – und zwar der gesamten Unternehmensgruppe. Dass eine fehlende Verarbeitungstätigkeit zum Fuhrpark jemals mit einer derart hohen Geldbuße geahndet wird, ist natürlich äußerst unwahrscheinlich. Aber: Für das Risikomanagement und damit für die Risikoprüfung durch Geschäftspartner ist dies weniger bedeutend als die Tatsache, dass es sich dabei faktisch um einen Rechtsverstoß handelt. Es geht den Datenschutz also sehr wohl etwas an, ob der Verantwortliche eine Verarbeitungstätigkeit zur Verarbeitung von personenbezogenen Daten in betrieblichen Fahrzeugen führt oder nicht.

Tipps, wie Sie den Fuhrpark im Verarbeitungsverzeichnis angemessen berücksichtigen

1. sicherstellen, dass eine Verarbeitungstätigkeit zu personenbezogenen Daten in betrieblichen Fahrzeugen vorhanden, aktuell und möglichst vollständig ist,
2. insbesondere sicherstellen, dass die Verarbeitungstätigkeit zur Verarbeitung personenbezogener Daten im Fahrzeug vollständig ist,
3. dafür sorgen, dass die Beschreibung zur Verarbeitungstätigkeit vollständig ist,
4. dafür sorgen, dass Daten zur Nutzung von Fahrzeugen in den Erläuterungen zum Datenschutz aufgeführt sind,
5. dafür sorgen, dass Daten zur Nutzung von Fahrzeugen bei Auskunftsanfragen betroffener Personen enthalten sind, (Lesetipp: der Team Datenschutz Datentipp vom 30. Juni 2022: An alles gedacht? Betroffenenanfrage und Daten aus dem Fuhrpark )
6. dafür sorgen, dass alle, deren Daten durch betriebliche Fahrzeuge verarbeitet werden, in Schulungen angemessen zu diesem Thema sensibilisiert werden,
7. sicherstellen, dass die Beschreibung der Verarbeitungstätigkeit bei Anfragen der Aufsichtsbehörde vorgelegt werden kann.

Und die Kernfrage: Ist der Fuhrpark des Unternehmens im Verzeichnis der Verarbeitungstätigkeiten berücksichtigt und entspricht den Vorgaben aus Artikel 30 der DSGVO?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der datenschutzkonforme Fuhrpark – realisierbar oder Wunschdenken?

Das neue Webinar

7. Juli 2022 · 9:30 bis 12:00 Uhr

An alles gedacht? Betroffenenanfrage und Daten aus dem Fuhrpark

Thu, 30 Jun 2022 14:38:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Auskunftsrecht zentral im Datenschutz

Das Auskunftsrecht der von Datenverarbeitung betroffenen Personen nach Artikel 15 der Datenschutz-Grundverordnung (DSGVO) gehört zu den Betroffenenrechten , die einst Anlass für die Entstehung der DSGVO waren. Entsprechend hoch ist ihr Stellenwert: Werden Rechte betroffener Personen verletzt, führt das zum höheren der beiden Geldbußerahmen, die die DSGVO in petto hat. Wer sie verletzt, riskiert eine Geldbuße bis 20 Millionen Euro oder 4 Prozent des Vorjahresumsatzes der gesamten Unternehmensgruppe.

Zahlreiche Datenkategorien

Entsprechend ernst nehmen viele Verantwortliche die Erfüllung der Betroffenenrechte und insbesondere des Auskunftsrechts. Allerdings: Den dafür nötigen Überblick zu behalten , ist gar nicht so einfach. Mit zunehmender Digitalisierung werden auch die Personenkategorien betroffener Personen und die Datenkategorien der verarbeiteten personenbezogenen Daten immer umfangreicher . Das bedeutet auch: Eine vollständige Auskunft auf eine solche Anfrage zu erteilen, wird immer herausfordernder.

Anwälte und das lukrative Auskunftsrecht

Viele Arbeitgebende beobachten in letzter Zeit ein ganz eigenes Phänomen: Es häufen sich Auskunftsanfragen durch Beschäftigte . Und zwar besonders dann, wenn diese das Unternehmen verlassen müssen oder wollen. Das Unternehmen muss darlegen, welche Daten es über Anfragende verarbeitet . Arbeitsrechtsanwälte scheinen dieses Mittel sehr gezielt zu nutzen. Das Kalkül könnte sein: Man macht dem Verantwortlichen einen Haufen Arbeit und bietet dann an, auf die Erfüllung zu verzichten, wenn das Unternehmen einer (höheren) Abfindung zustimmt . Für manchen Anwalt ein lukratives Instrument.

Umfassende Liste der Datenkategorien

Umso wichtiger, bei Auskunftsanfragen durch Beschäftigte keine Daten zu übersehen . Idealerweise führen Sie eine Liste, wo Sie alle Kategorien personenbezogener Daten der Beschäftigten erfassen. Viele denken an Bereiche wie Arbeitsvertrag, Lohn- und Gehaltszahlung, Fortbildung, Schicht- und Einsatzplanung .

Oft vergessen: Daten aus dem Fuhrpark

Allerdings gibt es Bereiche, wo Personendaten von Beschäftigten verarbeitet werden, an die nicht jeder sofort denkt . Dazu zählt häufig die Nutzung von Fahrzeugen aus dem Fuhrpark . Und zwar nicht nur PKWs, Transporter, LKWs , sondern etwa auch E-Bikes . Denn auch mit E-Bikes werden personenbezogene Daten verarbeitet.

Datenkrake Fahrzeug

Dass solche Daten bei Betroffenenanfragen häufig übersehen werden, ist umso heikler, als sie zahlreich und umfangreich sind. Und auch wenn man daran denkt – wer kann schon behaupten, er kenne alle Personendaten, die moderne Fahrzeuge verarbeiten ? Das Thema ist hochkomplex. Das perfekte Einfallstor für Versuche aller Art, einem Unternehmen mal so nebenbei Geld aus der Tasche zu ziehen .

Risikoabwägung

Artikel 24 der Datenschutz-Grundverordnung verpflichtet Verantwortliche, eine Abwägung der Risiken vorzunehmen, die bei der Verarbeitung personenbezogener Daten entstehen. Welche Risiken drohen in Zusammenhang mit dem Fuhrpark ?

Risiko unvollständige Auskunft

Wenn Sie bei der Beantwortung einer Betroffenenanfrage Daten übersehen, kann diese unvollständige Auskunft dazu führen, dass die betroffene Person die Datenschutz-Aufsichtsbehörde einschaltet, da Sie ihre Grund- und Freiheitsrechte verletzt haben. Oder sie meldet Sie nicht der Aufsichtsbehörde, sondern wendet sich an einen Anwalt .

Schadenersatz und andere Zahlungen

Immer mehr Anwälte entdecken, dass nicht jedes Unternehmen die komplexen Regelungen der DSGVO komplett umsetzt, und nutzen diesen Umstand. Sie stellen Forderungen . Ob es sich dabei um Schadenersatz für einen wie auch immer gearteten Schaden handelt oder um Zahlungen wie eine Abfindung , ist letztlich unerheblich.

Schuld daran ist übrigens nicht der Datenschutz, schuld ist mangelnde Organisation beim Verantwortlichen. Denn überall dort, wo Prozessmanagement richtig geführt wird, kann Datenschutz sauber umgesetzt werden. Durch Fehler in der Organisation können Lücken entstehen , die Geld kosten, in Einzelfällen sogar richtig teuer werden. Das muss nicht sein.

Erfolgreiches Datenschutzmanagement

Um Geldbußen und andere Zahlungen zu vermeiden, gilt es, das Datenschutzmanagement einzubinden . Datenschutzbeauftragte haben eine Überwachungsaufgabe gemäß Artikel 39 Absatz 1 DSGVO. Allein darum brauchen sie eine vollständige Übersicht , welche Geschäftsprozesse welche Daten verarbeiten. Dann können sie dafür sorgen, dass diese Daten der DSGVO gemäß gehandhabt werden. Voraussetzung ist, dass Datenschutzbeauftragte von diesen Prozessen wissen.

Checkliste aller Verarbeitungen

Es gilt also, eine Checkliste aller möglichen Verarbeitungen personenbezogener Daten der Beschäftigten anzufertigen. Diese Liste muss regelmäßig überarbeitet und bei Bedarf ergänzt werden. Wer eine solche Liste hat, kann nachsehen, ob der Fuhrpark und die Daten daraus berücksichtigt sind. Wer keine solche Liste hat, sollte sie so schnell wie möglich erstellen – und die Daten aus dem Fuhrpark gleich mit aufnehmen .

Ernsthaft – welche Daten verarbeitet ein modernes Fahrzeug?

In der Praxis beginnen damit erst die Herausforderungen. Nun gilt es zu ermitteln: Welche Daten werden überhaupt mit den Fahrzeugen des Fuhrparks verarbeitet? Gar nicht so einfach! Fahrzeughersteller , so hat der ADAC ermittelt, halten solche Informationen oft lieber zurück. Tatsache ist: Ein Neufahrzeug, egal ob Verbrenner oder Elektromobil, hat heute um die 20 SIM-Karten , die allesamt Daten verarbeiten und weitergeben. Diese Daten lassen sich auf den Halter und den Fahrer zurückführen . Sie sind also Personendaten .

Aufsichtsbehörden und Gerichte gefragt

Obwohl der ADAC vier Fahrzeugtypen untersucht hat, ist in keinem Fall ein vollständiger Überblick gelungen, welche Daten sie tatsächlich verarbeiten. Ob das im Zweifelsfall dem Hersteller oder dem Verantwortlichen als Betreiber des Fuhrparks angelastet wird, werden früher oder später Gerichte entscheiden. Dazu wird es kommen, wenn die Aufsichtsbehörden auf das Thema aufmerksam werden. Noch sind sie das nicht, das kann sich jedoch ändern.

Datenschutz muss auch ohne Sanktionen erfüllt werden

Der Datenschutz verpflichtet Sie unabhängig von Kontrollen und möglichen Strafen zu einem sauberen Überblick der Verarbeitung personenbezogener Daten am Arbeitsplatz . Dazu sollten Sie als Allererstes die Beschreibung der Verarbeitungstätigkeiten zum Fuhrpark anfertigen. Dann gilt festzustellen, wer Fahrzeuge des Fuhrparks nutzen darf . Bei all diesen Personen müssen Sie im Fall einer Betroffenenanfrage die Nutzungsdaten aus dem Fuhrpark berücksichtigen .

Fuhrpark und Risikomanagement

Datenschutz ist Risikomanagement. Angesichts fehlender Kontrollen durch Aufsichtsbehörden können Verantwortliche entscheiden, das Risiko etwaiger Strafzahlungen als gering einzustufen, kostspielige Anstrengungen lieber zu unterlassen und drohende Folgen bewusst in Kauf zu nehmen. Die Entscheidung liegt beim Verantwortlichen, genau so sieht es die DSGVO etwa in Artikel 24 vor. Klar muss aber sein: Wer dieses Risiko eingeht und ertappt wird, kommt womöglich nicht um eine Geldbuße herum. Allerdings: Datenschutz ist ein Grundrecht , und das kann ein guter Grund sein, angemessene Kosten oder Mühen auf sich zu nehmen, um dieses Grundrecht ernst zu nehmen und zu wahren.

Tipps für mehr Überblick bei den Fuhrpark-Daten

• Prüfen Sie, ob es überhaupt Fahrzeuge gibt, die von Beschäftigten genutzt werden.

• Sehen Sie in den Verträgen für die Beschaffung der Fahrzeuge nach, ob umfassende Datenschutzerklärungen vorhanden sind. Berücksichtigen Sie dabei Kauf-, Leasing- und Mietfahrzeuge.

• Sind die Datenschutzerklärungen vorhanden, prüfen Sie, ob die Formulierungen darin verständlich und nachvollziehbar sind.

• Ist dies nicht der Fall, wenden Sie sich an den Hersteller, um Klarheit zu erhalten . Die Wahrscheinlichkeit, dass das gelingt, ist zugegebenermaßen gering. Aber: Im Ernstfall werden Ihre Anstrengungen der Aufsichtsbehörde zeigen, dass Sie sich um die nötigen Informationen bemüht haben – und etwaige Sanktionen werden mutmaßlich geringer ausfallen.

• Bedenken Sie, dass unabhängig davon im Fuhrpark personenbezogene Daten von Beschäftigten verarbeitet werden, die Ihnen bekannt sind. Zu den bekannteren zählen F ahrtenbücher, Reservierungslisten , Daten in Navigationsgeräten und Telefonlisten zur Nutzung dienstlicher Smartphones. Prüfen Sie, welche weiteren anfallen, und nehmen Sie sie in die Übersicht auf.

• Sorgen Sie dafür, dass die im Fuhrpark verarbeiteten Personendaten in der Erfüllung der Informationspflicht nach Artikel 13 DSGVO enthalten sind. Wird der Fuhrpark von einem externen Dienstleister betrieben, kommt Artikel 14 hinzu.

• Stellen Sie sicher, dass bei Beantwortung von Betroffenenanfragen die Fuhrparkdaten aufgeführt werden.

• Bedenken Sie, dass der Fuhrpark nicht nur Straßenfahrzeuge umfasst, sondern auch Fahrzeuge wie Gabelstapler, Transporter und Fahrzeuge, die nur auf dem Werksgelände genutzt werden – auch diese verarbeiten personenbezogene Daten.

• Sorgen Sie dafür, dass regelmäßig überprüft wird, welche Daten im Fuhrpark verarbeitet werden.

• Überprüfen Sie regelmäßig, ob Datenverarbeitungen rechtens sind oder Änderungen nötig machen.

• Stellen Sie sicher, dass alle darüber hinaus verarbeiteten personenbezogenen Daten in diesem Zusammenhang, beispielsweise auch E-Bikes , die auf dem Werksgelände im Einsatz sind, erfasst werden und in die Auskunft an Betroffene einfließen .

Und die Kernfrage: Haben Sie sichergestellt, dass in der Betroffenenauskunft Daten aus dem Fuhrpark enthalten sind?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der datenschutzkonforme Fuhrpark – realisierbar oder Wunschdenken?

Das neue Webinar

7. Juli 2022 · 9:30 bis 12:00 Uhr

Wie viel Datenschutz gilt bei Fragen von der Polizei?

Wed, 22 Jun 2022 12:24:18 GMT

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Der Mann auf dem Foto

Stellen Sie sich vor, Sie arbeiten als Empfangskraft. Eines Morgens steht ein Polizist am Empfangstresen und hält Ihnen einen Ausdruck unter die Nase. Bei dem Dokument handelt es sich um das Protokoll einer Geschwindigkeitsübertretung , ein Foto des Fahrers liegt bei. 23 km/h zu schnell außerhalb geschlossener Ortschaften. Das Fahrzeug: ein Poolfahrzeug aus dem betrieblichen Fuhrpark . Der Mann auf dem Foto: gut zu erkennen. Eindeutig ein Kollege von Ihnen. „Arbeitet der Mann auf dem Bild hier?“, lautet die Frage des Polizisten.

Sie zögern. Sollen Sie antworten? Der Polizei muss man doch helfen, wo es geht, oder?

Personendaten an die Polizei weitergeben?

Was ist zu tun? Bereitwillig Auskunft geben oder die Auskunft verweigern und auf Datenschutz pochen ? Beides kann falsch sein. Besser einmal durchatmen und die Sache in Ruhe betrachten.

Was der Polizist möchte, ist eine Auskunft über einen Kollegen, sprich: die Herausgabe personenbezogener Daten . Müssen Sie diese Daten preisgeben? Gut, wenn Sie jetzt die Grundlagen für die Rechtmäßigkeit der Datenverarbeitung kennen. Denn die Beantwortung der Frage des Polizisten kann eine Datenverarbeitung sein – möglicherweise eine unzulässige.

Lautet die Antwort wahrheitsgemäß „Ja, der Mann arbeitet bei uns“, wird die nächste Frage mutmaßlich lauten: „Wie heißt er?“ Und: „Nennen Sie mir bitte seine Adresse?“ Spätestens jetzt geht es um handfeste personenbezogene Daten .

Heikle Datenpreisgabe

Geben Sie offen Auskunft, riskieren Sie, wenn auch unbeabsichtigt, eine unerlaubte Datenverarbeitung . Die erfolgt, wenn Sie unrechtmäßig Personendaten weitergeben. Schließlich gilt: Sie dürfen nur Daten verarbeiten – und wenn Sie jemanden auf einem Foto identifizieren, tun Sie das – wenn Sie dies auf Anordnung des Verantwortlichen tun und dafür eine Rechtsgrundlage vorliegt.

Keine Auskunft ohne Rechtsgrundlage

Sechs mögliche Rechtsgrundlagen gibt es, die jetzt idealerweise vor Ihrem inneren Auge vorbeiziehen. Einwilligung des Kollegen in die Weitergabe der Daten an die Polizei bei derartigen Anfragen – wenig wahrscheinlich. Verarbeitung im Zuge einer Vertragserfüllung oder vorvertraglichen Maßnahme ? Ausgeschlossen. Vielleicht eine rechtliche Verpflichtung ? Klingt schon besser, dazu gleich mehr. Schutz lebenswichtiger Interessen des Kollegen? Taugt eher nicht. Aufgabe im öffentlichen Interesse ? Hat auch was, aber: Dafür hat der Staat ein Bußgeldverfahren eingerichtet, dessen erster Schritt der Zeugenfragebogen mit dem Beweisfoto ist. Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten? Passt auch nicht, zumindest nicht zu diesem Zeitpunkt.

Auskunft als rechtliche Verpflichtung?

Also zurück zur rechtlichen Verpflichtung. Erkundigen Sie sich doch bei dem Polizisten nach der Rechtsgrundlage . Zieht er jetzt einen richterlichen Bescheid aus der Tasche, sollten Sie diesen sorgfältig prüfen oder noch besser: jemanden um Hilfe bitten, der sich mit so etwas auskennt. Erweist sich das Anliegen als berechtigt, dürfen Sie Auskunft geben.
Hat der Polizist aber nichts dabei , machen Sie ihm einen Vorschlag zur Güte :

„Um Ihre Frage beantworten zu können, muss ich mich selbst erkundigen. Darf ich eine Kopie des Zeugenbefragungsbogens anfertigen? Dass das Fahrzeug bei uns zugelassen ist, sehe ich anhand der Nummer, und wenn ich kann, unterstütze ich Sie gerne.“ Dagegen kann der Polizist nichts haben.

Und dann? Sollten Sie auf den Kollegen zugehen , ihm den Bogen zeigen und ihm sagen, dass die Polizei da war und sich nach ihm erkundigt hat, und er sich doch bitte mit der ermittelnden Stelle in Verbindung setzen soll. Schon sind Sie den Schwarzen Peter los.

Tipps gegen unberechtigte Auskünfte über Kollegen

Mit diesen Tipps vermeiden Unternehmen mit Poolfahrzeugen unbefugte Datenweitergabe über Kollegen.

Stellen Sie sicher, dass alle Empfangskräfte die entsprechenden Vorgaben kennen und sich im Ernstfall richtig verhalten .
Prüfen Sie, ob für Poolfahrzeuge immer ein Fahrtenbuch vorliegt, denn danach wird die ermittelnde Stelle als nächstes fragen. Oder fordern Sie den Verantwortlichen auf, auf behördliche Anordnung ab sofort ein solches einzuführen .
Homeoffice oder nicht: Regeln Sie, dass der oder die betroffene Kolleg·in von der Ordnungswidrigkeit erfährt .
Sensibilisieren Sie auch die übrigen Kolleg·innen und stimmen sie auf das richtige Verhalten in einem solchen Fall ein.

Das ist die Kernfrage : Ist sichergestellt, dass auch gegenüber Autoritätspersonen wie Polizisten keine unberechtigten Auskünfte über Kollegen erteilt werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Der datenschutzkonforme Fuhrpark – realisierbar oder Wunschdenken?

Das neue Webinar

7. Juli 2022 · 9:30 bis 12:00 Uhr

Datenschutzkonforme Dienstwagen | Das neue Webinar

Wed, 15 Jun 2022 11:01:21 GMT

Datenschleuder Dienstwagen: Wie umgehen mit dem Fuhrpark?

Wie Geschäftswagen, Poolfahrzeug & Co. zu Datenpannen führen und was Sie dagegen tun. Jetzt anmelden!

Moderne Datenkraken

In vielen Unternehmen kaum beachtet: der Fuhrpark unter dem Gesichtspunkt Datenschutz . Dabei erzeugen moderne Fahrzeuge eine Unmenge an Daten . Daten, die sich etwa durch Fahrzeug-ID und Nummernschild auf ganz konkrete Personen beziehen lassen. Es handelt sich also um personenbezogene Daten - und damit sind sie Gegenstand der DSGVO .

Neben der Frage, inwieweit ein Unternehmen überhaupt beeinflussen kann, welche dieser Daten Fahrzeuge aus dem Fuhrpark wohin weitergeben, ergeben sich allerhand weitere Pflichten und Herausforderungen : Die Informationspflicht gegen Mitarbeitende etwa oder das Verarbeitungsverzeichnis . Und wie handhabt man etwaige Auskunftsanfragen oder gar einen Löschantrag ?

Das brandaktuelle Webinar
zum datenschutzgerechten Fuhrpark

Diese und weitere Fragen sollten sich Unternehmen mit Dienstwagen unbedingt stellen. Im Webinar erfahren Sie, was es in Sachen Geschäftswagen & Co. alles zu beachten gibt. Sie erhalten einen eingehenden Überblick über nötige Schritte und Maßnahmen. Und Sie erfahren, wie die Datenschutz-Aufsichtsbehörden bislang mit dem Thema umgehen.

Datencrash & Datensicherung. Bereit für den Ernstfall?

Wed, 18 May 2022 14:11:09 GMT

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Datensicherung und ihre Tücken

Schwere Datenpanne im Unternehmen. Keine Daten mehr verfügbar. Das T agesgeschäft ist erst mal gelaufen .

Kann bei Ihnen nicht passieren? Das hat man in der Arztpraxis auch gedacht , wo täglich eine Bandsicherung erfolgte, um ein zuverlässiges Backup der Patientendaten zu haben – um nach einem Festplattencrash festzustellen, dass eines der zwei (!) verfügbaren Sicherungsbänder völlig unbrauchbar war. Das Band nämlich war so lange im Einsatz gewesen und hatte sich über die Zeit so abgenutzt , dass das neueste verwertbare Backup mehr als sechs Wochen alt war. Das hatte keiner bemerkt. Der geschätzte Schaden: 40.000 Euro wegen ausgefallener Honorare.

Wie wäre das bei Ihnen? Können Sie im Notfall alle benötigten Daten wiederherstellen , wirklich alle? In einem Zeitraum , der ein vernünftiges Weiterarbeiten ermöglicht? Kennen Sie den Zeitraum, wie lange welche Daten im Off sein dürften , bevor ein von Ihnen bestimmter finanzieller Schaden entstanden ist? Haben Sie überhaupt einen Überblick , welche Daten insgesamt zur Arbeit erforderlich sind, wo sie liegen , wie schnell sie wiederhergestellt werden könnten ?

Wo ist das Risiko?

Kein Unternehmen kann heute ernsthaft ohne Informationstechnik arbeiten. Fällt diese aus, weil etwa die Daten nicht mehr verfügbar sind, kann in der Regel faktisch nicht mehr gearbeitet werden. Die Folgen kann sich jeder selbst ausrechnen. Das ist ja nicht nur so, dass sich die Bürokräfte langweilen und eben alle zu stricken anfangen. Die gesamte IT liegt lahm, es geht nichts mehr. Aufträge , die nicht mehr vertragsgemäß bearbeitet werden, können die Existenz des Unternehmens gefährden .

Wenn es so weit ist, ist es im Grunde egal, ob der Crash durch einen Angriff von außen oder innen verursacht wurde, durch einen Fehler oder ein Versehen passiert ist. Jetzt besteht das Risiko, den Betrieb wirtschaftlich komplett an die Wand zu fahren. Dazu kommen rechtliche Risiken . Für KRITIS-Unternehmen beispielsweise gilt die rechtliche Verpflichtung, Daten innerhalb einer bestimmten Zeit wieder verfügbar zu machen. Für alle gilt: Personenbezogene Daten , die verarbeitet werden dürfen, müssen auch verfügbar sein . So will es die Datenschutzgrundverordnung .

Was der Datenschutz sagt

Was verlangt der Datenschutz? Laut DSGVO sind technische und organisatorische Maßnahmen zu treffen, mit denen die Daten verfügbar sind und im Notfall schnell wiederhergestellt werden können. Rasche Datenverfügbarkeit ist in der Datenschutzgrundverordnung also eine klare Anforderung. Und die bezieht sich nicht etwa nur auf einen Teil der personenbezogenen Daten, sondern aller personenbezogener Daten .
Datenschutzbeauftragte und Informationssicherheitsbeauftragte müssen also gemeinsam sicherstellen , dass im Fall des Datenverlusts die zuvor vorhandenen und erlaubt verarbeiteten Daten rasch wiederhergestellt werden können. Ohne Wenn und Aber.

Tipps für erfolgreiches Datensichern und Wiedereinspielen von Backups

Erstellen Sie eine Übersicht , welche Daten wo gespeichert sind. Berücksichtigen Sie mindestens all diejenigen, die für die tägliche Arbeit nötig sind.
Priorisieren Sie erforderliche Daten je nach Risiko: Welche dürfen wie lange ausfallen , damit ein festgesetzter Schaden vermieden werden kann?
Tragen Sie die anfallenden Kosten zusammen , wenn bestimmte Systeme nicht innerhalb der ermittelten Zeit wiederhergestellt werden können. Damit erhalten Sie das in Ziffern gefasste Risiko .
Erstellen Sie eine Übersicht aller Datensicherungen und der dafür verwendeten Technik .
Prüfen und dokumentieren Sie , ob Rücksicherungen erfolgreich durchgeführt werden können.
Bestimmen Sie die erforderlichen Maßnahmen , falls es beim Wiedereinspielen von Backups Abweichungen vom Sollzustand gibt (und die gibt es nahezu immer).
Erstellen Sie eine Liste der wieder einzuspielenden Daten im Notfall in der entsprechenden Reihenfolge .
Wenn möglich, führen Sie einen Härtetest durch. Bedenken Sie, dass das nur an ausgewählten Tagen wie Wochenende oder Feiertag in Frage kommt - es ist aber äußerst sinnvoll und empfehlenswert!

Das ist die Kernfrage: Kann Ihr Unternehmen Daten im Ernstfall so wiederherstellen , wie das Datenschutz und Informationssicherheit , die Compliance und vor allem das Risikomanagement fordern?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Neues Webinar: Reale Bedrohung durch Cyberangriffe

Mon, 28 Mar 2022 14:21:47 GMT

Exklusive Insights, Hintergründe und Know-how. Wie Sie Ihr Unternehmen effizient schützen.

Diesmal mit einem hochkarätigen Experten-Duo als Speaker, einzigartigen Einblicken und griffigen Praxisbeispielen. Anmelden!

Wie ist Ihr Unternehmen gewappnet gegen Cyberangriffe ? IT-Sicherheit ist das eine, aber AngreiferInnen werden immer raffinierter. Nicht jeder macht sich die Mühe, Firewalls zu hacken. Viel leichter und schneller geht es in den meisten Unternehmen, eine andere Schwachstelle zu nutzen: die Schwachstelle Mensch .

Häufig sind es Mitarbeitende, die Passwörter herausgeben oder Kriminellen andere Wege des Zugriffs geben. Oft, ohne es zu merken . Denn: Angreifer haben ganz eigene Strategien und wissen, wie man manipuliert . Stichwort Social Engineering .

Wie sieht es bei Ihnen aus? Sind alle im Unternehmen ausreichend geschult und wissen, wann sie hellhörig werden müssen? Erfahren Sie im Webinar, wie Sie Ihr Unternehmen und das Team gezielt gegen Cyberattacken und andere Angriffe wappnen . Kompakt, verständlich und praxisnah .

Speaker:

Ronald Schiele , Datenschutzbeauftragter und Informationssicherheitsbeauftragter, Expert Counter Intelligence, ehemaliger Mitarbeiter eines Nachrichtendienstes
Eberhard Häcker , Datenschutzbeauftragter, Informationssicherheitsbeauftragter, Compliance-Officer

Die Inhalte im Cyberattacken-Webinar

• aktuelle Cyberangriffe - wo die größten Gefährdungen lauern und die Folgen für den Datenschutz
• Fallbeispiel: so kann ein Angriff auf technischem Weg aussehen

• sichere Technik als Abwehrmöglichkeit
• sichere Passwörter in Kombination mit zweitem Faktor als eine Abwehrtechnik
• so wirkt Emotet

• mobiles Arbeiten und die besonderen Gefährdungen durch Cyberangriffe
• Angriffe über E-Mail und Phishing
• so funktioniert Social Engineering – und das kann man dagegen tun
• effektive Schulungen – Schwachstelle Mensch zielführend stärken
• der Eingriff ist erfolgt – und nun? wichtige Vorbereitungen, um richtig zu reagieren
• Cyberangriffe und Meldepflicht bei Aufsichtsbehörden
• Pflichten sicher erfüllen. So informieren Sie die Öffentlichkeit und Geschäftspartner
• Was bringt eine Cyber-Versicherung ?
• Unterstützung durch Behörden wie das Landeskriminalamt und das BSI
• Aktuelle Entwicklung und Ausblick : was wir für die nächsten Jahre erwarten müssen

Nächster Termin

Donnerstag, 7. April 2022 von 9:30 bis 12:00 Uhr

Teilnahme online als Webkonferenz

Nicht verpassen, anmelden!

Drucker, Kopierer, Multifunktionsgeräte. 13 Tipps gegen ungewollte Datenpannen

Mon, 14 Mar 2022 13:31:16 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Drucker und Multifunktionsgeräte richtig aufstellen

Drucker, Kopierer und Multifunktionsgeräte sind wichtige Geräte für den Arbeitsalltag. Faxgeräte ebenso, aber denen widmen wir uns ein andermal. Da mit Druckern, Kopierern und Multifunktionsgeräten personenbezogene Daten verarbeitet werden (und mitunter die besonders heiklen Daten nach Artikel 9 DSGVO), stellt sich eine zentrale Frage: Sind die Geräte und die damit verarbeiteten Daten ausreichend vor unbefugten Zugriffen geschützt?

Ich beobachte im Alltag immer wieder, dass Multifunktionsgeräte datenschutztechnisch unzureichend aufgestellt sind: in einer Arztpraxis etwa nahe des Wartezimmers neben dem Empfang. Zwangsläufig können Wartende hier auf ausgedruckte Dokumente linsen. Oder, wenn grade keiner guckt, Unterlagen an sich nehmen. Gelegenheit macht neugierig.

Gängige, aber falsche Gerätestandorte

Auch jenseits des medizinischen Bereichs kann der Standort des Multifunktionsgeräts schlecht gewählt sein – mit nicht weniger gravierenden Folgen. Nehmen wir das Kundencenter der Stadtwerke. Auch da gehen Druckaufträge ein, auch da mit teilweise sensiblen Daten. Dennoch stehen Geräte nicht selten in der Nähe des Empfangsbereichs, sprich: dort, wo die Besucher warten.

Es ist ein Phänomen, das in vielen Unternehmen in Erscheinung tritt: Drucker, Kopierer, Multifunktionsgeräte stehen in Fluren vor Büros, Besprechungsräumen, Schulungsräumen. Praktisch, wenn sie genau dort gebraucht werden. Wenn hier aber Externe Zutritt haben und in Pausen oder auf dem Weg zur Toilette an den Geräten vorbeikommen, ist es ein denkbar schlechter Ort.

Eins steht also fest: Obwohl sie sensible Daten verarbeiten, stehen Drucker, Kopierer und Multifunktionsgeräte oft an Stellen, wo Unbefugte Zugriff haben – und im wahrsten Sinne „zugreifen“ können. Viel zu leicht passiert es, dass sich Unbefugten ungewollte Einblicke bieten. Und wem würde überhaupt auffallen, wenn Unterlagen fehlen?

Risiken des falschen Standorts – und mögliche Lösungen

Haben Sie sich mal überlegt, welche Daten betroffen sein können, wenn Ausdrucke nicht vor neugierigen Dritten sicher sind? Dann tun Sie es mal. Und denken Sie dabei auch gleich über die vielen Möglichkeiten nach, mit solchen Daten Schindluder zu treiben. Viel zu oft sind Multifunktionsgeräte so eingestellt, dass der Ausdruck unmittelbar nach Absetzen des Druckauftrags erfolgt. Die Folge? Drucker arbeiten unbesehen vor sich hin. Dabei gibt es Wege, das zu verhindern, und zwar mit wenig Aufwand:

Multifunktionsgeräte in Räumen aufstellen, wo nur Befugte Zutritt haben.

So einfach, so zielführend.

Multifunktionsgeräte so aufstellen, dass sie immer im Blickfeld einer verantwortlichen Person sind.

Leuchtet ebenfalls ein, oder? Aber nicht vergessen: Natürlich verlässt der- oder diejenige gelegentlich, auch mal kurzfristig, den Arbeitsplatz. Treffen Sie verlässliche Regelungen und benennen beispielsweise eine Stellvertretung.

Geräte so einstellen, dass der Ausdruck erst erfolgt, wenn man eine PIN-Nummer eingibt oder sich anderweitig authentifiziert.

Diese Lösung hat viele Vorteile und nur einen Nachteil: Je größer der Druckauftrag, desto länger dauert er. Und da der Druck erst startet, wenn der oder die Mitarbeitende am Gerät steht, entstehen Wartezeiten – mal kürzer, mal länger.

So eine Zeitverschwendung? Mag sein, aber die Alternative bedeutet das Eintreten möglicher Datenpannen.

Wer im Sinne der DSGVO Vorteile gegen Nachteile abwägen möchte, betrachtet das Risiko unbefugter Einsicht von Ausdrucken hinsichtlich der Wahrscheinlichkeit des Eintretens und die Höhe des Schadens für die Rechte der Betroffenen, derer also, deren Daten im Ernstfall missbraucht werden. Nach dieser Analyse sollte es leichter fallen, eine Entscheidung zu treffen.

Besonders Geräte, an denen Daten mit einem hohen Maß an Vertraulichkeit ausgedruckt werden, sollten Sie fortan angemessen schützen. Die meisten Datenschutzverstöße passieren aus Versehen. Umso wichtiger, die Wahrscheinlichkeit solcher Versehen zu verringern. Umso mehr, wenn der Aufwand überschaubar ist.

Abhandenkommende Ausdrucke und die Bedeutung für den Datenschutz

Was sagt der Datenschutz zum Thema Drucker, Kopierer & Co.? Wenn unbefugte Personen sensible Daten, die unbeobachtet in Druckern liegen, entnehmen und einsehen können, handelt es sich rechtlich betrachtet um eine Verletzung des Schutzes personenbezogener Daten. Nach Artikel 33 der DSGVO müssen Sie dann prüfen, ob Sie diese Schutzverletzung an die Aufsichtsbehörde melden müssen.

Allerdings: Selten kommt es überhaupt zu dieser Prüfung. Wer etwas ausdruckt, aber nicht im Drucker findet, wird in der Regel eine technische Störung vermuten und eben gleich noch einmal drucken. Wer denkt schon daran, dass sich jemand ausgerechnet dafür interessieren könnte?

Zu solchen Vorfällen kommt es mutmaßlich viel öfter, als wir alle vermuten. Mutmaßlich kann es in Ihrem Unternehmen zu Pannen mit personenbezogenen Daten kommen, die Sie gar nicht bemerken. Gleichwohl können sie den Verantwortlichen auf die Füße fallen.
Aus Sicht des Datenschutzes gilt es, geeignete technische und organisatorische Maßnahmen zu treffen, um eine solche Schutzverletzung zu vermeiden. Darum herrscht hier in vielen Betrieben Handlungsbedarf. Treffen Sie geeignete technische und organisatorische Maßnahmen, um Datenpannen wegen abhandengekommener Ausdrucke weitgehend auszuschließen.

Tipps für den richtigen Umgang mit Drucker, Kopierer & Co.

Stellen Sie fest, wo überall Drucker, Kopierer oder Multifunktionsgeräte stehen. Fertigen Sie eine Liste an , in der Sie die Geräte und ihre Standorte festhalten.
Tragen Sie zusammen, wer berechtigt ist , an Druckern, Kopierern oder Multifunktionsgeräten Ausdrucke oder Datenübertragungen vorzunehmen .
Halten Sie fest, wie hoch der Schutzbedarf personenbezogener Daten ist, die über Drucker, Kopierer oder Multifunktionsgeräte ausgedruckt werden.
Prüfen Sie für jedes einzelne Gerät: Sind die gegebenen Schutzmaßnahmen ausreichend oder besteht die Gefahr, dass es zu Schutzverletzungen kommt?
Ermitteln Sie, ob die Geräte so aufgestellt sind oder werden können, dass nur befugte Personen Zugriff auf diese Geräte haben, beispielsweise über ein angemessenes Schließsystem.
Finden Sie heraus, ob technisch oder organisatorisch geregelt ist, dass Drucker, Kopierer und Multifunktionsgeräte erst drucken, wenn sich die berechtigte Person authentifiziert hat, beispielsweise durch eine PIN-Nummer.
Prüfen Sie, ob Geräte mindestens so eingestellt sind, dass Ausdrucke zumindest mit dem Druckbild nach unten ausgegeben werden.
Prüfen Sie, neben dem Drucker, Kopierer oder Multifunktionsgerät oder in unmittelbarer Nähe eine Möglichkeit zur sicheren Entsorgung von Unterlagen einzurichten (etwa einen Partikel-Schredder oder eine Datentonne ).
Stellen Sie sicher, dass für jeden Drucker, Kopierer und jedes Multifunktionsgerät eine verantwortliche Person benannt ist, die grundsätzlich in der Nähe des Gerätes ist. Benennen Sie etwaige Stellvertreter .
Treffen Sie verbindliche Regelungen, wie mit „vergessenen“ und fehlgeleiteten Ausdrucken umzugehen ist.
Führen Sie regelmäßig Sichtprüfungen durch, ob die Sicherheitsmaßnahmen ausreichen oder ob es trotz der Maßnahmen zu Datenschutzverletzungen kommen kann .
Prüfen Sie, ob alle zur Nutzung von Druckern, Kopierern und Multifunktionsgeräten berechtigten Personen eine angemessene Einweisung in ihre Tätigkeit und den Umgang mit Druckunterlagen erhalten haben.
Stellen Sie sicher, dass alle betroffenen Mitarbeitenden regelmäßige Auffrischungsschulungen erhalten, in denen sie auf die Gefährdung unbefugter Zugriffe auf personenbezogene Daten im Zusammenhang mit Druckern und anderen Geräten hingewiesen werden.

Die Kernfrage lautet also: Haben Sie sichergestellt, dass es im Zusammenhang mit Druckern, Kopierern und Multifunktionsgeräten nicht zu Schutzverletzungen personenbezogener Daten durch unbefugte Zugriffe kommen kann?

Ich wünsche viel Erfolg beim Umsetzen!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Webinar zu Mitarbeiterfotos und Recht am eigenen Bild

Mon, 14 Feb 2022 13:50:51 GMT

Alles über Bildrechte im Unternehmen im praxisnahen Webinar!

Mitarbeiterfotos, Website, Imagefilm? Datenschutz-Berater Eberhard Häcker erklärt, wie es geht! Mit Hintergründen, Lösungen und vielen praktischen Beispielen.

Mitarbeiterausweis, Webseite, Social Media, Imagefilm, Werbeprospekt ... Bei Fotos und Videoaufnahmen ihrer Beschäftigten müssen Unternehmen an vieles denken. Speaker des Webinars ist Team -Datenschutz-Gründer Eberhard Häcker. Er erklärt rechtliche Hintergründe wie DSGVO, Urheberrecht und Arbeitsrecht und gibt wie immer eine Menge praktische Beispiele und Lösungen. Nicht verpassen! Jetzt anmelden und endlich durchblicken in Sachen Bildrechte für Unternehmen!

Die Inhalte des Webinars auf einen Blick

• Bilder und Bildrechte in der DSGVO
• das Recht am eigenen Bild im Urheberrechtsgesetz
• rechtliche Ansprüche bei unrechtmäßig verwendeten Bildern
• so können sich Beschäftigte gegen unerwünschtes Filmen wehren
• die Einwilligung als Rechtsgrundlage für Fotos von Beschäftigten
• Betriebsfeiern und das Anfertigen und Veröffentlichen von Bildern am Beispiel der Weihnachtsfeier: Wie gehen Sie am besten vor?
• Werbebroschüren und Imagefilme – Schauspieler engagieren oder die eigene Belegschaft nutzen?
• Bilder in sozialen Medien – das sollten Sie beachten
• Aufzeichnungen in Videokonferenzen – Einwilligung und die möglichen Folgen
• Bilder als Bestandteil des Auskunftsrechts beschäftigter und anderer Personen
• technische Hinweise zur Verwendung von Fotos auf Websites und in anderen elektronischen Medien
• Ausblick auf neue Techniken und Auswirkungen auf das Recht am eigenen Bild

Neues Webinar: Whistleblowing & aktuelle Anforderungen

Thu, 03 Feb 2022 13:58:10 GMT

Hintergründe, Know-how und was Unternehmen & Behörden in Angriff nehmen sollten

Was gilt für Organisationen, was für Hinweisgeber? Datenschutz-Berater Eberhard Häcker erklärt das Thema anschaulich und mit Beispielen aus der Praxis.

Wie sieht es in Ihrer Organisation mit Whistleblowing aus? Wer ist zuständig , gibt es Meldekanäle – und wie wird mit Meldungen und Hinweisgebern umgegangen? Es gibt von Gesetzgebungsseite verschiedene Anforderungen – und da spielt es zunächst keine Rolle, ob es sich um eine Behörde oder ein Unternehmen handelt. Bestimmte Pflichten sollten Sie kennen und umsetzen. Das und viele weitere Aspekte rund um Whistleblowing behandelt das Webinar kompakt und praxisnah .

Speaker ist auch diesmal Eberhard Häcker, langjähriger Datenschutz-Coach und Gründer von Team Datenschutz. Er rollt das Themenfeld anschaulich und verständlich auf und nennt zahlreiche Beispiele und Lösungsansätze aus dem unternehmerischen Alltag. Lernen Sie die aktuelle Rechtslage kennen und entdecken Sie Risiken und Chancen rund ums Whistleblowing!

Die Inhalte im Whistleblowing-Webinar

• „Petzen“ oder unerlässlich? Wie „anständig“ ist Whistleblowing?

• Beispiele – so wichtig sind Hinweisgeber

• die Whistleblower-Richtlinie der EU

• So muss(te) man handeln (wenn man die Fristen eingehalten hat)

• So werden Hinweisgeber vor Repressalien geschützt

• Falsches „Verpfeifen“ – so schützen sich Unternehmen

• Wann zivil-, straf- oder verwaltungsrechtliche Folgen anstehen

• So kann der Hinweisgeberschutz praktisch aussehen

• Funktionen im Unternehmen mit ähnlicher Ausrichtung – Betriebsrat, Datenschutz & Co.

• Das Gesetz zum Schutz von Geschäftsgeheimnissen und seine Bedeutung

• Verpflichtung auf Vertraulichkeit

• Mittels Unternehmenskultur Vertrauen aufbauen – so kann es gelingen

• Ausblick: wann das Hinweisgeberschutzgesetz möglicherweise kommt – und wie es aussehen könnte

Nächster Termin

Donnerstag, 10. Februar 2022 von 9:30 bis 12:00 Uhr

Update: Krankheitsbedingt mussten wir das Webinar verschieben.

Neuer Termin:

Donnerstag, 24. März 2022 von 9:30 bis 12:00 Uhr

Teilnahme online als Webkonferenz

Nicht verpassen, anmelden!

Webinar: Websites, Cookies und das neue TTDSG

Wed, 19 Jan 2022 10:29:39 GMT

Cookies, Einwilligungen & Co. richtig umsetzen – jetzt im topaktuellen Webinar

Rechtliche Neuerungen für Websitebetreiber! Datenschutz-Coach Eberhard Häcker erklärt live und praxisnah, was jetzt gilt.

Cookie-Banner gestalten, Einwilligungen managen, Datenweitergabe ins Ausland sicher regeln? Wer eine Website betreut, muss vieles wissen und bedenken. Das neue TTDSG gilt seit 1. Dezember 2021 und bringt einige Neuerungen mit sich. Daneben gilt weiterhin die Datenschutz-Grundverordnung – und da ist es gar nicht so einfach, alles richtig zu machen.

In unserem neuen Webinar erfahren Sie, was das neue TTDSG bedeutet und wie es mit der DSGVO zusammenhängt. Wir erklären, wie Sie mit Cookie-Banner, Einwilligungen und Datenübertragung umgehen. Dazu erhalten Sie Hintergrundwissen und Tipps zu Themen wie Abmahnung, Geldbußen und Schadenersatz .

Speaker des Webinars ist Team -Datenschutz-Gründer Eberhard Häcker . Er erklärt das Themenfeld anschaulich und nachvollziehbar und gibt wie immer viele praktische Beispiele und Lösungsansätze . So sind Websitebetreiber auf der Höhe der Zeit und wissen, was jetzt zu tun ist .

Nicht verpassen! Gleich anmelden und Cookies, Website & Co. professionell und sicher gestalten.

Die Inhalte des Webinars auf einen Blick

• Neue Rechtslage für Telemedien mit dem TTDSG
• Wann gilt die DSGVO und wann das TTDSG ?
• Schutz der Privatsphäre gemäß § 25 TTDSG
• Button „Ablehnen“ – nötig oder überflüssig?
• Praxisbeispiel aktuell
• Anforderungen an die Einwilligung
• Wann Einwilligungen unnötig sind
• Einwilligung widerrufen – und jetzt?
• Die ominösen „berechtigten Interessen“ – was gilt? Was muss man sich gefallen lassen?
• Datenübermittlung in Drittländer – bei vielen Webseiten Standard. Und nun?
• Und was ist jetzt mit Abmahnungen ?
• Schadenersatz nach Artikel 82 DSGVO
• Geldbußen – TTDSG oder DSGVO?
• Ausblick – das könnte auf uns zukommen

Nächster Termin

Donnerstag, 27. Januar 2022 von 9:30 bis 12:00 Uhr

Teilnahme online als Webkonferenz

Gleich anmelden und Teilnahme sichern!

Die Datenschutz-Weihnachtsgeschichte

Thu, 09 Dec 2021 11:30:15 GMT

Endlich wieder da: Santa Claus und der himmlische Festplattencrash

Da ist sie wieder – die Datenschutz-Weihnachtsgeschichte! Team -Datenschutz-Gründer Eberhard Häcker ist nämlich nicht nur Berater und Speaker, er schreibt auch gerne. Und zwar nicht etwa nur ernste Fachartikel, sondern mit Vorliebe auch kleine Datenschutz-Anekdoten (wer kennt nicht den allseits beliebten Daten-Schluss in der Datenschutz PRAXIS?). Oder, wie in diesem Fall: seine Version der Weihnachtsgeschichte . Denn eins ist ja wohl klar: Bei der Menge personenbezogener Daten kommen Santa Claus und Petrus um einen Datenschutzbeauftragten nicht herum. Dabei würden sie sich wünschen, sie bräuchten keinen, denn der hat im Himmel ständig was zu meckern ...

Weihnachtsgeschichte einmal anders

Ausgerechnet in der Weihnachtszeit ereilt Santa Claus ein Festplattencrash. Alle Daten über brave und weniger brave Kinder sind dahin. Wie soll er jetzt die Geschenke verteilen? Santa Claus hätte da ja eine Idee, aber (wie sollte es anders sein): Die gefällt dem himmlischen Datenschutzbeauftragten überhaupt nicht …

Wir wünschen viel Spaß beim Lesen und eine stimmungsvolle Weihnachtszeit.

✰✰✰

Der Datenschutz-Adventskalender zum Anhören

Wed, 01 Dec 2021 11:22:48 GMT

24 kleine Datenschutz-Geschichten bis Weihnachten

Endlich ist es so weit, das erste Türchen darf geöffnet werden! Wir haben dieses Jahr einen ganz besonderen Adventskalender: Jeden Tag eine lustige kleine Datenschutz-Anekdote zum Anhören & Schmunzeln!

Wer die Zeitschrift Datenschutz Praxis kennt, kennt ganz bestimmt auch die letzte Seite: den legendären Daten-Schluss! Team -Datenschutz-Gründer Eberhard Häcker berichtet dort jeden Monat Unterhaltsames aus dem Datenschutz-Alltag . Und da die Geschichten so beliebt sind, hat das Team des Weka-Verlags daraus einen einzigartigen Adventskalender gestaltet und die 24 schönsten Geschichten für Sie eingelesen . Heute gehts los, der Kalender ist live und verkürzt uns täglich die Zeit bis Weihnachten!

Die Geschichte hinter Türchen 1 hat übrigens Eberhard Häcker höchstpersönlich vorgelesen – mit einem Datenskandal (oder so) u nd unwiderstehlichem Christstollen . Gleich reinklicken , anhören – und gespannt sein , was hinter den übrigen Türchen erklingt!

Teilnehmer trafen Mr. Daten-Schluss Eberhard Häcker & Crew bei Online-Event

Tue, 16 Nov 2021 15:07:26 GMT

Das war los beim virtuellen Meet & Greet

Heute war es so weit! Das Online-Event „50 Folgen Daten-Schluss“ hat stattgefunden, die Teilnehmer haben das Team rund um den Daten-Schluss auf der letzten Seite der Datenschutz PRAXIS kennengelernt und erfahren, wie das Format mit den lustigen Datenschutz-Geschichten eigentlich entstanden ist. Moderiert wurde die Veranstaltung von Severin Putz vom WEKA-Verlag, mit dabei waren Chefredakteurin Ricarda Veidt, Zeichner Thorsten Trantow und, natürlich, „Mr. Daten-Schluss“ Eberhard Häcker, der seit über vier Jahren die kleinen Alltags-Anekdoten zu Papier bringt.

Alles echt? Lustiges aus dem Datenschutz-Alltag

Zum Einstieg nannte Ricarda Veidt die Frage, die sich viele Teilnehmende schon gestellt haben dürften: Sind die Geschichten wirklich wahr? Schließlich sind die Schilderungen manchmal so abstrus, das kann doch kaum so passiert sein?!

Doch, versichert Eberhard Häcker, da ist nichts erfunden, alle Ereignisse sind wirklich passiert. Einzige kleine Einschränkung: Die Begebenheiten werden ein wenig verfremdet, anonymisiert sozusagen, denn, Sie wissen schon – Datenschutz. Mit seinen Anekdoten, sagt Eberhard Häcker, möchte er keinesfalls jemanden bloßstellen. Ihn treibt die Überzeugung an, dass Datenschutz alles andere als theoretisch oder langweilig ist. Und wer ihm zuhört, wird ihm da kaum widersprechen.

Denn in „Live“ bestätigt sich, was die Daten-Schluss-Geschichten ahnen lassen: Eberhard Häcker ist anzumerken, wie sehr er für das Thema brennt und wie viel Spaß es ihm macht, Datenschutz durch unterhaltsame Beispiele greifbar und erlebbar zu machen. Er ermutigt die Teilnehmenden des Events, die Geschichten gerne in Schulungen zu verwenden. Und vor allem selbst darauf zu achten, welche amüsanten Ereignisse sich beim Datenschutz tagtäglich erleben lassen.

Was in Büros so alles versteckt wird ...

Natürlich erzählt er auch einige seiner Lieblingsgeschichten. Etwa die, als im Fikusbaum eines Büros eine versteckte Videokamera entdeckt wurde. Keiner wusste, woher sie kam – und es brauchte eine Menge Aufklärung und Nachforschung, um die Hintergründe zu ermitteln: Ein dreister Unbekannter hatte sich immer wieder an den Keksen einer Mitarbeiterin vergriffen – und mit der Kamera wollte ein hilfsbereiter Kollege unbedingt helfen, die Sache aufzuklären!

Oder die Geschichte des Leiters eines Callcenters, der trotz vorangegangener Ausspähung überzeugt war, kein Unbefugter würde je ins Firmengebäude gelangen. Eberhard Häcker wollte wissen, ob das stimmte. Er mischte sich vor dem Eingang des Standorts unter die rauchenden Mitarbeiter, um sich dann („Hoppla, da habe ich wohl meine Schlüsselkarte drinnen vergessen!“) von den freundlichen Kollegen die Tür aufhalten zu lassen. Da war ihm ganz schön mulmig zumute, berichtet er, aber: Die Mission war ein Erfolg! Am nächsten Tag beim Treffen mit dem Standortleiter (der noch immer überzeugt war, kein Unbefugter würde jemals …) bat ihn Eberhard Häcker, doch mal im Übertopf dieser Pflanze dort nachzusehen. Der Leiter kam der Bitte seines Besuchers nach. Und fand – dessen Visitenkarte! Ab da wurde die Sicherheit des Gebäudes übrigens mit etwas anderen Augen gesehen …

Solche und ähnliche Erlebnisse begegnen Eberhard Häcker im Datenschutz-Alltag nahezu täglich. Häufig genug jedenfalls, dass ihm der Stoff für den Daten-Schluss ganz bestimmt nicht ausgehen wird.

Allzeit beliebt: die Zeichnungen zum Daten-Schluss

Und was wäre der Daten-Schluss ohne die kongenialen Zeichnungen? Die originellen Illustrationen stammen aus der Feder von Thorsten Trantow. Den hat es von Anfang an gereizt, den Daten-Schluss zu illustrieren. Er wollte, dass die Bilder den Humor der Geschichten widerspiegeln, erzählt er. Da verwundert nicht, wer ihn zu den putzigen Zeichnungen inspiriert hat: kein geringerer nämlich als Loriot. Wer kennt sie nicht, die Männchen mit den unverkennbaren Knollennasen?

Thorsten Trantow versteht es nicht nur, den Kern einer Geschichte treffend zu illustrieren. Was die beliebten Zeichnungen besonders auszeichnet, sind liebevolle Details. Das liegt ihm am Herzen, erzählt er, dass es immer noch Nebenfiguren und Einzelheiten gibt, die zwar nicht in der Geschichte beschrieben sind, den Betrachtern aber etwas zu entdecken geben – und sie nicht selten zum Schmunzeln bringen.

Auch nach mehr als 50 Daten-Schlüssen ist Trantow so begeistert bei der Sache, dass Chefredakteurin Ricarda Veidt nie lange auf eine Zeichnung warten muss: Kurz nach Eintreffen eines neuen Textes, erzählt sie, allerspätestens am nächsten Tag hat sie die neue Zeichnung auf dem Tisch.

50 Folgen Daten-Schluss – und lange nicht genug

Das ganze Team ist mit einer Leidenschaft am Werk, die das Publikum mitnimmt und begeistert.
Die Teilnehmenden loben sowohl Geschichten als auch Zeichnungen und bedankten sich herzlich für das kleine Meet & Greet. Sie freuen sich auf weitere Geschichten, viele nehmen die Anregung mit, die Daten-Schluss-Geschichten in eigenen Schulungen zu nutzen, ein Teilnehmer wünscht sich gar, dem Daten-Schluss doppelt so viel Raum zu geben. Am Ende waren sich Teilnehmer und Veranstalter einig: Das Event war eine tolle Idee und hat sich gelohnt – und sollte unbedingt wiederholt werden!

Alle Daten-Schlüsse online lesen

Abonnenten der Datenschutz PRAXIS können alle Daten-Schlüsse übrigens jederzeit im Online-Archiv nachlesen. Einfach im Kunden-Bereich der Website einloggen und in Ruhe schmökern!

Kostenloses Online-Event zu lustigen Datenschutz-Geschichten

Wed, 10 Nov 2021 13:48:29 GMT

Treffen Sie „Mr. Daten-Schluss“ Eberhard Häcker und das Daten-Schluss-Team!

Die schönsten Datenschutz-Geschichten

Jeden Monat erscheint die Datenschutz-Fachzeitschrift Datenschutz PRAXIS – und jeden Monat enthält sie eine unterhaltsame Anekdote aus dem Datenschutzalltag: den Daten-Schluss! In der allseits bekannten Rubrik auf der letzten Seite plaudert Team -Datenschutz-Gründer Eberhard Häcker aus dem Datenschutz-Nähkästchen und teilt lustige, unterhaltsame und einzigartige Erlebnisse aus seinem Alltag als Datenschutz-Berater.

Online-Event mit dem Daten-Schluss-Team

Die kleinen Datenschutz-Geschichten sind bei den Leser·innen so beliebt, dass die Datenschutz PRAXIS ihnen nun ein ganz besonderes Event widmet: Anlässlich des Jubiläums in diesem Jahr – 50 Folgen Daten-Schluss! – organisiert sie ein Online-Seminar, in dem Abonnenten der Zeitschrift mehr über den Daten-Schluss erfahren. Treffen Sie nicht nur „Mr. Daten-Schluss“ Eberhard Häcker, sondern auch gleich den Rest des Teams, das den Daten-Schluss erst möglich macht: Mit dabei sind Thorsten Trantow, Zeichner der drolligen Illustrationen, die jeder Geschichte eine unverwechselbare Note geben, und Chefredakteurin Ricarda Veidt, die das Konzept verantwortet. Hören Sie einzigartige Datenschutz-Geschichten, erfahren Sie mehr über Hintergründe und Entstehung und erleben Sie ein Team, das mit Herzblut und einer guten Portion Humor Datenschutz lebendig werden lässt.

Gleich anmelden & dabei sein

Und jetzt das Beste: Die Teilnahme an diesem beispiellosen Event ist kostenlos! Wer die Datenschutz PRAXIS noch nicht abonniert hat, kann sie gleich mit einem kostenlosen Probeheft unverbindlich kennenlernen. Wir sind sicher: Auf alle Teilnehmenden wartet ein kurzweiliges und einzigartiges Event! Sind Sie dabei?

Wann?

Dienstag, 16. November 2021
10:00 bis 11:00 Uhr

Wo?

Online via Webkonferenz

Wer?

Das Event ist für Datenschützer·innen, Datenschutz-Interessierte und überhaupt alle, die Datenschutz einmal aus einer ganz eigenen Perspektive erleben möchten. Nicht verpassen, anmelden!

Hinweis: Das Event ist vorbei, eine Anmeldung ist nicht mehr möglich.

E-Mail, Messenger, Social Media | Das Webinar zum neuen TTDSG

Mon, 08 Nov 2021 12:36:22 GMT

Die neue Rechtslage nach dem TTDSG

Speaker Eberhard Häcker mit Lösungsansätzen und vielen Praxisbeispielen und Erfahrungen aus dem Datenschutzalltag

Ab 1. Dezember gilt das neue TTDSG, das Telekommunikations- und Telemedien-Datenschutzgesetz. Es soll dazu beitragen, die digitale Privatsphäre zu schützen. Was bedeutet das für Unternehmen?

Moderne Kommunikationswege sind aus dem Geschäftsalltag sowieso nicht mehr zu verbannen. Es braucht also Mittel, damit erfolgreich umzugehen. Was ist zu beachten, wenn Messenger wie WhatsApp betrieblich im Einsatz sind, wenn Kommunikation über Social-Media-Plattformen wie Facebook stattfindet?

Speaker Eberhard Häcker erklärt im Webinar die neue Rechtslage und stellt Lösungsansätze vor. Und wie immer hat er viele anschauliche Beispiele und Erfahrungen aus dem Datenschutz-Alltag im Gepäck!

Nächster Termin:

Donnerstag, 25. November 2021, 9:30 bis 12:00 Uhr

Teilnahme online via Webkonferenz

Jetzt anmelden und dabei sein!

Datenpannen vermeiden dank IT-Inventarisierung

Fri, 05 Nov 2021 10:08:47 GMT

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Mission erfüllt oder Mission Impossible?

Was trifft wohl eher auf Datenschutzbeauftragte zu — Mission erfüllt oder Mission Impossible? Es zählt zu den zentralen Aufgaben von Datenschutzbeauftragten, zu überwachen, ob die Anforderungen der Datenschutzgrundverordnung eingehalten sind. Und zwar vollständig. Eine IT-Inventarisierung kann dabei hervorragende Dienste leisten. Denn sie ist nicht nur für die Informationssicherheit ein bewährtes und unerlässliches Hilfsmittel, sondern auch für den Datenschutz.

IT-Inventarisierung

Die Inventarisierung beschreibt in der Informationstechnologie ein Verzeichnis, in dem alle informationstechnischen System eines Unternehmens aufgelistet sind. Lückenlos geführt, gibt die IT-Inventarisierung eine vollständige und systematische Übersicht über die betrieblichen Geräte, Programme und Lizenzen und ermöglicht so den Überblick über die genutzte Software und Hardware. Sie erleichtert Administratoren und Verantwortlichen das Gerätemanagement, erhöht IT-Sicherheit und Datenschutz und bildet eine wichtige Grundlage für Zertifizierungen.

Notebook für Notebook ...

Ein Beispiel aus der Praxis. Bei einer Begehung fragte der Datenschutzbeauftragte bezüglich des genutzten Notebooks nach der Inventarisierungsnummer. Die Antwort der Kollegin (die aufgrund ihrer Tätigkeit der Geheimhaltung unterlag): „Für welches Gerät meinen Sie jetzt die Inventarisierungsnummer?“ Im Schrank befanden sich zwei zuvor genutzte Notebooks, bei denen sich keiner der Administratoren getraut hat, sie mitzunehmen und zu entsorgen – wegen der Geheimhaltungspflicht. Die Folge? Die Kollegin hatte jeweils die aufgeklebte Inventarisierungsnummer abgelöst und dem neuen Rechner aufgeklebt. Ob das wohl den Regeln zu Datenschutz und Informationssicherheit entsprach?

Alle Systeme im Blick behalten

Eine der wichtigsten Voraussetzungen ist es also, alle, wirklich alle Geräte im Blick zu haben, mit denen personenbezogene Daten verarbeitet werden. Dazu gehören PCs, Thin Clients, Notebooks, Tablets, Smartphones und alles, womit sonst so personenbezogene Daten bearbeitet werden. Damit das gelingt, braucht es ein Inventar, das alle genutzten informationstechnischen Systeme enthält. Und zwar sowohl derer, die dem Unternehmen gehören, als auch jener in Privatbesitz, die geschäftlich genutzt werden.

Homeoffice und mobiles Arbeiten als besondere Herausforderung

Eine der besonderen Herausforderungen ist dabei, dass das Homeoffice immer stärker genutzt wird. Längst nicht jedes Gerät im Homeoffice gehört jedoch dem Unternehmen. Meist kommt gerade am heimischen Arbeitsplatz eine Kombination aus privaten und dienstlichen Geräte zum Einsatz. Ein Beispiel sind private Router, die auch der Rest des Haushalts nutzt. Zwar gibt es mobile Router, die nur mit dienstlichen Geräten genutzt werden, aber längst nicht alle Arbeitsplätze im Home-Office sind mit einem solchen Gerät ausgestattet. Möglich ist es auch, Smartphones als Hotspot so einzurichten, dass nur das dienstlich genutzte Gerät auf dieses Smartphone zugreifen kann. Aber auch hier: Längst nicht alle Arbeitsplätze im Home-Office sind so ausgestattet. Alle Geräte mit personenbezogenen Daten im Blick zu behalten, ist eine echte Herausforderung.

Datenschutzvorfälle durch nicht erfasste Geräte

Werden im Unternehmen private Geräte genutzt oder Geräte, die aus anderen Gründen nicht durch die Inventarisierung erfasst sind, ist nicht bekannt, wie sie genau konfiguriert sind. Das bringt die Gefahr mit sich, dass damit personenbezogene Daten verarbeitet werden, nicht aber nach den geltenden Regeln. Nicht selten kommt es so zu Datenschutzvorfällen, die unter Umständen sogar eine Meldepflicht bei der Aufsichtsbehörde auslösen.

Risiken unbekannter informationstechnischer Systeme

Fehlt eine vollständige Inventarisierung, bestehen mehrere Risiken. Es werden unbekannte Geräte genutzt, bei denen nicht klar ist, wie sie konfiguriert sind und wie sie genutzt werden. Über diese Geräte können betriebliche Informationen abgezogen werden und von Unbefugten genutzt oder missbraucht werden.

Datenpannen vorbeugen

In diesem Zusammenhang empfiehlt es sich, einen Prozess zur Meldepflicht zu bestimmen. Wo immer es durch eine mögliche Nutzung nicht inventarisierter Geräte zu einem Datenschutzvorfall kommen kann, müssen weitere Instrumente des Datenschutzes greifen. Die Beschäftigten sollten bestimmte Regeln kennen und einhalten. Etwa, dass die Risiken unbekannter Geräte bekannt sind und diese gemeldet werden. Hier sollte es im Unternehmen eine zentrale Stelle geben.

Inventarisierung, Inventarisierung, Inventarisierung

Zurück zur Inventarisierung. Administratoren, Datenschutzbeauftragte und Informationssicherheitsbeauftragte müssen alle Sinne darauf ausrichten, von sämtlichen im Unternehmen genutzten Devices zu wissen. Alle diese Geräte müssen in einem Inventar erfasst sein. Bleibt das aus, droht immer die Gefahr, dass mit den nicht erfassten Geräten personenbezogene Daten außerhalb der Regeln verarbeitet werden.

Tipps für eine erfolgreiche
IT-Inventarisierung

Vergewissern Sie sich, ob es im Unternehmen bereits eine Inventarisierung aller IT-Systeme gibt.

Stellen Sie sicher, dass nicht nur unternehmenseigene, sondern auch private Geräte erfasst werden, sofern sie betrieblich im Einsatz sind – etwa im Home-Office oder beim mobilen Arbeiten.

Erfassen Sie auch private Geräte , die KollegInnen erlaubt mit an den Arbeitsplatz bringen . Eine betriebliche Inventarisierungsnummer ist hier nicht zwingend notwendig.

Sorgen Sie dafür, dass auch Geräte von Geheimnisträgern in der Inventarisierung erfasst werden. Werden solche Geräte ausgemustert, stellen Sie sicher, dass sie nach angemessenen Regeln entsorgt werden.

Vergeben Sie jedem neu ausgelieferten Gerät eine Inventarisierungsnummer .

Nutzen Sie Begehungen immer auch als Kontrolle , ob alle informationstechnischen Systeme tatsächlich erfasst sind.

Stellen Sie seitens des Datenschutzes sicher, dass jährlich ein bestimmter Prozentsatz der IT-Systeme stichprobenartig darauf geprüft wird, ob die geltenden Regeln eingehalten werden – beispielsweise, ob Gruppenrichtlinien für Betriebssysteme wie Windows 10 umgesetzt sind.

Entwickeln Sie zusammen mit Informationssicherheitsbeauftragten ein System , das sicherstellt, dass keine Geräte und IT-Systeme übersehen werden.

Stellen Sie alle Regeln zur Inventarisierung in einer entsprechenden Richtlinie zusammen. Nehmen Sie darin auch Regeln auf, wie die Einhaltung der Vorgaben zu Datenschutz und Informationssicherheit überprüft wird.

Klären Sie in einem Eskalationsszenario , was zu geschehen hat, wenn nicht erfasste Geräte erkannt werden. Gleiches gilt für den Fall, dass Geräte gefunden werden, bei denen die bestehenden Regeln gebrochen wurden.

Berichten Sie den Verantwortlichen regelmäßig , welche Ergebnisse Begehungen der Büroräume erbracht haben.

Lassen Sie Datenschutz nicht zur Mission Impossible werden! Mit unseren Tipps sorgen Sie dafür, dass Datenschutzbeauftragte ihre Mission erfüllen – und die Einhaltung von Datenschutzbestimmungen erfolgreich umsetzen und überwachen.

Und die Kernfrage: Kann sichergestellt werden, dass tatsächlich alle IT-Systeme bekannt sind und damit in die Überwachung des Datenschutzes einbezogen werden können?

Wir wünschen viel Erfolg mit der DSGVO-gerechten IT-Inventarisierung!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

E-Mail, Messenger, Social Media | Das neue TTDSG ab Dezember 2021

Das topaktuelle Webinar

Donnerstag, 25. Nov. 2021 09:30 bis 12:00

Fristgerechtes Datenlöschen nach der DSGVO

Fri, 29 Oct 2021 11:21:31 GMT

Der kleine feine Datentipp

Lesezeit: ca. 4 Minuten

Wann muss gelöscht werden?

Nach der Datenschutz-Grundverordnung gibt es zwei Anlässe zum Löschen, sie finden sich in Artikel 17: Der eine ist, wenn Betroffene vom Verantwortlichen verlangen, ihre Daten zu löschen, wenn einer der dort genannten Löschgründe vorliegt (und keine der genannten Ausnahmen dagegen spricht). Der andere, wenn einer der dort genannten Löschgründe vorliegt (und keine der genannten Ausnahmen dagegen spricht).

Scheinbar wird hier zweimal dasselbe gesagt. Betroffene können verlangen, wozu der Verantwortliche sowieso verpflichtet ist. Eigenartig, oder? Muss der Verantwortliche also erst löschen, wenn Betroffene es verlangen? Kann er, wenn sie es nicht verlangen, die Daten einfach weiter aufbewahren? Und wenn ja, einfach so, oder müsste er für die Daten einen neuen Zweck bestimmen?

Grundsätze der Datenverarbeitung

Die Antwort findet sich im fünften Artikel der DSGVO, der die Maßstäbe der Datenverarbeitung enthält. Einer davon ist die Speicherbegrenzung: Die Identifizierung der Betroffenen darf nur so lange möglich sein, wie die Verarbeitungszwecke es verlangen. Allerdings gibt es in manchen EU-Staaten Regelungen, nach denen gesetzliche Aufbewahrungsfristen eingehalten werden müssen, zum Beispiel für Betriebsprüfungen: Längst bezahlte und verbuchte Rechnungen etwa sind für ihren Verarbeitungszweck nicht mehr erforderlich, müssen aber für Betriebsprüfungen aufbewahrt werden. Daher die Präzisierung in Artikel 17 – der scheinbare Widerspruch hat also seine Gründe.

Diese Fakten müssen bekannt sein

Wie schaffen Sie es nun, personenbezogene Daten termingerecht zu löschen? Dafür müssen Sie zunächst wissen, wie lange die Daten für den betroffenen Geschäftsprozess erforderlich sind. Um beim Beispiel der Rechnungen zu bleiben: Hier könnte man zunächst an die Zahlungsfrist denken, gegebenenfalls könnte aber auch die Frist geeignet sein, für die eine freiwillige Garantie gegeben wurde – bei Eintritt des Garantiefalles können Sie Jahre später die Grundlage des Rechtsgeschäfts prüfen und etwaige Verpflichtungen erfüllen.
Neben der Dauer der Erforderlichkeit müssen Sie die jeweiligen gesetzlichen Aufbewahrungsfristen kennen und wissen, wann diese beginnen und enden. Außerdem müssen die Speicherorte und Speichermedien bekannt sein, wo die personenbezogenen Daten während der Aufbewahrungszeit liegen.

Übersicht gefordert im Verarbeitungsverzeichnis

Der Gesetzgeber hat offenbar geahnt, wie schwierig das mit dem termingerechten Löschen werden kann, wenn Unternehmen in zahlreichen Geschäftsprozessen zahlreiche Datenkategorien verarbeiten. Wie soll man da den Überblick behalten? Die Antwort gibt die DSGVO in Artikel 30. Das Verarbeitungsverzeichnis soll, „wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien“ enthalten. Achtung – hier ist nicht das umgangssprachliche „wenn möglich“ gemeint frei nach dem Motto „Im Büro ist grade alles ein wenig durcheinander, darum ist das Löschen derzeit leider nicht möglich“. Im juristischen Sinne bezeichnet dieses „Wenn möglich“ ein objektives „Möglich“ oder „Nicht möglich“ – „nicht möglich“ wäre das Löschen also beispielsweise, wenn der Gesetzgeber keine Aufbewahrungsfristen bestimmt hat oder betroffene Daten sich keinem gesetzlich festgelegten Aufbewahrungszweck zuordnen lassen – und das ist überaus selten der Fall. Also: Keine Ausreden, sondern Ärmel aufkrempeln, für jede Datenkategorie die Aufbewahrungsfrist ermitteln, alle Fristen sammeln und das Ganze dokumentieren.

Was passiert, wenn Sie nicht löschen?

Wer das termingerechte Löschen versäumt, kann sich Ärger einhandeln. Das gilt nämlich als Rechtsverstoß und kann geahndet werden, beispielsweise mit einer Geldbuße. Wetten, dass spätestens nach der ersten Geldbuße das fristgerechte Löschen klappt? Der Bußgeldrahmen reicht bis zur im EU-Recht üblichen Höhe, sprich: bis zu 20.000.000 Euro oder 4 Prozent des Vorjahresumsatzes – und zwar der gesamten Unternehmensgruppe. Ob die Aufsichtsbehörden diese Beträge in der Praxis je verhängen werden, steht in den Sternen. Aber auch geringere Geldbußen müssen nicht sein, und darum sollte man es so weit gar nicht erst kommen lassen.

Richtig löschen mit Löschregeln und Löschkonzept

Um die Betroffenenrechte nach der DSGVO zu erfüllen, braucht es ein Löschkonzept mit entsprechenden Regeln. Das Löschkonzept sollte aus Gründen der Effizienz eine Löschleitlinie sein, in der die wichtigsten Regelungen zusammengefasst sind. Außerdem braucht es konkrete Löschregeln für die jeweiligen Geschäftsfelder und die dort angesiedelten Prozesse. Für Personaldaten gilt etwas anderes als etwa für Finanzdaten.

Verzeichnis der Verarbeitungstätigkeiten

Artikel 30 der DSGVO enthält die Regelungen für das Führen des Verarbeitungsverzeichnisses. Dazu gehören Fristen für die Löschung der betroffenen Datenkategorien. Vergessen Sie also nicht, die vorgesehenen Fristen in das Verarbeitungsverzeichnis aufzunehmen. Achten Sie darauf, das Verzeichnis der Verarbeitungstätigkeiten vollständig und aktuell zu halten. Sollten Sie einzelne Geschäftsprozesse übersehen, haben Daten keine Löschregeln und werden demzufolge nur zufällig gelöscht – oder überhaupt nicht.

Technische und organisatorische Maßnahmen erfüllen

Auch die Regelungen zu technischen und organisatorischen Maßnahmen aus Artikel 32 der DSGVO spielen eine Rolle. Sie dienen zwar „nur“ dazu, die Sicherheit der Verarbeitung personenbezogener Daten zu gewährleisten, und daher ist dort neben Maßnahmen wie Pseudonymisierung und Verschlüsselung „nur“ die Verfügbarkeit genannt – und nicht deren Ende. Allerdings: Wer Daten zu lange aufbewahrt, verletzt die Rechte und Freiheiten der Betroffenen. Außerdem ist die Aufzählung nicht vollständig, was durch die Formulierung „unter anderem“ deutlich wird:

„... der Verantwortliche ... [trifft] geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein: die Pseudonymisierung und Verschlüsselung personenbezogener Daten; ... Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste ...; die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen ... regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.“

Art. 32 Abs. 1 DSGVO

Sie müssen also auch geeignete technische und organisatorische Maßnahmen zum korrekten und zeitgemäßen Löschen ergreifen. Denn nur rechtzeitig gelöschte Daten sind sichere Daten im Sinne des Artikels 32 DSGVO.

Aufgaben der Datenschutzbeauftragten

Nach Artikel 39 haben Datenschutzbeauftragte zu überwachen, dass das Unternehmen die Bestimmungen der DSGVO einhält. Dazu zählt, die Verpflichtungen des Artikels 17 zum Löschen zu prüfen, zu dokumentieren und in den Tätigkeitsbericht mit aufzunehmen.

Tipps für das Datenlöschen nach der DSGVO

Sorgen Sie dafür, dass das Verarbeitungsverzeichnis vollständig ist und die erforderlichen Aufbewahrungsfristen enthält.
Stellen Sie sicher, dass zu allen Geschäftsprozessen bekannt ist, wo die Daten gespeichert sind.
Gewährleisten Sie, dass es eine Löschleitlinie gibt und diese beachtet wird.
Stellen Sie sicher, dass eine Übersicht vorhanden ist, zu welchen Zeiten welche Daten zu löschen sind, beispielsweise in den Löschregeln.
Sorgen Sie dafür, dass der oder die Datenschutzbeauftragte die Löschung überwachen kann, zumindest stichprobenartig.
Stellen Sie sicher, dass das alles termingerecht erfolgt.

Und die Kernfrage: Ist sichergestellt, dass personenbezogene Daten aus allen Geschäftsprozessen termingerecht gelöscht werden?

Wir wünschen viel Erfolg beim fristgerechten Datenlöschen!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Team Datenschutz auf der IDACON 2021

— Wieder als Speaker mit dabei —

Mit Vorträgen zu Datenlöschung & Datensicherung,

Videokonferenzen, Privacy by Design & mehr

9. bis 11. November 2021

Wir sehen uns in München!

Arbeitskreise Datenschutz – ideale Weiterbildung für Datenschutzbeauftragte

Fri, 22 Oct 2021 13:57:57 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Wie Datenschutzbeauftragte ihr Fachwissen aktuell halten

Die fachlichen Anforderungen an Datenschutzbeauftragte sind hoch und müssen es sein. Immerhin ist das Recht auf Datenschutz in der EU-Grundrechtecharta festgeschrieben, und die Aufgabe von Datenschutzbeauftragten ist keine geringere, als dieses Grundrecht zu schützen.

Um dieser Aufgabe nachzukommen, braucht es Fachwissen. Darunter fallen neben anderem juristische Fachkenntnis, Einblicke in aktuelle Entwicklungen und weitere themennahe Gesetze sowie besondere Wissen zu den Geschäftsprozessen mit personenbezogenen Daten. Wichtig sind auch ein Verständnis von IT, Informationssicherheit und wichtigen Punkten der Compliance, dazu weitere Kenntnisse, die normalerweise in einem speziellen Lehrgang erworben und mit dem Fachkundenachweis bestätigt werden.

Datenschutzbeauftragte sind von Seiten der DSGVO verpflichtet, ihr Fachwissen aktuell zu halten. Wie sieht das in der Praxis aus? Man kann auf Seminare oder Kongresse gehen oder Webinare besuchen, man kann Fachliteratur lesen oder auf Newsletter zum Thema setzen. Zielführender als Seminare und Fachartikel ist der regelmäßige und aktive Austausch mit Gleichgesinnten. Denn besonders erfolgversprechend und alltagsnah ist es, wenn man aufkommende Fragen mit anderen Datenschutzbeauftragten durchsprechen kann, noch besser, wenn man dabei gleich noch einen Vorschlag bekommt, wie sich das konkrete Problem unter den persönlichen Gegebenheiten lösen lässt. Das gibt es nicht?

Gibt es doch. Und zwar in Form von Arbeitskreisen, sprich, regelmäßigen Treffen mit anderen Datenschutzbeauftragten zum Austausch von Kenntnissen und Erfahrungen. Bei diesen Treffen werden aktuelle Fragen besprochen und passende Lösungsvorschläge ausgearbeitet. Das geht wunderbar online, zumeist per Videokonferenz. So gelingt ein Austausch, von dem alle profitieren.

Wenn Datenschutz-Fachkunde veraltet

Die Aufgaben von Datenschutzbeauftragten sind vielfältig und alles andere als einfach. Ohne eine regelmäßige Aktualisierung des fachlichen Wissens und Könnens sind sie schnell nicht mehr in der Lage, ihre Pflichten rundum sicher und kompetent auszuführen. Fehler schleichen sich ein, was zu Verstößen führen kann. Den Kopf hinhalten muss in aller Regel der Verantwortliche, der ja dafür haftet, dass Datenschutz richtig umgesetzt wird.

Nicht jeder, der sich zum Datenschutz äußert, ist mit dem europäischen Ansatz der DSGVO vertraut. So entstehen immer wieder Fehlinterpretationen. Kontakt mit Fachkollegen und deren Erfahrung im Umgang mit rechtlichen Fragen kann hier überaus wertvoll sein.

Was zunächst positiv klingt, in gewisser Hinsicht aber ein Risiko darstellt: Nach anfänglichen Unsicherheiten ist der Umgang mit der DSGVO mittlerweile kein „Niemandsland“ mehr. Für Datenschützer sind immer mehr Themen beinahe Routine. Das Problem dabei: Wer nicht regelmäßig zur Fortbildung geht oder fachlichen Austausch sucht, bekommt von Neuerungen wenig mit, braucht zur Ausarbeitung eigener Lösungen viel Zeit oder macht Fehler. Wer nicht mehr auf dem aktuellen Stand ist, hat sich abgehängt und wird für den Verantwortlichen zum Risiko. Ohne Anpassung des Wissens wächst die Gefahr, dass Fehler passieren. Das kann teuer werden, die Geldbußen können erheblich sein.

Up to date in Sachen Datenschutz

Spannend. Praxisnah. Topaktuell.

Virtuell erleben! Der Arbeitskreis Datenschutz.

Die DSGVO verlangt Erhalt des Fachwissens

Die Hinweise auf die erforderliche Qualifikation und den Erhalt des Fachwissens von Datenschutzbeauftragten finden sich in der DSGVO, wenn auch ein wenig versteckt. Artikel 37 sagt im fünften Absatz: „Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben.“

Die Pflicht zur Weiterbildung findet sich im Folgeartikel: „Der Verantwortliche und der Auftragsverarbeiter unterstützen den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 39, indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.“

Wichtig ist, die Anpassung des Wissens gut zu planen. Dazu gilt es, die aktuellen Entwicklungen zu beobachten. Das gelingt hervorragend im Wissensaustausch mit anderen Datenschutzbeauftragten. Darüber hinaus tut es gut, mit möglichen Unsicherheiten nicht allein zu sein und zu wissen, dass es anderen ähnlich geht. Niemand kann alles zum Datenschutz parat haben. Aber viele wissen vieles, und deshalb ist die Teilnahme an einem Arbeitskreis eines der besten Mittel, sich beim Datenschutz auf dem Laufenden zu halten.

Unsere Tipps – so bleiben Sie in Sachen Datenschutz up to date

Beobachten Sie die Themen , die sich beim Datenschutz verändern.
Stellen Sie sicher, dass eine geplante und regelmäßige Anpassung des Datenschutz-Wissens erfolgt.
Prüfen Sie, ob ein Arbeitskreis für Datenschutzbeauftragte eine sinnvolle Möglichkeit der systematischen Weiterbildung sein kann.
Wenn möglich, "schnuppern" Sie in den Arbeitskreis hinein, um sich ein eigenes Bild zu machen . Kommen Sie mit der Vorgehensweise klar? Passen die anderen Teilnehmenden? Wie gut wird auf Ihre Fragen und Erwartungen eingegangen?
Arbeitskreise Datenschutz sind insbesondere dann gut geeignet, wenn die Runde groß genug ist, dass möglichst vielfältige Erfahrungen einfließen können, aber klein genug, dass man miteinander diskutieren und sich austauschen kann.
Arbeitskreise für Datenschutz sind umso zielführender, je unkomplizierter man eigene Themen zur Bearbeitung einbringen kann, in der richtigen Mischung mit von den Teilnehmern oder vom Leiter des Arbeitskreises vorgeschlagener aktueller Themen.

Und die Kernfrage: Ist ein Arbeitskreis für Datenschutzbeauftragte die richtige Methode, die Fachkunde angemessen zu erhalten?

Wir wünschen bereichernden Austausch mit Gleichgesinnten!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Up to date in Sachen Datenschutz

Spannend. Praxisnah. Topaktuell.

Virtuell erleben! Der Arbeitskreis Datenschutz.

Daten löschen ist leicht. Wenn Sie sie finden ...

Mon, 11 Oct 2021 09:10:10 GMT

Der kleine feine Datentipp

Lesezeit: ca. 9 Minuten

Löschen muss sein

Dass man nicht länger benötigte personenbezogene Daten löschen muss, hat sich mittlerweile herumgesprochen. Und wenn Daten zentral gespeichert sind, sollte das normalerweise auch kein Problem sein. Dafür gibt es (hoffentlich) Löschleitlinien und Löschregeln. Die technische Umsetzung des Löschens ist bei elektronischer Datenverarbeitung normalerweise auch kein Problem. Die Daten müssen ja nicht komplett gelöscht, also in nichts aufgelöst werden, sondern sie müssen „dauerhaft unkenntlich" gemacht werden. Das ist ein Vorgang, der sich in vielen Tools entsprechend einrichten lässt.

Ein Praxisbeispiel

Oft gibt es aber in der Praxis ein kleines Problem. Nehmen wir an, ein Interessent hat sich auf der Unternehmens-Website informiert und fragt für eine bestimmte Leistung ein Angebot an. Eine Mitarbeiterin erstellt ihm eines. Es folgt der Austausch mehrerer Nachrichten mit Rückfragen, Fragen zur Erweiterung des Angebots und Fragen zu rechtlichen Hintergründen. Häufig werden Angebote nicht nur erstellt und verschickt, sondern auch verändert und möglicherweise von verschiedenen Personen bearbeitet, die spezialisiertes Wissen haben. Mails werden gesendet und empfangen, Notizen angefertigt und aufbewahrt. Möglicherweise gibt es darüber hinaus persönliche Treffen, bei denen Protokolle entstehen.

Dezentrale Datenverarbeitung

Landen all diese Daten immer dort, wo die Interessentendaten gespeichert sind? Eher nicht. Es kann also durchaus sein, dass Daten zu einer Kundenhistorie in unterschiedlichen Verzeichnissen auf unterschiedlichen Medien gespeichert sind.

Unterschiedliche Dienstleistungen aus unterschiedlichen Fachbereichen

Richtig kompliziert kann es werden, wenn das Unternehmen mehrere ähnliche Dienstleistungen anbietet und der Interessent schon einmal einen Auftrag erteilt hat und sich nun für weitere Leistungen interessiert. Möglicherweise gibt es hierfür eine eigene Kundendatenbank – und das ganze Spiel beginnt von vorn. Viele Informationen fließen hin und her. Dass diese zentral an einem Punkt gespeichert sind, davon ist im Arbeitsalltag mit Mails, Notizen, Protokollen und mehr eher nicht auszugehen.

Mobiles Arbeiten, mehr Speicherorte

Homeoffice und mobiles Arbeiten machen das Ganze nicht einfacher. Gerade beim Arbeiten im Homeoffice ist es nicht ausgeschlossen, dass mit weiteren Speichermedien Datensicherungen erfolgen und damit weitere Speicherorte entstehen. Selbst wenn das Unternehmen diese Daten ordnungsgemäß in die zentrale Datensicherung überspielt, bleiben sie oft auf dem mobilen Speichermedium erhalten. Im Alltag passiert es immer wieder, dass Daten zu einem bestimmten Geschäftsvorfall von mehreren Personen auf mehreren Medien gespeichert werden.

Alle zu löschenden Daten finden

Und nun kommt die Zeit, da diese Daten nicht mehr gebraucht werden – Sie müssen sie löschen. Wie soll das jetzt vollständig gehen? Wie erreichen Sie, dass alle, die an der Angebotserstellung und der Beantwortung von Fragen beteiligt waren, die entsprechenden Daten löschen?

Mitwirkung aller Beteiligten

Sie müssen also sicherstellen, dass alle ursprünglich am Prozess Beteiligten a) informiert werden, dass und wann genau die Löschung ansteht, und b) in ihren Unterlagen nachsehen, ob dort noch betroffene Daten vorhanden sind. Diese müssen gelöscht und die Löschung zentral bestätigt werden. Erst dann kann davon ausgegangen werden, dass zumindest die elektronischen Daten zum betreffenden Vorgang vernichtet sind.

Daten auf Papier nicht vergessen

Sollte in der Zwischenzeit die eine oder andere Mitarbeiterin Ausdrucke vorgenommen haben, liegen diese mittlerweile vermutlich irgendwo zwischen anderen Unterlagen in Schreibtischen oder Schränken. Und wenn ein Kollege das Unternehmen inzwischen verlassen hat, ohne dass seine Unterlagen stringent sortiert oder vernichtet wurden? Dann ist es in der Tat schwer vorstellbar, dass tatsächlich alle den Prozess betreffenden Daten auch gelöscht werden, wenn deren Zeit gekommen ist.

Folgen, wenn das Löschen versäumt wird

Müssen Daten gelöscht werden, weil ihre Zeit gekommen ist, dann müssen sie gelöscht werden, Punkt, ohne Wenn und Aber. Dazu müssen sie aufgefunden, dem Löschprozess zugeordnet und gelöscht werden. Geschieht dies nicht, sind die gesetzlichen Vorgaben zum Löschen nach Artikel 17 DSGVO nicht zu erfüllen. Der europäische Gesetzgeber sieht hier hohe Geldbußen vor, bis zu 20 Millionen Euro oder vier Prozent des Vorjahresumsatzes der gesamten Unternehmensgruppe. Zwar sind derzeit keine Fälle bekannt, wo durch fehlendes Löschen annähernd Geldbußen dieser Höhe erhoben worden wären, aber so steht es im Gesetz, und so muss es durch das Risikomanagement beachtet werden.

Es sind also alle Maßnahmen zu ergreifen, um dieses Risiko zu minimieren. Sie müssen feststellen können, wer wann Daten zu den betreffenden Prozessen verarbeitet und bei sich gespeichert hat. Alle diese Personen müssen bei Bedarf von der Pflicht zur Löschung informiert werden und anschließend bestätigen, dass sie die betreffenden Daten gelöscht haben.

Löschen und Datenschutz

Datenschutzbeauftragte müssen gemäß Artikel 39 Abs. 1 DSGVO überwachen, dass der Datenschutz korrekt umgesetzt wurde. Insbesondere betrifft dies die Rechte betroffener Personen, und eines der zentralen Rechte ist das Recht auf Löschung der eigenen personenbezogenen Daten. Es müssen also Prozesse so definiert sein, dass dieses Löschen zum Ende der Aufbewahrungsfristen tatsächlich vollzogen wird.

Dies setzt in erster Linie eine Bestandsaufnahme voraus, wo überall Daten aus den jeweiligen Prozessen verarbeitet wurden. Es setzt weiter voraus, dass zum Zeitpunkt der Löschung alle Beteiligten informiert werden, dass die Daten zu löschen sind. Und es setzt schließlich voraus, dass die beteiligten Personen löschen und die Löschung bestätigen. Eine Prozesskette, die in der Praxis durchaus komplex werden kann. Wird sie jedoch nicht ordnungsgemäß bearbeitet, kann dies zu Maßnahmen durch die Aufsichtsbehörde führen.

Tipps für DSGVO-gerechte Datenlöschung

Die Herausforderung lautet, Daten zu löschen, wenn sie für die Verarbeitungsprozesse nicht mehr benötigt werden. Dies muss sowohl der Geschäftsleitung als auch den an den Prozessen beteiligten Beschäftigten präsent sein.
Geschäftsprozesse sind so zu gestalten, dass zu jeder Zeit nachvollziehbar ist, wer wann welche Daten in welchem Zusammenhang verarbeitet hat und wo diese Daten gespeichert sind.
Bei der Dokumentation, wo welche Daten gespeichert sind, sind unbedingt auch Ausdrucke in Akten, Schreibtischschubladen, Schränken und an anderen Stellen zu berücksichtigen.
Nicht zu vergessen sind auch im ersten Moment übersehene Dokumentationen, beispielsweise auf Festplatten in Multifunktionsgeräten. Dort werden Daten häufig gespeichert, wenn sie ausgedruckt, eingescannt, gefaxt oder kopiert werden. Auch diese Daten können von der Löschpflicht betroffen sein.
Sofern noch nicht geschehen: Erstellen Sie so schnell wie möglich Löschleitlinien.
Sofern noch nicht geschehen: Stellen Sie so schnell wie möglich Löschregeln für einzelne Geschäftsprozesse zusammen.
Sofern noch nicht geschehen: Dokumentieren Sie den Löschprozess schnellstmöglich und auf stringente Weise. Es muss jedem Beteiligten klar sein, wer wann welche Aufgaben im Zusammenhang mit dem Löschen zu erfüllen hat und wie diese zu dokumentieren sind.
In dem Moment, da die Löschung zu erfolgen hat, müssen alle beteiligten Personen informiert sein, dass sie gegebenenfalls nicht zentral gespeicherte Daten ebenfalls zu löschen haben. Ein sinnvoller Weg ist etwa eine Information per Mail mit der Pflicht zur Rückantwort.
Löschen ist eine permanente Aufgabe, die zu bestimmten Zeiten im Zentrum der Aufmerksamkeit zu stehen hat. Es muss zu jedem Zeitpunkt klar sein, dass Daten, die außerhalb der üblichen Geschäftsprozesse verarbeitet werden, ebenfalls bei der Löschung berücksichtigt werden müssen. Beschäftigte Personen müssen angemessen geschult sein.

Und die Kernfrage: Haben Sie sichergestellt, beim Löschen alle betroffenen Datensätze zu berücksichtigen, egal wo sie sich befinden?

Wir wünschen viel Erfolg beim Datenlöschen!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Team Datenschutz auf der IDACON 2021

-- Wieder als Speaker mit dabei --

Mit Vorträgen zu Datenlöschung & Datensicherung,

Videokonferenzen, Privacy by Design & mehr

9. bis 11. November 2021

Wir sehen uns in München!

Team Datenschutz auf der IDACON 2021

Wed, 29 Sep 2021 11:34:31 GMT

Aktuelle Vorträge zu Videokonferenzen,
Datenlöschen, Privacy by Design & mehr

Jedes Jahr im Herbst findet in München der beliebte Datenschutz-Kongress IDACON statt. Vom 9. bis 11. November 2021 treffen sich wieder Datenschützerinnen zu Vorträgen, Seminaren, Diskussionen und Wissensaustausch. Das Event findet diesmal als hybrider Kongress statt – Besucher haben die Wahl, ob sie live vor Ort teilnehmen möchten zum persönlichen Austausch und Networking oder lieber virtuell via Livestream. So oder so erwartet sie ein vielseitiges Programm mit vielen spannenden Themen – und mit Team Datenschutz!

Datenschutz-Experten mit aktuellen Vorträgen

Wie in jedem Jahr sind bekannte Persönlichkeiten und Fachleute aus Datenschutz und Datensicherheit mit dabei. Dr. Stefan Brink, Landesbeauftragter für Datenschutz und Informationsfreiheit Baden-Württemberg, spricht über Beschäftigtendatenschutz in der digitalen Arbeitswelt, sein Kollege Benjamin Bäßler, Leiter der baden-württembergischen Bußgeldstelle, wird Einblicke geben in die Praxis und Erfahrungen mit DSGVO-Bußgeldern gegen Unternehmen. Dazu gesellen sich Vorträge zu Themen wie Auskunftsrechte und Schadenersatz , internationaler Datentransfer und das zum Jahresende in Kraft tretende Internetrecht nach dem TTDSG .

Themen von Team Datenschutz

Wie seit vielen Jahren ist Team Datenschutz natürlich wieder mit dabei! Eberhard Häcker, Geschäftsführer der Team Datenschutz Services GmbH, lädt am zweiten Kongresstag zum Vortrag mit dem Titel Videokonferenzen – So kommen sie sehr nahe an die Datenschutzanforderungen heran . Darin teilt er fundierte Kenntnisse und Praxiserfahrungen über datenschutzkonforme Videokonferenzen, ihre Voraussetzungen, lauernde Risiken und alltagstaugliche Lösungen.

Daten professionell sichern und datenschutzkonforme Abläufe

Auch zwei der vier Intensiv-Seminare am dritten Kongresstag kommen aus den Reihen von Team Datenschutz. Die erleben Teilnehmer übrigens nicht im Livestream, sondern nur vor Ort!

Eberhard Häcker leitet das Seminar Personenbezogene Daten sichern, aufbewahren und löschen, wie die DSGVO das fordert . Darin liefert er den Teilnehmenden griffiges Fachwissen zu Datensicherung im Büro und beim mobilen Arbeiten, den technischen und organisatorischen Maßnahmen sowie dem Umgang mit Datenträgern und Archiven, zu Aufbewahrungsfristen, sicherer Lagerung, Archivordnung und Löschregeln.

Das Seminar zum Thema Privacy by Default und Privacy by Design in der Praxis des Datenschutzes bietet unser Teamkollege Markus Berresheim an. Er spricht über datenschutzkonform eingerichtete Geräte und Abläufe, Gestaltungsansätze nach Privacy by Default und by Design und Anleihen etwa aus dem Standarddatenschutzmodell. Dazu erklärt er die damit verbundene Überwachung und Berichterstattung und gibt anschauliche Beispiele.

Klingt spannend? Wird es auch! Wir sehen uns auf der IDACON 2021!

Aktuelle Tipps zu

Datensicherung und Datenlöschen

Tipps & News

Daten löschen, wenn ihre Zeit gekommen ist

Mon, 20 Sep 2021 09:44:24 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Oft vernachlässigt: Datenlöschung

Egal, wo gearbeitet wird – am Arbeitsplatz im Unternehmen, im Homeoffice oder beim mobilen Arbeiten unterwegs – überall fallen personenbezogene Daten an. Und für die gelten bekanntermaßen Regeln. Zum einen sind sie sicher aufzubewahren. Zum anderen garantiert die DSGVO betroffenen Personen – jenen also, auf die sich die Daten beziehen – Grund- und Freiheitsrechte. Eines davon ist das Recht auf Löschen personenbezogener Daten.

Jetzt wird mancher verunsichert sein. Auf der einen Seite muss alles getan werden, damit personenbezogene Daten nicht verloren gehen. Datensicherungen sind dazu ein wesentlicher Prozessschritt. Und jetzt heißt es plötzlich, dass Daten zu löschen sind? Wissen „die“ eigentlich, was sie wollen?

Ja, „die“ wissen das, zumindest beim Datenschutz. Und zwar verlangt der Gesetzgeber einerseits, dass personenbezogene Daten während der Verarbeitung „verfügbar“ sind. Soll heißen, dass ein Zugriff auf diese Daten möglich sein muss. Zumindest für diejenigen, die berechtigt sind, diese Daten zu verarbeiten. Das Datenschutzrecht regelt andererseits, dass personenbezogene Daten zu löschen sind, wenn sie nicht mehr benötigt werden bzw. wenn die gesetzliche Aufbewahrungsfrist, falls vorhanden, abgelaufen ist.

Datenwildwuchs

Hört sich gut an und ist auch richtig. Aber wie so oft steckt der Teufel im Detail. Solange ein Datensatz nur einmal vorhanden ist, ist das meist recht unkompliziert. Allerdings sind einmalig vorhandene Datensätze selten. In aller Regel werden Daten gesichert, sprich: vervielfältigt. Damit man sie im Notfall wieder einspielen kann, wenn sie auf dem System verlorengehen.

Überlegt man weiter, findet man weitere Stolpersteine. Datensicherungen werden ja nicht immer mit derselben Technik vorgenommen, Stichwort Homeoffice. Was tun, wenn das System zu Hause nicht an die Infrastruktur im Unternehmen angebunden ist? Dann wird wahrscheinlich auf mobilen Datenträgern gesichert, etwa auf externen Festplatten, die zu einem späteren Zeitpunkt in die Infrastruktur des Unternehmens eingebunden werden. Und was passiert danach mit den Daten auf dem mobilen System? Die bleiben normalerweise dort, bis sie überschrieben werden oder das mobile Speichersystem ordnungsgemäß vernichtet wird. Und was, wenn beides ausbleibt? Richtig, dann klappt das mit dem fristgerechten Löschen nicht. Wetten, dass auf diese Weise zahllose Datensätze nicht gelöscht wurden, obwohl man sie hätte löschen müssen?

Das Risiko veralteter Daten

Daten sind heutzutage eine nicht zu unterschätzende Ressource in jedem Unternehmen. Werden sie nicht aktuell gehalten, können sie jedoch schnell zur Belastung werden. Speicherplatz wird durch falsche oder veraltete Daten verschwendet. Meist weiß keiner so genau, welche Daten nicht mehr stimmen, denn sonst könnte man sie ja berichtigen oder löschen. Das bringt mit sich, dass Geschäftsprozesse nicht stimmen oder zumindest nicht exakt umgesetzt werden. Je fehlerhafter die Daten, desto größer auch die Fehleranfälligkeit bei Produkten und Dienstleistungen. Und desto teurer wird es im Zweifel bei Reklamationen.

Grund genug, das Thema aktiv anzugehen. Verantwortliche sollten sich zum Ziel setzen, dass nur Daten vorhanden sind, die für laufende Prozesse erforderlich sind. Dafür allein bräuchte es den Datenschutz nicht. Viele sehen es unnötige Belastung, wenn gesetzliche Aufbewahrungsfristen dazu führen, dass Daten länger aufbewahrt werden müssen, als sie im laufenden Betrieb gebraucht werden. Datenschutz ist hier als Unterstützung zu sehen, denn er bringt die Verantwortlichen dazu, Klarheit in die Datenaufbewahrung zu bringen.

Übrigens binden veraltete Daten auch dann wertvolle Ressourcen, wenn sich etwa die Datenschutz-Aufsichtsbehörde meldet. Das bringt schnell mehrere Tage Aufwand mit sich. Durch ein cleveres Datenmanagement lässt sich dieser Zeitverlust minimieren.

Datenschutzverstöße und die Folgen

Werden Daten nicht verfügbar gehalten, ist dies ein Verstoß gegen technische und organisatorische Maßnahmen, wie sie Artikel 32 der DSGVO fordert. Das kann zu einem Eingreifen durch die Aufsichtsbehörde führen, was mit einer Geldbuße von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes im Vorjahr geahndet werden kann.

Werden Daten nicht gelöscht, ist dies ein Verstoß gegen Artikel 17 der DSGVO, also eine Verletzung der Rechte Betroffener. Die kann wiederum mit einer Geldbuße bis 20 Millionen Euro oder vier Prozent des Vorjahresumsatzes geahndet werden.

Rein fiskalisch kann es also teurer werden, Daten nicht zu löschen, als diese nicht verfügbar zu haben. Das ist natürlich eine nicht ernst zu nehmende Rechnung, denn vermutlich geht es Ihnen darum, Geldbußen zu vermeiden – nicht zu rechnen, wann Sie mehr oder weniger zahlen.

Tipps für fristgerechtes Löschen personenbezogener Daten

für alle Geschäftsprozesse festhalten, wie lange die Daten aus betrieblichen Gründen bzw. aus Gründen der gesetzlichen Aufbewahrungspflicht aufzubewahren sind
sicherstellen, dass Daten nur aufbewahrt werden, so lange es erforderlich ist
gewährleisten, dass Daten gelöscht werden, wenn die Aufbewahrung nicht länger nötig ist
durch angemessene Kontrollen sicherstellen, dass Aufbewahrung und Löschung zuverlässig erfolgen und möglichst nichts übersehen wird

Und die Kernfrage: Ist sichergestellt, dass sämtliche Daten, deren Zeit der Verarbeitung abgelaufen ist, fristgerecht gelöscht werden?

Wir wünschen viel Erfolg beim Löschen und Aufbewahren!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Team Datenschutz auf der IDACON 2021

-- Wieder als Speaker mit dabei --

Mit Vorträgen zu Datenlöschung & Datensicherung,

Videokonferenzen, Privacy by Design & mehr

9. bis 11. November 2021

Wir sehen uns in München!

Auftragsverarbeitung in der EU und in Drittländern Definition, Verträge, Ablauf, Überprüfungen

Jetzt anmelden.

Praxistipp: In 12 Schritten zur sicheren Auftragsverarbeitung

183:832032422 (Eberhard Häcker) — Mon, 13 Sep 2021 09:38:00 GMT

Praxistipp Datenschutz 08|2021

So gut wie alle Unternehmen und Institutionen lagern ganz selbstverständlich bestimmte Prozesse oder Teile davon aus und beauftragen andere, diese für sie zu bearbeiten. So weit, so praktisch. Allerdings: Werden dabei personenbezogene Daten verarbeitet, gilt es, die Regeln der Auftragsverarbeitung zu beachten. Wir erklären die wichtigsten Grundlagen und zeigen die häufigsten Fehler im Umgang mit Auftragsverarbeitung. Wetten, dass Ihnen der eine oder andere bekannt vorkommen wird?

Privileg Auftragsverarbeitung

Die Datenschutz-Grundverordnung setzt bekanntermaßen strenge Vorgaben, wenn ein Verantwortlicher Daten an Dritte weitergibt. „Dritte“ sind jene, die nicht seiner unmittelbaren Verantwortung unterstehen. Auftragsverarbeiter jedoch betrachtet die DSGVO ausdrücklich nicht als „Dritte“ – rechtlich werden Daten bei der Auftragsverarbeitung also nicht nach extern weitergegeben. Entsprechend vereinfacht sind die Vorgaben beim Datenschutz. Auftragsverarbeitung ist also ein Privileg. Wer sie nutzt, muss allerdings einige Bedingungen erfüllen.

Bedingungen

Grundsätzlich müssen drei Voraussetzungen erfüllt sein, damit ein Dienstleistungsverhältnis rechtlich als Auftragsverarbeitung zählt.

Gültige Rechtsgrundlage

Oberster Grundsatz ist, dass dem Verantwortlichen die Verarbeitung an sich erlaubt ist. Oder umgekehrt: Was Sie nicht verarbeiten dürfen, das dürfen Sie auch nicht auslagern. Sie brauchen also eine gültige Rechtsgrundlage.

Personendaten

Ein weiterer wichtiger Grundsatz lautet, dass Personendaten Bestandteil des auszulagernden Prozesses sind. Der Auftragsverarbeiter verarbeitet also (auch) personenbezogene Daten.

Weisungsbefugnis

Dritte Bedingung: Der Auftragnehmer handelt weisungsgebunden. Heißt: Der Auftragsverarbeiter hat sich bei der Verarbeitung an die Weisungen des Verantwortlichen zu halten und nutzt die Auftragsdaten nicht für eigene Zwecke.

Sind die drei Bedingungen erfüllt, kann es losgehen mit der Auftragsverarbeitung. Was müssen Sie nun beachten?

Formale Regeln der Auftragsverarbeitung

Sorgfältige Auswahl

Die erste Vorgabe ist die sorgfältige Auswahl potentieller Auftragsverarbeiter. Da die Verantwortung für die Datenverarbeitung beim Verantwortlichen bleibt, also dem Auftraggeber, haftet dieser bei Fehlern, die im Zusammenhang mit der Auftragsverarbeitung geschehen. Deshalb muss grundsätzlich geprüft werden, ob der Auftragsverarbeiter in der Lage ist, ähnlich sorgfältig und datenschutzrechtlich sicher zu arbeiten wie der Verantwortliche.

Vertrag

Der nächste Schritt ist, die Auftragsverarbeitung vertraglich zu regeln. Beachten Sie die gesetzlichen Vorgaben, welche die DSGVO in Artikel 28 vorschreibt.

Regelmäßige Prüfungen

Verantwortliche sind verpflichtet, diesen Auftragsverarbeitungsvertrag regelmäßig zu überprüfen. Ermitteln Sie, ob der Auftragsverarbeiter die Vertragsvorgaben erfüllt – etwa, ob er die vereinbarten technischen und organisatorischen Maßnahmen einhält. Diese müssen bei Vertragsabschluss definiert sein, normalerweise in einer Anlage des Vertrags.

Vertragsende

Schließlich muss geklärt sein, was nach Beendigung des Vertrages mit den verarbeiteten Daten geschieht. Auch hier ist zu überprüfen, ob der Auftragnehmer die Vereinbarung einhält.

Pflichten und Vorschriften

Bei der Gestaltung von Auftragsverarbeitungsverhältnissen lauern also einige Tücken. Nicht überraschend, dass dabei immer wieder Fehler passieren. Schnell wird eine Verpflichtung übersehen oder eine datenschutzrechtliche Vorschrift missachtet.

Drohende Geldbußen

Wie so oft im Datenschutzrecht werden Verstöße bei der Auftragsverarbeitung von Aufsichtsbehörden angemessen sanktioniert. Das kann zu Geldbußen in der für die Datenschutz-Grundverordnung üblichen Höhe führen, also (bei einfachen Verstößen) 10 Millionen Euro oder 2 Prozent des Vorjahresumsatzes oder (bei komplexeren Verstößen) 20 Millionen Euro oder 4 Prozent des Vorjahresumsatzes. Ist „nur“ Artikel 28 zur Auftragsverarbeitung betroffen und lassen sich keine weiteren Datenschutzverletzungen feststellen, greift der kleinere Bußgeldrahmen. Damit es dazu gar nicht erst kommt, sollten Sie die häufigsten Fehler kennen, die Verantwortlichen in der Praxis unterlaufen.

Mögliche Fehler bei der Auftragsverarbeitung

Fehlende Verträge

Es kann vorkommen, dass Mitarbeitende betroffener Bereiche, etwa im Produktmanagement, das Wesen der Auftragsverarbeitung nicht kennen oder nicht bemerken, dass Auftragsverarbeitung vorliegt. Versäumen sie, den Vertrag gesetzeskonform zu schließen, fehlt der Datenverarbeitung die rechtliche Grundlage. Dem können Sie vorbeugen. Führen Sie Schulungen durch mit allen, die von Auftragsverarbeitung betroffen sein können.

Keine sorgfältige Auswahl

Was immer wieder vergessen wird: die sorgfältige Auswahl der Verarbeiters. Das passiert etwa, wenn ein Betrieb bereits in anderen Belangen mit einem Dienstleister zusammenarbeitet und nicht daran denkt (manchmal auch nicht daran denken will), dass für die Auftragsverarbeitung eigene Rechtsgrundsätze gelten.

Vertrag unvollständig oder falsch

Immer wieder ist zu beobachten, dass zwar ein Vertrag über Auftragsverarbeitung geschlossen wird, dieser jedoch nicht vollständig ist oder nicht die notwendigen Inhalte hat – und damit nicht den Vorgaben durch die DSGVO entspricht.

Keine Überprüfungen

Ebenfalls verbreitet und sicher einer der häufigeren Fehler bei der Auftragsverarbeitung: Der Auftraggeber versäumt regelmäßige Kontrollen, ob sich der Auftragnehmer an die vertraglichen Vereinbarungen hält.

Haftung im Innenverhältnis

Viele Verantwortliche sind sich der Pflicht zur Haftung nicht bewusst. Im Vertrag fehlen Regelungen im Innenverhältnis zwischen den Vertragspartnern, die den Auftragsverarbeiter bei von ihm verschuldeten Fehlern zu Schadenersatz verpflichten.

Zusammenwirken bei Datenpannen

Das kann leider vorkommen: Im Zuge der Auftragsverarbeitung kommt es zu einem meldepflichtigen Datenschutzvorfall. Ärgerlich, wenn der Auftragsverarbeiter nicht bei der Abwicklung unterstützt – die Folgen treffen nämlich den Auftraggeber.

Know-how beim Auftragnehmer

Oft vergessen wird auch zu klären, ob die beteiligten Mitarbeiter beim Auftragsverarbeiter alle relevanten Regelungen zum Datenschutz kennen. Von besonderer Bedeutung ist dieser Punkt bei Aufträgen in Ländern außerhalb der EU.

Betroffenenanfragen

Was regelmäßig zu Ärger mit den Aufsichtsbehörden führt: Der Auftragsverarbeiter versäumt, bei ihm eingehende Betroffenenanfragen an den Verantwortlichen weiterzugeben.

Verzeichnis der Verarbeitungstätigkeiten

Mancher Auftragsverarbeiter übersieht die gesetzliche Verpflichtung, die angepasste Form des Verarbeitungsverzeichnisses vorzuhalten, und führt das Verzeichnis nicht oder nicht richtig.

Technische und organisatorische Maßnahmen

Die notwendigen Maßnahmen zum Schutz der überlassenen Daten durch den Auftragsverarbeiter sind vertraglich festgeschrieben. Wenn er oder seine Mitarbeitenden sie missachten, besteht das Risiko, dass sich in der Verarbeitung Fehler einschleichen. Das kann Datenpannen nach sich ziehen.

In allen genannten Fällen können Ermittlungen durch die Aufsichtsbehörden sowie möglicherweise Geldbußen die Folge sein. Es gehört zu den Aufgaben von Datenschutzbeauftragten, Geschäftsprozesse rund um die Auftragsverarbeitung genau unter die Lupe zu nehmen.

Auftragsverarbeitung in der EU und in Drittländern

Definition, Verträge, Ablauf, Überprüfungen.

Das Webinar. Jetzt anmelden.

12 Schritte zur sicheren Auftragsverarbeitung

Wenn Datenverarbeitung ausgelagert werden soll, müssen betroffene Verarbeitungstätigkeiten sorgfältig beschrieben sein. Stellen Sie sicher, dass dies vor der Auslagerung erfolgt.
Auftragsverarbeitung muss im Betrieb zuverlässig erkannt und angemessen dokumentiert werden.
Im beauftragenden Betrieb muss eine Richtlinie für Auftragsverarbeitung vorliegen.
Dasselbe gilt für Auftragnehmer . Die Richtlinie muss im beauftragten Betrieb allen beteiligten Personen bekannt sein.
Für Auftraggeber: Bestimmen Sie Kriterien für die sorgfältige Auswahl von Auftragsverarbeitern . Für Auftragsverarbeiter: Prüfen Sie anhand der vorgegebenen Kriterien , ob Sie diese angemessen erfüllen können.
Vergewissern Sie sich, dass der unterschriebene Vertrag vollständig und rechtlich einwandfrei ist. Alle geforderten Anlagen müssen vorhanden und vollständig sein. Gegebenenfalls muss eine angemessene Prüfung erfolgen und dokumentiert werden.
Vereinbaren Sie, wie Datenschutzverstöße und Betroffenenanfragen vom Auftragsverarbeiter an den Verantwortlichen übermittelt werden. Geben Sie vor, dass dies unverzüglich zu geschehen hat.
Stellen Sie sicher, dass die jeweiligen Ansprechpartner definiert sind.
Sorgen Sie dafür, dass Meldewege feststehen und erprobt sind.
Leiten Sie regelmäßige Überprüfungen in die Wege. Diese müssen angekündigt, vorgenommen und dokumentiert werden. Falls unangekündigte Überprüfungen vereinbart sind, müssen diese ebenfalls durchgeführt und dokumentiert werden.
Legen Sie fest, ab welchem Grad an Verstößen das Vertragsverhältnis nicht mehr fortgesetzt werden kann. Definieren Sie für kleinere Verstöße, welche Reaktion zu erfolgen hat.
Treffen Sie klare Vereinbarungen, was nach Ende der Auftragsverarbeitung mit den verarbeiteten Daten geschieht. Stellen Sie sicher, dass der Auftragsverarbeiter die Daten zurückgibt und angemessen löscht.

Fazit

Bei der Auftragsverarbeitung lauert manche Fehlerquelle, doch wer die typischen Stolperfallen kennt, kann sie gezielt umgehen. Mit unseren 12 Schritten legen Sie die Grundlage für sichere und alltagstaugliche Auftragsverarbeitung. Weitere Tipps zur Auftragsverarbeitung folgen in den nächsten Datentipps von Team Datenschutz.

Rechtsquellen zum Nachlesen

Zur Gestaltung des Auftragsverarbeitungsvertrags : Art. 28 Abs. 3 DSGVO
Zum Verarbeitungsverzeichnis für Auftragsverarbeiter : Art. 30 Abs. 2 DSGVO

Lösungen zur sicheren und alltagsnahen Auftragsverarbeitung? Fragen Sie uns.
Webinare, persönliche Beratung, passgenaue Umsetzung. Mit Team Datenschutz sind Sie in Sachen Datenschutz und Informationssicherheit einen Schritt voraus.

Hier gibts den Praxistipp als kostenlosen PDF-Download.

Hat Ihnen der Praxistipp gefallen? Empfehlen Sie ihn weiter!

Der Autor

Hier schreibt Eberhard Häcker, Externer Datenschutzbeauftragter, Datenschutzberater, Fachautor und Kongressredner, Geschäftsführer der TDSSG GmbH – Team Datenschutz Services – und der HäckerSoft GmbH (Datenschutz-Software DATSIS und Lernplattform Optilearn.de). Er ist überzeugt, „den spannendsten Beruf der Welt“ zu haben, denn Datenschutz unter der DSGVO ist „wie die Besiedlung Amerikas – weißes Land, das es zu entdecken und sinnvoll zu füllen gilt“. (Eberhard Häcker)

Auftragsverarbeitung in der EU und in Drittländern

Definition, Verträge, Ablauf, Überprüfungen

Das Webinar. Jetzt anmelden.

Das zählt bei der Ausbildung von Datenschutzkoordinatoren

Tue, 07 Sep 2021 09:03:10 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

Ideale Kenntnisse und Fähigkeiten von Datenschutzkoordinatoren

Warum Datenschutzkoordinatoren ebenso genial wie sinnvoll sind? Wer ihn verpasst hat, kann die Antwort nachlesen im Datentipp Datenschutzkoordinatoren – genial einfach, einfach genial vom 2. August 2021. Wenn es keine Datenschutzkoordinatoren gäbe, man müsste sie erfinden!

Praxis, Praxis, Praxis

Aber was müssen Datenschutzkoordinatoren eigentlich alles wissen und was sollten sie können? Oder anders gefragt: Was sollte die Ausbildung als Datenschutzkoordinator beinhalten, welches Wissen und welche Fähigkeiten sollte sie vermitteln? Es ist wie so oft im Leben: Wenn man das geeignete Wissen in der richtigen Situation zur Verfügung hat, kann man das beste Ergebnis erzielen. Auch darum ist eine praxisbezogene Ausbildung für Datenschutzkoordinatoren der Schlüssel zum Erfolg. Für die Datenschutztheorie kann man getrost Datenschutzbeauftragte verantwortlich machen. Der Schlüssel zur Praxis liegt zu einem großen Teil in Datenschutzkoordinatoren.

Umfang des Datenschutzrechts

Dabei sollten Datenschutzkoordinatoren nicht mit zu viel Datenschutzrecht überfrachtet werden. Natürlich müssen sie Basiskenntnisse in diesem Bereich haben, aber für eine fundierte rechtliche Beurteilung von Sachverhalten sind Datenschutzbeauftragte oder Fachanwälte zuständig. Es genügt also, wenn Datenschutzkoordinatoren die wesentlichen Prinzipien der DSGVO verstanden haben. Dazu zählen die Grundsätze der Datenverarbeitung, mögliche Rechtsgrundlagen, geforderte Schutzmaßnahmen und besondere Kategorien personenbezogener Daten.

Einbindung Verarbeitungstätigkeiten

Wichtig ist ein praxisbezogener Ansatz, Datenschutzkoordinatoren bei der Führung des Verzeichnisses der Verarbeitungstätigkeiten einzubinden. Daher sollten sie in der Ausbildung lernen, welche gesetzlichen Mindestinhalte zum Verfahrensverzeichnis gehören und was darüber hinaus sinnvoll zu erfragen ist, um sich unnötige Arbeit zu ersparen. So ergibt es absolut Sinn, eine aus Sicht des Datenschutzes möglichst passende Beschreibung des Prozessablaufs zu erstellen. Wenn Datenschutzkoordinatoren selbst im betroffenen Fachbereich arbeiten, sind sie hier die ideale Stütze für Datenschutzbeauftragte. Bei neu einzuführenden oder zu ändernden Geschäftsprozessen können sie ihr Fachwissen einbringen und dafür sorgen, dass Datenschutz praxisbezogen in diese Geschäftsprozesse einfließt.

Erkennen von Datenschutzrisiken

In diesem Zusammenhang sollten Datenschutzkoordinatoren in der Lage sein, potentielle Datenschutzrisiken für betroffene Personen zu identifizieren und diese mit dem Datenschutzbeauftragten zu besprechen. Auch das sollte ein wesentlicher Bereich in der Ausbildung als Datenschutzkoordinator oder Datenschutzkoordinatorin sein.

Technische und organisatorische Maßnahmen

Da sie selbst im Fachbereich tätig sind, kennen Datenschutzkoordinatoren auch die dort eingesetzten technischen und organisatorischen Maßnahmen. So können sie helfen zu beurteilen, welche davon für den Datenschutz sinnvoll und erforderlich sind. Mit diesem Fachwissen sind sie eine wichtige Unterstützung bei der Erarbeitung und Umsetzung von Datenschutzrichtlinien.

Datenschutzdokumentation

Dass Datenschutzkoordinatoren in der Lage sein sollten, die Datenschutzdokumentation im eigenen Aufgabenbereich fachlich zu begleiten, liegt auf der Hand. Auch hierauf sollte in der Ausbildung Wert gelegt werden.

Ansprechpartner vor Ort

Insgesamt sind Datenschutzkoordinatoren die ersten Ansprechpartner zum Thema Datenschutz vor Ort. Vor diesem Hintergrund sollten sie alle Arbeiten mit dem Datenschutzbeauftragten abstimmen. Und auch dazu sollten sie das erforderliche Fachwissen in ihrer Ausbildung vermittelt bekommen.

Was kann bei der Ausbildung von Datenschutzkoordinatoren schiefgehen?

Werden Datenschutzkoordinatoren zu theoretisch ausgebildet, ist die Gefahr groß, dass sie die Lust an ihren Aufgaben verlieren. Damit wäre eine wunderbare Gelegenheit vertan. Datenschutzkoordinatoren sind Praktiker und sollten von Praktikern ausgebildet werden. Gelingt das, versetzt man sie in die Lage, einen praktischen Beitrag zur Umsetzung des Datenschutzes zu leisten. Scheitert das jedoch, führt die immerhin kostspielige Ausbildung zu Frustration und wertvolle Chancen werden verschenkt.

Relevantes Wissen

Erhalten Datenschutzkoordinatoren Wissen vermittelt, das sie in der Praxis nicht brauchen, werden sie sich möglicherweise bei Themen einmischen, für die sie nicht zuständig sind und die sie überfordern. Die Folge kann sein, dass sie beispielsweise betroffenen Personen falsche Ratschläge geben. So wird aus der genialen Funktion von Datenschutzkoordinatoren möglicherweise ein unnötiges Risiko. Schließlich sollen sie Datenschutzbeauftragte unterstützen, aber nicht ersetzen.

Ebenfalls sollte in der Ausbildung vermieden werden, Datenschutzkoordinatoren zu viel rechtliches Wissen zu vermitteln. In angemessenem Umfang ist es sinnvoll und zielführend, unnötiges oder falsch verstandenes rechtliches Wissen kann jedoch zur Belastung werden und zu Fehldeutungen führen.

Beispiele aus der Praxis

Idealerweise werden Datenschutzkoordinatoren mit vielen Praxisbeispielen ausgebildet. Das setzt voraus, dass die ausbildenden Personen selbst über langjährige Praxis beim Datenschutz verfügen. Wer einen Anbieter zur Schulung von Datenschutzkoordinatoren auswählt, sollte darauf achten und wert legen – im Zweifel nachfragen!

Datenschutzkoordinatoren sind aber auch keine Hilfssheriffs. Menschen mit einer ausgeprägten Neigung zur Selbstdarstellung sind als Datenschutzkoordinatoren ungeeignet. Das sollten Unternehmen vor der Ausbildung berücksichtigen.

Welche Aufgaben haben Datenschutzkoordinatoren, welche Datenschutzbeauftragte?

Datenschutzkoordinatoren sollen bei der revisionssicheren Umsetzung des Datenschutzes unterstützen. Damit passen sie hervorragend ins Datenschutz-Managementsystem. Für den rechtlichen Teil sind Datenschutzbeauftragte verantwortlich, beim praktischen Teil können Datenschutzkoordinatoren, wenn sie richtig ausgebildet sind, einen großen und nicht zu unterschätzenden Beitrag leisten.

Angemessen ausgebildete Datenschutzkoordinatoren halten den erforderlichen Aufwand im Zusammenhang mit dem Datenschutz gering. Sie sind nicht nur eine hervorragende Unterstützung bei der Beschreibung und Umsetzung von Datenschutzprozessen, sondern tragen zur Vereinfachung dieser Prozesse bei und bringen den nötigen Praxisbezug in den Datenschutz ein.

Datenschutz wird mit Datenschutzkoordinatoren einfacher und sinnvoller. Gepaart mit dem rechtlichen Fachwissen des Datenschutzbeauftragten und dessen möglichst pragmatischer Wahrnehmung seiner Überwachungsaufgabe wird daraus die ideale Kombination bei der Umsetzung des Datenschutzes.

Tipps für erfolgreich ausgebildete Datenschutzkoordinatoren

für die Ausbildung von Datenschutzkoordinatoren einen möglichst praxisbezogenen Ausbildungslehrgang wählen
im Idealfall vor Buchung der Ausbildung den Informationsaustausch mit dem ausbildenden Institut suchen, um die Fragen des Praxisbezuges zu besprechen und einzufordern
sicherstellen, dass Datenschutzkoordinatoren ebenso wie Datenschutzbeauftragte nach der Ausbildung angemessen weitergebildet werden
sicherstellen, dass Datenschutzkoordinatoren die für ihre Aufgabe erforderlichen Ressourcen zur Verfügung gestellt bekommen
dafür sorgen, dass Datenschutzkoordinatoren bei den Kolleginnen und Kollegen bekannt sind und mit ihrer Aufgabe nicht alleingelassen werden

Und die Kernfrage: Werden Datenschutzkoordinatoren praxisbezogen ausgebildet und besitzen sie das nötige Fachwissen, um einen echten Beitrag zur revisionssicheren Umsetzung des Datenschutzes zu leisten?

Wir wünschen erfolgreichen Datenschutz mit praxisnahen Datenschutzkoordinatoren!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Lehrgang zum/r
Datenschutzkoordinator/in
Drei Tage Praxiswissen und Beispiele aus dem Alltag.

Jetzt anmelden.

So halten Datenschutzbeauftragte ihr Wissen aktuell

Tue, 24 Aug 2021 08:00:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 8 Minuten

Was Datenschutzbeauftragte können und wissen müssen

Was machen eigentlich Datenschutzbeauftragte? Und was müssen die können? So fragen sich manche Kolleginnen und Kollegen. Dass die fachlichen Anforderungen an Datenschutzbeauftragte hoch sind, kann sich jeder ausmalen – immerhin sind Datenschutzbeauftragte für nichts Geringeres als den Schutz eines EU-weit gültigen Grundrechts aller EU-Bürger benannt. Es gibt nicht allzu viele Personen, die in einem Unternehmen oder einer Institution für die Sicherstellung von Grundrechten zu sorgen haben. Beim Datenschutz bildet Artikel 8 der europäischen Grundrechtecharta die Grundlage, das Recht auf den Schutz personenbezogener Daten.

„Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.“
Artikel 8 der europäischen Grundrechtecharta

Wie Datenschutzbeauftragte ihre Kenntnisse aktuell halten

Datenschutzbeauftragte brauchen Fachwissen. Dazu zählt juristisches Fachwissen ebenso wie die besonderen Kenntnisse zu Geschäftsprozessen, die beim Verantwortlichen im Einsatz sind und bei denen fast immer auch personenbezogene Daten verarbeitet werden. Und das ist noch nicht alles, etliche weitere Kenntnisse sind gefragt.

Normalerweise lässt sich das Fachwissen eines Datenschutzbeauftragten mittels eines erfolgreich absolvierten Lehrganges nachweisen – dem Fachkundenachweis. Da die Verarbeitung personenbezogener Daten eng mit der Verarbeitung digitaler Daten in informationstechnischen Systemen verbunden ist und diese Techniken einer rasanten Weiterentwicklung unterliegen, müssen Datenschutzbeauftragte ihr entsprechendes Fachwissen immer wieder anpassen. Und das ist oft genug wie beim Märchen von Hase und Igel: Wie schnell der Hase auch läuft, der Igel ist immer vor ihm da. Dass der Igel trickst, ist das eine. Dennoch kennen die meisten Datenschutzbeauftragten den Eindruck, dass die IT mit immer neuen Tricks kommt und man nie lange auf dem aktuellen Stand des Wissens bleibt.

Seminare zur Auffrischung: Kennt man einen guten Anbieter von qualifizierten Datenschutz-Seminaren, kann man so sein Fachwissen aktuell halten und zugleich den wichtigen Austausch mit Datenschutz-Kolleginnen und Kollegen pflegen. Dazu lässt sich der aktuelle Kenntnisstand jederzeit nachweisen.
Kongresse: Kongressbesuche sind die klassische Form des Erhalts der Fachkunde. Viele Themen, gute bis sehr gute Referenten, Austausch mit Kollegen, selbst in virtueller Form immer noch gut geeignet. Auch hier sind die Nachweise gegeben.
Webinare zur Auffrischung: Seit Ausbruch der Pandemie sind Webinare eine noch beliebtere Form der Wissensauffrischung. Vorteil: Man kann sich mehrere Themen aussuchen und die Webinare besuchen, die sich am besten eignen. Nachteil: Der direkte Kontakt mit anderen Datenschützern ist schwierig bis unmöglich. Nachweise sind bei Teilnahme gegeben.
Fachliteratur und Fachzeitschriften: Die einschlägige Fachliteratur eignet sich gut als Ergänzung zu Seminaren, Kongressen und Webinaren. Schwierig ist der Nachweis, dass die Fachkunde tatsächlich erhalten bleibt. Andererseits deutet das Vorhandensein eines Abonnements immerhin auf ein regelmäßiges Update der Fachkunde hin.
Mitgliedschaft in einem Fachverband: Hier werden oft mehrere der genannten Möglichkeiten zum Update des Fachwissens gebündelt. Allein die Mitgliedschaft in einem solchen Verband (GDD, BfD oder andere) deutet auf einen regelmäßigen Erhalt des Fachwissens hin.
Arbeitskreise Datenschutz: Ideal ist es immer noch, wenn man auftauchende Fragen direkt mit Fachleuten durchsprechen kann, und noch besser, wenn man die Frage gemeinsam lösen kann, und zwar angepasst auf die eigene Situation. Das gibt es nicht? Gibt es doch! Und zwar in Form von Arbeitskreisen. Hier treffen sich Datenschutzbeauftragte zum regelmäßigen Informationsaustausch. Sie besprechen bei diesen Treffen aktuelle Fragen und erarbeiten Lösungsvorschläge, die passen. Das klappt hervorragend als Videokonferenz, der Aufwand ist also zeitlich wie finanziell gering. Zu diesem speziellen Bereich folgt ein weiterer kleiner feiner Tipp zum Schutz von Daten.

Fazit: Aller Erfahrung nach sind regelmäßige Arbeitskreise mit Gleichgesinnten der effizienteste Weg, in Sachen Datenschutz aktuell zu bleiben. So halten sich Datenschutzbeauftragte heute auf Stand!

Wo liegt das Risiko fehlender Weiterentwicklung der Datenschutz-Fachkunde?

Ohne eine regelmäßige Aktualisierung des Wissens und Könnens sind Datenschutzbeauftragte schon nach recht kurzer Zeit nicht mehr vollständig in der Lage, ihre Aufgaben zuverlässig auszuführen. Fehler können sich einschleichen. Das kann auch durch Selbstüberschätzung oder generell mangelndes Wissen passieren. Ausbaden muss das der Verantwortliche, der ja dafür haftet, dass Datenschutz gesetzeskonform umgesetzt wird.

Ein weiteres Risiko liegt darin, dass nach anfänglichen Unsicherheiten mittlerweile der Umgang mit der DSGVO keine „weiße Landkarte“ mehr ist. Immer mehr Themen werden zur Quasi-Routine. Wer allerdings nicht zur Fortbildung geht oder keinen fachlichen Austausch mit anderen hält, bekommt davon naturgemäß nicht allzu viel mit.

Ohne Anpassung des Wissensstandes wächst die Gefahr, dass Fehler passieren. Das kann teuer werden, entsprechende Geldbußen können gravierend sein.

Up to date in Sachen Datenschutz

Spannend. Praxisnah. Topaktuell.

Virtuell erleben! Der Arbeitskreis Datenschutz.

Fachkenntnisse von Datenschutzbeauftragten laut DSGVO

Man muss in der DSGVO geradezu suchen, um die Hinweise auf erforderliche Qualifikationen und den Erhalt des Fachwissens von Datenschutzbeauftragten zu finden. Aber sie sind da! Sie stehen im fünften Absatz von Artikel 37: „Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben.“

Und die Pflicht zur Weiterbildung? Die findet sich indirekt in Artikel 38 der DSGVO im zweiten Absatz: „Der Verantwortliche und der Auftragsverarbeiter unterstützen den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 39, indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.“

Die laufende Anpassung des Wissens sollte geplant werden. Dazu muss man die aktuellen Entwicklungen beobachten. Keiner kann alles, was sich beim Datenschutz täglich in der EU tut, aktuell parat haben. Es gilt also, die besten Instrumente zu finden und sich damit auf dem Laufenden zu halten.

Tipps, wie Datenschutzbeauftragte ihr Fachwissen gezielt aktuell halten

Beobachten, welche Themenbereiche und Themen sich beim Datenschutz wie stark verändern
Sicherstellen, dass Datenschutzbeauftragte ihr Wissen geplant und regelmäßig anpassen.
Prüfen, ob ein Kongressbesuch für Datenschutzbeauftragte eine sinnvolle Möglichkeit der systematischen Weiterbildung sein kann. Wenn ja, tun.
Prüfen, ob ein Seminarbesuch für Datenschutzbeauftragte eine sinnvolle Möglichkeit der systematischen Weiterbildung sein kann. Wenn ja, tun.
Prüfen, ob ein Webinarbesuch für Datenschutzbeauftragte eine sinnvolle Möglichkeit der systematischen Weiterbildung sein kann. Wenn ja, tun.
Prüfen, ob Fachliteratur oder eine Fachzeitschrift für Datenschutzbeauftragte eine sinnvolle Möglichkeit der systematischen Weiterbildung sein kann. Wenn ja, tun.
Prüfen, ob ein Arbeitskreis für Datenschutzbeauftragte eine sinnvolle Möglichkeit der systematischen Weiterbildung sein kann. Wenn ja, probeschnuppern und mitmachen.
Mit dem Verantwortlichen klären, welche Formen der Weiterbildung und des Wissenserhalts gewählt werden sollen.

Und die Kernfrage: Kann sichergestellt werden, dass sich Datenschutzbeauftragte laufend fortbilden und ihre Fachkunde angemessen erhalten bleibt?

Wir wünschen bestes Gelingen bei der Weiterentwicklung Ihres Datenschutzwissens!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Up to date in Sachen Datenschutz

Spannend. Praxisnah. Topaktuell.

Virtuell erleben! Der Arbeitskreis Datenschutz.

Verknüpfte Daten in PowerPoint-Präsentationen können Datenschleudern sein

Thu, 19 Aug 2021 06:00:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Daten in PowerPoint aktuell halten

Es gibt Präsentationen, die man nicht nur einmal hält. Wenn wiederkehrende Vorträge im pptx-Format Daten und Zahlen enthalten, müssen diese gelegentlich aktualisiert werden. Das können etwa Daten sein, die den jeweiligen Entwicklungsstand eines Projekts abbilden. Es können Umsätze sein, die sich dynamisch nach oben oder unten entwickeln. Es können aber auch Gesundheitsinformationen wie Krankentage von Beschäftigten sein, die regelmäßig zu einer Statistik zusammengefasst werden.

Es gibt zwei grundlegende Möglichkeiten, Daten wie diese aktuell zu halten. Man kann zum einen den Bereich der Excel-Datei, den man in PowerPoint einbetten möchte, jedes Mal in die Präsentation kopieren. Man kann aber auch eine dynamische Verknüpfung zwischen der Präsentation und der Excel-Datei erstellen. Der dafür eingesetzte Link sorgt dafür, dass jede Änderung, also auch jede Anpassung an aktuelle Zahlen im ausgewählten Bereich, direkt in der PowerPoint-Präsentation sichtbar sind. Praktisch, oder? Die meisten Präsentierenden, die das wissen, verwenden diese Funktion.

Was man beim Versand von PowerPoint-Dateien wissen sollte

Aber ist das auch immer gewollt, dass die aktuellen Zahlen aus der Präsentation heraus abrufbar sind? Und sind möglicherweise mit der Excel-Datei weitere Informationen verknüpft, die zwar im Excel-Tabellenblatt enthalten sind, aber für die Präsentation nicht erforderlich sind? Dann ist Vorsicht geboten. Denn: Auch solche zusätzlichen Daten werden an mögliche Empfänger übermittelt und können brisante Informationen enthalten.

Dazu ein Beispiel aus der Praxis. Stellen Sie sich vor, die Geschäftsführerin stellt auf der Pressekonferenz zur Bilanz die Planzahlen für das kommende Jahr vor. Die Daten in der PowerPoint-Präsentation kommen als Auszug für das folgende Jahr aus einem Datenblatt mit den Planzahlen für die kommenden zehn Jahre. Wenn jetzt Journalisten um eine Kopie der Präsentation bitten und diese auch erhalten, sind darin - sofern sie nicht entfernt wurden – auch die anderen Planzahlen enthalten. Die Empfänger müssen nur wissen, wie sie sie finden. Ob es gewollt ist, die Bilanzplanung für die Folgejahre an die Presse zu geben?

Wer PowerPoint-Dateien weitergibt, muss sich bewusst sein, dass darin vertrauliche Daten enthalten sein können. Brisante Informationen dieser Art können personenbezogene Daten als auch anderweitig zu schützende Informationen bis hin zu Geschäftsgeheimnissen sein. Je nach Information kann das für Unternehmen gravierende Folgen nach sich ziehen.

PowerPoint-Datenpannen vermeiden

Wo ist das Risiko? Immer dann, wenn Daten aus einer Office-Anwendung (hier Excel) in eine andere Office-Datei (hier die PowerPoint-Präsentation) dynamisch eingebunden sind, können weitere Daten im Gepäck sein. Wer Datenpannen vermeiden will, muss vor der Weitergabe zwei Dinge prüfen, nämlich ob a) der gesamte Datenbestand und b) möglicherweise eine dynamische Verknüpfung mitgeliefert werden soll. Wer das versäumt, serviert möglicherweise geschützte Informationen, personenbezogene Daten und Geschäftsgeheimnisse quasi auf dem Präsentierteller.

Datenschutzvorfälle mit PowerPoint und Datenschutz-Meldepflicht

Sind personenbezogene Daten in die Verknüpfung eingebunden, kann dies aus Sicht des Datenschutzes eine Schutzverletzung auslösen, Stichwort unbefugter Zugang zu personenbezogenen Daten. Diese wiederum führt gegebenenfalls zu einer Meldepflicht an die Datenschutz-Aufsichtsbehörde. Sollte die Verletzung aus Unachtsamkeit übersehen werden und daher die Meldung unterbleiben, kann dies Bußgelder nach sich ziehen. Aus diesem Grund sollten Verknüpfungen zwischen Excel-Dateien und PowerPoint-Präsentationen immer nur statisch erfolgen und nicht dynamisch. Andernfalls muss ausgeschlossen sein, dass die Daten als Paket, also mit der Präsentation verknüpft, weitergegeben werden.

Tipps, um vertrauliche Daten in PowerPoint zu schützen

Prüfen, ob die geschilderte Gefährdung im Unternehmen überhaupt besteht. Wenn ja: das Risiko bewerten hinsichtlich Eintrittswahrscheinlichkeit und möglicher Schadenshöhe.
Sicherstellen, die Prozessverantwortlichen mit entsprechenden Excel- und PowerPoint-Dateien in den Prüfprozess einzubinden.
Prüfen, ob Excel-Daten in PowerPoint-Präsentationen dynamisch eingebunden werden müssen oder eine statische Kopie genügt – wenn Letzteres zutrifft, Daten immer statisch verknüpfen, dann sind die sich ändernden Werte aus den Excel-Dateien geschützt.
Soweit erforderlich und möglich: Sicherstellen, dass kein Versand von dynamisch in PowerPoint eingebundenen Excel-Daten erfolgt, sondern in einem Format, das die sich ändernden Excel-Daten nicht weitergibt. In Frage kommt beispielsweise das PDF-Format.
Auch für die interne Weiterleitung von Präsentationen prüfen, ob die dynamischen Excel-Daten zugänglich sein dürfen. Wenn nicht, auch hier sicherstellen, dass eine Entkoppelung der dynamischen Verknüpfung vor dem Versand auch intern sichergestellt ist.
Sicherstellen, dass dies auch für ältere Dateien geprüft wird – beispielsweise, dass in keinem Fall mehr Dateien im veralteten Excel-Format oder etwa Power Point 2003 im Einsatz sind. Diese können Makros unkontrolliert öffnen und damit andere Gefährdungen auslösen.
Soweit erforderlich alle Nutzer von Excel und PowerPoint für die Gefährdung sensibilisieren, dass dynamische Verknüpfungen bei unüberlegter Weiterleitung sichtbar gemacht werden können.
Prüfen, ob der Versand von PowerPoint-Dateien durch eine zentrale Stelle verantwortet werden kann, die Dokumente vor dem Versand dahingehend prüft, ob Metadaten, eingebundene Daten und andere geschützte Informationen enthalten sind. So werden kritische Daten vor dem Versand verlässlich entfernt oder nur im dezidierten Erlaubnisfall mitgesendet.

Und die Kernfrage: Ist sichergestellt, dass mit dem Versand von PowerPoint-Dateien keine vertraulichen Informationen an Unbefugte weitergeleitet werden?

Wir wünschen erfolgreichen Schutz Ihrer vertraulichen Daten!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Guck mal, was der schreibt – oder doch lieber mit Sichtschutzfolie?

183:832032422 (Eberhard Häcker) — Wed, 11 Aug 2021 07:00:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Blickschutz auf den Monitor durch moderne Software

Wir arbeiten immer häufiger mobil. Immer weniger wird an einem festen Arbeitsplatz gearbeitet – und damit immer weniger an einem Arbeitsplatz, an dem möglichst niemand Unbefugtes Bildschirminhalte mitlesen kann. Gerade beim mobilen Arbeiten passiert es immer wieder, dass andere sehen können, was auf dem Bildschirm steht.

Es gibt Situationen, in denen man das gar nicht merkt. Wer etwa im Zug sitzt und arbeitet, bekommt oft gar nicht mit, wenn zwischen den Sitzen jemand auf den Bildschirm sieht. Gleiches gilt am Flughafen: Wer am Terminal auf den Abflug seines Fliegers wartet und arbeitet, merkt oft nicht, wenn ihm jemand über die Schulter sieht.

Das Problem besteht nicht nur unterwegs. Auch beim Arbeiten in der Wohnung kommt es immer wieder vor, dass unbefugte Dritte den Inhalt des Monitors mitlesen. Dabei würde oft schon genügen, wenn jemand aus einem Winkel von etwa 30 Grad nicht mehr sehen kann, was auf dem Bildschirm steht. Ein Winkel von 30 Grad, das entspricht den Schnittkanten eines klassischen Kuchenstücks.

Moderne Bildschirmtechnik ermöglicht das auf Knopfdruck. So gibt es heute Notebooks, bei denen sich von Seiten der Software der Bildschirm so einstellen lässt, dass genau diese Wirkung eintritt. Von der Seite kann so niemand mehr etwas auf dem Bildschirm erkennen. Möchte man, dass Kollegen oder Geschäftspartner mit auf dem Bildschirm sehen, schaltet man die Funktion einfach aus.

Sichtschutzfolie am Monitor

Bei älteren Notebooks ist das oft nicht möglich. Hier hilft eine Blickschutzfolie. Diese wird mittels Klemmhaltern über dem Bildschirm befestigt oder einfach aufgeklebt. Damit tritt derselbe Effekt ein wie bei modernen Geräten mit entsprechender Software: Bei einem seitlichen Einblickwinkel von mehr als etwa 30 Grad wirkt der Bildschirm schwarz und der Inhalt ist nicht mehr zu erkennen.

Geradezu unverzichtbar ist das, wenn beispielsweise in einer Klinik der Empfangsbereich auf einer Station über Eck angelegt ist. Da können Bildschirme stehen, wie sie wollen, ohne zusätzlichen Schutz ist von der Seite immer ein Einblick in Patientendaten möglich.

Wichtig ist in jedem Fall, Blickschutzfolien richtig auszuwählen und anzubringen. Außerdem müssen die Beschäftigten lernen, wie sie den Blickwinkel des Bildschirms richtig einstellen. Sonst erscheint unter Umständen das Bild im Randbereich der Folie dunkler, was aus Sicht der Arbeitssicherheit kontraproduktiv wäre.

Was man im Alltag gelegentlich beobachtet, ist der Fall, dass aus Kostengründen eine nicht angepasste Blickschutzfolie in Verwendung ist. Niemand bemerkt, dass die Folie zu groß ist, diese wird auf den Bildschirmrand geklebt. Folge: Zwischen Folie und Bildschirm liegen etwa drei Millimeter Abstand, das Bild ist aus jedem Winkel unscharf. Dass diese Sichtschutzfolie von der Kollegin schnell wieder entfernt wurde, ist mehr als verständlich.

Datenschutz und Informationssicherheit

Aus Sicht des Datenschutzes kann die unbefugte Einsicht eines Bildschirms einen Schutzverstoß darstellen. Je nachdem, welche Inhalte dabei einsehbar sind, handelt es sich dabei um eine Datenschutzverletzung. Diese kann bei entsprechendem Risiko für die Rechte und Freiheiten betroffener Personen sogar meldepflichtig sein.

Aus Sicht der Informationssicherheit ist es ebenfalls eine Schutzverletzung, wenn unbefugte Personen Bildschirminhalte einsehen können. Abhängig davon, woran Beobachtete gerade arbeiten, kann der unbefugte Einblick weitreichende Folgen mit sich bringen.
Ohne eine Blickschutzfolie oder die entsprechende Technik am Bildschirm müssen Beschäftigte in bestimmten Situationen die Arbeit beenden oder zumindest Themen bearbeiten, bei denen es nicht zu Schutzverletzungen kommen kann. Allerdings: Auch mit Blickschutzfolie lässt sich nicht immer ausschließen, dass unbefugte Personen zusehen. Das gilt etwa im Zug, wenn jemand hinter einem sitzt, der zwischen den Sitzen durchsieht. Mein persönlicher Tipp: Ich behelfe mir immer damit, schon bei der Platzreservierung darauf zu achten, dass sich hinter meinen Sitz eine Wand befindet.

Unberechtigt einsehbare Bildschirme können neben Verletzungen beim Datenschutz und der Informationssicherheit dazu führen, dass Geschäftsgeheimnisse offengelegt werden. Neben weitreichenden Folgeschäden für das Unternehmen kann das, je nach Vertragslage, außerdem zu Konventionalstrafen führen.

Was geht es den Datenschutz an?

Gemäß Artikel 32 der Datenschutz-Grundverordnung (DSGVO) sind Verantwortliche verpflichtet, die Vertraulichkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung personenbezogener Daten auf Dauer sicherzustellen. Das gilt auch für das mobile Arbeiten. Ausdrücklich wird im Absatz 2 dieses Artikels darauf verwiesen, dass insbesondere die Risiken einer unbefugten Offenlegung von personenbezogenen Daten zu berücksichtigen sind. Das ist genau die Situation, die beim unbefugten Einblick auf Bildschirme eintritt.

Was sind geeignete Vorkehrungen? Da sind zum einen technische Maßnahmen wie die Anschaffung von Notebooks mit der entsprechenden Bildschirmtechnik oder das Anbringen von Sichtschutzfolien. Es können aber auch wirksame organisatorische Maßnahmen sein, die etwa darin bestehen, in Situationen mit möglichen Einblicken durch Fremde die Arbeit zu unterbrechen. Ebenso möglich ist es, sich vor Beginn der Arbeit einen entsprechenden Platz zu suchen, an dem eine unbefugte Bildschirmeinsicht drastisch erschwert oder unmöglich ist.

Wichtige Voraussetzung ist in jedem Fall, dass sich mobil arbeitende Beschäftigte dieser Risiken bewusst sind. Unternehmen sollten ihre Beschäftigten in dieser Hinsicht angemessen schulen und auf Gefahren und mögliche Folgen hinweisen.

Tipps, um Monitore vor unbefugten Einblicken zu schützen

Stellen Sie sicher, dass alle mobil arbeitenden Beschäftigten sich der Risiken einer unbefugten Bildschirmeinsicht in bestimmten Situationen bei mobilem Arbeiten bewusst sind.
Überprüfen Sie, ob vorhandene Notebooks über die Technik verfügen, ohne Sichtschutzfolie seitliche Einblicke zu verhindern.
Prüfen Sie für neue Notebooks , ob die moderne Technik zur Verhinderung seitlicher Bildschirmeinsicht mit beschafft werden kann oder ob alternativ schon beim Kauf Blickschutzfolien angebracht werden.
Prüfen Sie für vorhandene Notebooks ohne moderne Bildschirmtechnik, ob es vorgefertigte Blickschutzfolien gibt oder Rohfolien selbst zugeschnitten werden müssen.
Stellen Sie sicher, dass alle mobil arbeitenden beschäftigten Personen für ihre Notebooks entweder die moderne Bildschirmtechnik verwenden können oder passende Sichtschutzfolien angebracht werden .
Auch an den übrigen Arbeitsplätzen im Unternehmen sollte bei Begehungen darauf geachtet werden, ob unbefugte Bildschirmeinsicht durch Dritte möglich ist. Wenn ja, prüfen Sie, ob diese Bildschirme ebenfalls mit Blickschutzfolien versehen werden können.
Alle beschäftigten Personen, die eine Blickschutzfolie verwenden sollen, sind angemessen auf den Einsatz vorzubereiten. Dazu gehört eine persönliche Beratung am Arbeitsplatz , um den Beschäftigten zu demonstrieren, wie eng der eingestellte Sichtwinkel des Bildschirms mit der Bildqualität zusammenhängt.
Alle mobil Arbeitenden und alle Beschäftigten, für deren Bildschirm ein seitlicher Einblick nicht ausgeschlossen werden kann, sind zu verpflichten, die Blickschutzfolie immer einzusetzen , wenn sie nicht allein arbeiten.
Alle diese Beschäftigten sollten Sie in einer Liste erfassen . Überprüfen Sie, ob die Verpflichtung zur Nutzung der Blickschutzfolien eingehalten wird .
Falls noch nicht geschehen: Nehmen Sie die verbindliche Nutzung von Blickschutzfolien in die Datenschutzrichtlinie bzw. die Richtlinie für Informationssicherheit mit auf.

Und die Kernfrage: Sind alle Beschäftigten mit Bildschirmen, wo ein seitlicher Einblick nicht ausgeschlossen werden kann, mit moderner Bildschirmtechnik oder Sichtschutzfolien ausgestattet oder angemessen darüber aufgeklärt, wie sie unbefugte Bildschirmeinsicht vermeiden können?

Wir wünschen gelungenen Schutz vor unbefugten Einblicken!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Jubiläum für kleine Datenschutz-Anekdoten - der 50. Daten-Schluss

Fri, 06 Aug 2021 15:24:18 GMT

50 Mal Daten-Schluss in der Datenschutz Praxis

Seit 2017 ist sie fester Bestandteil der Datenschutz-Zeitschrift Datenschutz Praxis - die kleine Datenschutz-Geschichte auf der letzten Seite, der Daten-Schluss. Team -Datenschutz-Gründer Eberhard Häcker teilt darin jeden Monat ein lustiges, besonderes und unterhaltsames Erlebnis aus seinem Alltag als Datenschutzberater. Die kleinen Geschichten sind bei den Lesern überaus beliebt, denn sie vermitteln auf sympathische Weise kleine Missverständnisse, Eigenwilligkeiten und andere Anekdoten aus dem Datenschutzalltag. In der August-Ausgabe erscheint der 50. Daten-Schluss! Passend zum Jubiläum verrät Eberhard Häcker mehr über die kleinen Geschichten.

Lieber Herr Häcker, zunächst einmal Glückwünsche zum Jubiläum! Wie kam es zu der Idee, in der Datenschutz Praxis kleine Alltagsanekdoten zu teilen?

Es gibt den schönen Satz: Humor ist, wenn man trotzdem lacht. Das sagt doch eigentlich alles zum Thema Datenschutz, oder? Im Alltag passieren so viele nette Geschichten zum Thema Datenschutz, natürlich alle unfreiwillig, die es einfach wert sind, erzählt zu werden. Und die es wert sind, von anderen, beispielsweise in Schulungen, als nette Anekdote mit verwendet zu werden. Wichtig ist mir natürlich, dass niemand vorgeführt wird, das wäre absolut unfair. Niemand macht eine solch nette Begebenheit absichtlich. Die Geschichten passieren einfach, und meistens lachen die betroffenen Personen mit.

Muss man als Ihr Kunde darauf gefasst sein, im nächsten Daten-Schluss aufzutauchen?

Keine Sorge, ich verändere die Geschichten so weit, dass die Beteiligten sich zwar selbst erkennen können, aber andere keine Chance haben, herauszubekommen, wem oder wo das passiert ist. Aber natürlich kann man sich auch als Unbeteiligter im nächsten Daten-Schluss wiederfinden und überlegen, ob einem das so oder ähnlich auch passieren könnte …

Können Sie sich an die Datenschutz Praxis ohne Daten-Schluss erinnern? Was war früher auf der letzten Seite?

Die letzte Seite war auch schon vorher eine Seite für Praxisfälle. Hier wurden Themen aufgegriffen, die schon etwas schräg waren im Sinne von „so haben wir das noch gar nicht gesehen“, aber durchaus Relevanz im Alltag hatten. Aber eben nicht so systematisch mit dem humorvollen Aspekt, wie das jetzt geschieht. Auf jeden Fall bin ich dem WEKA-Verlag sehr dankbar für die Gelegenheit, so lange „die letzte Seite“ zu sein. Und ich hoffe, das geht noch lange so weiter. Das Leben schreibt einfach nette Geschichten, die es wert sind, mit anderen geteilt zu werden.

Haben Sie eine persönliche Lieblingsgeschichte?

Meine persönliche annähernde Lieblingsgeschichte ist immer noch der Datenschutzhund, der in der Kaffeeküche 18 Kolleginnen und Kollegen eingesperrt hat, weil er als ein guter Hütehund zwar alle hereingelassen, aber niemanden mehr rausgelassen hat. Aber eigentlich gibt es keine Lieblingsgeschichte, denn das ist immer die, die in der aktuellen Datenschutz Praxis erscheint. Ich bin auch neugierig, was heute oder morgen wieder nettes passiert und es schafft, ein Daten-Schluss zu werden.

Was tun Sie, wenn Ihnen eines Tages die Geschichten ausgehen?

Dann brauche ich gar nichts mehr zu tun, denn dann ist die Welt untergegangen. Solange die Erde sich dreht, solange Menschen arbeiten, solange es Datenschutz gibt, wird es auch immer nette Geschichten dazu geben.

Herr Häcker, vielen Dank für das Gespräch, wir freuen uns auf weitere Daten-Schluss-Geschichten!

Noch kein Abo der Datenschutz Praxis? Hier gibts alle Infos:

Datenschutzkoordinatoren – genial einfach, einfach genial

Mon, 02 Aug 2021 10:00:40 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Was tun Datenschutzkoordinatoren?

Haben Sie auch schon Datenschutzkoordinatoren im Einsatz? Wenn nicht, werden Sie sich nach dem Lesen dieses Datentipps sicher fragen, warum nicht. Und möglicherweise gleich jemanden zum entsprechenden Lehrgang schicken ... Aber der Reihe nach. Eine der wesentlichen Änderungen durch die Datenschutz-Grundverordnung (DSGVO) ist die Entwicklung des Datenschutzes zu einem Managementsystem (wer mag, lese dazu Artikel 24 der DSGVO). Dem Datenschutzbeauftragten obliegen mindestens die Aufgaben, welche die DSGVO aufzählt (diesmal Artikel 39): Datenschutzberatung des Verantwortlichen und der Beschäftigten, Überwachung der Umsetzung des Datenschutzes, Mitwirkung an Datenschutz-Folgenabschätzungen, Kontakt mit Aufsichtsbehörden und Beantwortung von Anfragen.

Eine wichtige Erkenntnis: Datenschutzbeauftragte dürfen sich in diesem Gefüge nicht selbst kontrollieren. Wenn sie die wichtige und verantwortungsvolle Aufgabe des Schutzes des Grundrechts auf Datenschutz (festgelegt im achten Artikel der Grundrechtecharta der Europäischen Union) angemessen umsetzen sollen, brauchen sie Unterstützung. Und ebenso, nebenbei gesagt, wenn Sanktionen durch Aufsichtsbehörden wie Geldbußen vermieden werden sollen. Ein Datenschutz-Managementsystem gründet auf dem Datenschutzteam. Das besteht mindestens aus dem Verantwortlichen (also Vertretern der Leitungsebene), dem Datenschutzmanager oder Datenschutzbeauftragten und in aller Regel Datenschutzkoordinatoren. Weitere Verantwortlichkeiten liegen bei den leitenden Personen aus den Geschäftsbereichen.

Warum Datenschutzkoordinatoren so nützlich sind

Datenschutzkoordinatoren stammen im Idealfall aus verschiedenen Fachbereichen, in welchen personenbezogene Daten von unterschiedlicher Sensitivität verarbeitet werden. Also etwa aus dem Personalbereich, der IT, dem Rechnungswesen, möglicherweise dem Einkauf oder dem Vertrieb und idealerweise der Produktion. Mit ihrem Prozesswissen erleichtern sie es erheblich, die Dokumentationspflichten zu erfüllen – beispielsweise das Führen des Verarbeitungsverzeichnisses oder die Umsetzung der technischen und organisatorischen Maßnahmen.

Gäbe es keine Datenschutzkoordinatoren, man müsste sie erfinden. So genial ist ihre Funktion für eine revisionssichere Umsetzung des Datenschutzes und so sinnvoll ist es, wenn jene, die die Geschäftsprozesse kennen, diese aus Sicht des Datenschutzes beschreiben und prüfen können. Datenschutzkoordinatoren arbeiten damit den Datenschutzbeauftragten in vorbildlicher Weise zu.

Lehrgang zum/r
Datenschutzkoordinator/in
Drei Tage Praxiswissen und Beispiele aus dem Alltag.

Jetzt anmelden.

Wichtige Vorteile von Datenschutzkoordinatoren

Auch ohne Datenschutzkoordinatoren kann man Datenschutz bewältigen, aber erfahrungsgemäß mit sehr viel mehr Aufwand als mit ihnen. Datenschutzbeauftragte können naturgemäß nicht das Prozesswissen aller relevanten Geschäftsbereiche des Unternehmens innehaben und müssen es sich mühsam erfragen und aneignen. Da hilft es enorm, beschäftigte Personen, die diese Prozesse kennen, im Datenschutzteam zu haben.

Was die Sache nicht eben vereinfacht: Datenschutzbeauftragte werden häufig von extern gestellt und haben darum keine oder nur eine sehr geringe persönliche Bindung zum Kollegenkreis. Ganz anders Datenschutzkoordinatoren: Diese sind Kolleginnen und Kollegen und kennen die Prozesse, womöglich schon seit vielen Jahren. Bei Änderungen können sie sofort erkennen, wie gravierend diese sich auf den Datenschutz auswirken werden. Und: Sie genießen Vertrauen. Infos, die bei Datenschutzkoordinatoren landen, würden Datenschutzbeauftragte häufig gar nicht erreichen. Fehlende Infos können aus Sicht des Datenschutzes zu Fehlern in den Abläufen führen. Und Fehler in den Abläufen führen leicht zu Datenschutzverstößen und Meldepflichten bis hin zu Prüfverfahren durch die Aufsichtsbehörde.

Datenschutzkoordinatoren – kundige Ansprechpartner direkt vor Ort

Aus Sicht des Datenschutzes ist die Benennung von Datenschutzkoordinatoren ein wichtiger Baustein der Umsetzung des von der DSGVO geforderten Managementsystems Datenschutz. Eine einfach geniale Unterstützung für Datenschutzbeauftragte und zugleich ein überaus nützliches Mittel für Kolleginnen und Kollegen, um früh zu erkennen, ob geplante Prozesse datenschutzkonform möglich sein werden – sie brauchen ja nur einen der Datenschutzkoordinatoren zu fragen. Was Datenschutzkoordinatoren nicht selbst beantworten können, besprechen sie mit dem oder der Datenschutzbeauftragten - und haben dafür schon die nötigen Infos im Gepäck.

Man kann festhalten: Datenschutzkoordinatoren sind eine hervorragende Ergänzung für das Team um Datenschutzbeauftragte. In vielen Fällen machen sie eine revisionssichere Abarbeitung des Datenschutzes überhaupt erst möglich. Dabei ist die Idee ebenso einfach wie genial: Man gibt jenen, die sich mit den Prozessen auskennen, grundlegendes Datenschutzwissen an die Hand und erhält eine wertvolle Unterstützung für die Beurteilung von Prozessabläufen und der dabei entstehenden Verarbeitung personenbezogener Daten.

Voraussetzung ist natürlich, dass Datenschutzkoordinatoren praxisnah ausgebildet sind und pragmatisch geführt werden.
Zu normalen Zeiten verwenden Datenschutzkoordinatoren pro Woche etwa ein bis zwei Stunden ihrer Arbeitszeit für den Datenschutz, können aber viele Risiken abfangen, die sonst eskalieren könnten. Insofern ist die Einrichtung von Datenschutzkoordinatoren tatsächlich genial, sinnvoll und sehr zu empfehlen.

Tipps für eine gelungene Arbeit mit Datenschutzkoordinatoren

prüfen, ob bereits Datenschutzkoordinatoren benannt sind
falls ja: prüfen, ob mit ihnen bereits alle gewünschten Fachbereiche vertreten sind
in Fachbereichen, wo Datenschutzkoordinatoren fehlen, aber sinnvoll wären: prüfen, wer diese Funktion sinnvoll übernehmen kann
prüfen, wo Datenschutzkoordinatoren praxisbezogen ausgebildet werden können
gemeinsam mit dem Personalbereich und den Vorgesetzten die arbeitsrechtliche Situation der vorgesehenen Datenschutzkoordinatoren prüfen
Datenschutzkoordinatoren im erforderlichen Ausmaß an regelmäßigen Schulungen teilnehmen lassen, idealerweise in virtueller Form
Datenschutzkoordinatoren regelmäßig in die Datenschutzplanungen des Verantwortlichen einbinden

Und die Kernfrage: Kann das für den Datenschutz nötige fachliche Wissen ohne Datenschutzkoordinatoren sichergestellt werden, und wenn nicht, wie lässt sich erreichen, dass Datenschutzkoordinatoren in angemessenem Umfang als Unterstützung für Datenschutzbeauftragte zur Verfügung stehen?

Wir wünschen genial einfachen Datenschutz mit Ihren Datenschutzkoordinatoren!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Lehrgang zum/r
Datenschutzkoordinator/in
Drei Tage Praxiswissen und Beispiele aus dem Alltag.

Jetzt anmelden.

Wenn Verborgenes für Unbefugte sichtbar wird – Vorsicht bei der Weitergabe von Excel-Dateien

Fri, 23 Jul 2021 12:14:49 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Was Excel bietet

Es dürfte wenige Office-Anwendungen geben, bei denen sich die Geister scheiden wie an Excel. Die Arbeit mit dem Kalkulationsprogramm liegt nicht jedem – ist aber bei richtiger Anwendung sehr effizient. Die einen lieben Excel, erstellen Sheets mit 30 und mehr Spalten sowie Hunderten von Zeilen und finden darin auf Anhieb alle Daten, die sie jemals eingetragen haben. Die anderen fühlen sich schon überfordert, wenn sie mehr als drei Spalten mit Daten nebeneinander haben, und verlieren leicht den Überblick.

Unbestritten kann man mit Excel wahre Wunderdinge tun. Komplexe Zusammenhänge lassen sich durch strukturierte Darstellung von Zahlenwerten und Berechnungen anschaulich und plausibel machen. Außerdem kann man die Zahlen selektiv in Grafiken bildlich darstellen. Wer möchte, kann auch die Werte in einer anderen App aus dem Microsoft-365-Universum, etwa Power BI, noch schöner darstellen. Daher wird Excel, auch wenn viele es als schwierig wahrnehmen, gerne für die einfache Darstellung komplexer Zusammenhänge verwendet.

Ausgeblendete Daten in Excel

Wenn man will, kann man in Excel einzelne Spalten und Zeilen ausblenden, wenn diese zwar für die Berechnung, nicht aber für das Verständnis des Ergebnisses wichtig sind. Dann hat man einen Kompromiss erzielt aus der komplexen Analyse einerseits und der übersichtlichen Darstellung andererseits. Der Haken an der Sache: Ausgeblendet bedeutet für viele aus den Augen, aus dem Sinn . Und eben hier liegt das Risiko. Gibt man eine solche Excel-Datei nämlich intern oder an jemanden außerhalb der Organisation weiter, können die Empfänger die nicht sichtbaren Spalten aufklappen und so die hinterlegten Daten sehen. Diese Daten sind möglicherweise Grundlage für die Berechnungen oder die vereinfachte Darstellung und wurden der Übersichtlichkeit wegen ausgeblendet – und sie enthalten möglicherweise vertrauliche oder personenbezogene Daten, die eigentlich nicht für Dritte bestimmt sind. Werden sie weitergegeben, liegt ein Verstoß gegen Informationssicherheit und Datenschutz vor. Und Letzterer kann bei der Datenschutz-Aufsichtsbehörde meldepflichtig sein.

Um das an einem Beispiel darzulegen: Gehen wir einmal davon aus, es soll für eine Betriebsversammlung eine Übersicht über den Rückgang der Krankheitstage erstellt werden. Der Chef möchte die Kolleginnen und Kollegen loben, dass die Angebote des Unternehmens zum Gesundheitsmanagement verstärkt genutzt wurden und dadurch weniger Krankheitstage zu verzeichnen waren. Für die Präsentation wurde eine Liste aller beschäftigten Personen erstellt, wobei die Spalte mit den jeweiligen einzelnen Krankheitstagen ausgeblendet wurde und nur das Ergebnis aller beschäftigten Personen insgesamt als Zahl zu sehen ist. Wer die ausgeblendeten Daten allerdings aufklappt und sichtbar macht, kann im Detail erkennen, wie viele Krankheitstage bei den einzelnen Beschäftigten zu verzeichnen waren – sieht also plötzlich Gesundheitsdaten. Und das ist im Sinne des Datenschutzes ebenso wie der Informationssicherheit eine unbefugte Weitergabe geschützter Daten.

Was passiert, wenn man vertrauliche Dateien in Excel weitergibt?

Wo ist das Risiko? Wenn Excel-Dateien mit verborgenen Spalten oder Zeilen an Dritte übermittelt werden, gibt es drei grundsätzliche Risiken. Da ist zum einen das Risiko, dass die verborgenen Spalten oder Zeilen personenbezogene Daten enthalten, die den unbefugten Empfänger der Datei nichts angehen. Hier liegt eine datenschutzrechtliche Schutzverletzung vor. Das zählt als unbefugte Offenlegung und als unbefugter Zugang zu personenbezogenen Daten.

Dazu besteht das Risiko, dass in den verborgenen Spalten oder Zeilen andere vertrauliche Informationen enthalten sind, die nicht in die Hände Dritter gelangen dürfen. Man stelle sich hier eine Datei vor, die alle Kunden sichtbar auflistet sowie in einer verborgenen Spalte die unterschiedlichen Rabatte, die die einzelnen Kunden erhalten haben. Ziel ist es, den Umsatz bei insgesamt gegebenen Rabatten darzustellen. Wenn nun diese Datei an Kunden weitergegeben würde und diese die verborgene Spalte öffnen, kann man sich die folgenden Diskussionen lebhaft vorstellen – ebenso wie den drohenden Kundenverlust.

Ein drittes Risiko ergibt sich, wenn etwa im Rahmen der Auftragsverarbeitung Leistungszeiten in einer Excel-Datei festgehalten sind, zu deren Berechnung eine verborgene Spalte vertrauliche Daten bereithält. Beinhaltet der Vertrag über Auftragsverarbeitung eine Konventionalstrafe für den Fall, dass die geschützten Daten in unbefugte Hände gelangen, wäre diese in dem Moment fällig, da diese Datei an Unbefugte weitergeleitet wird.

Datenschutz-Meldepflicht nach Weitergabe einer Excel-Datei

Werden personenbezogene Daten unbefugt an Dritte übermittelt und es kann nicht ausgeschlossen werden, dass dadurch ein Risiko für die Rechte und Freiheiten betroffener Personen entsteht, ist nach Artikel 33 der Datenschutz-Grundverordnung binnen 72 Stunden eine Meldung an die zuständige Aufsichtsbehörde fällig. Werden verborgene Excel-Spalten oder Zeilen ungeschützt übermittelt, kann das aus Sicht des Datenschutzes also weitreichende Folgen haben.

Um einer möglicherweise bestehenden Meldepflicht nachkommen zu können, muss der Verstoß zunächst bemerkt werden. Das bedeutet, dass alle Excel-Nutzer diese Gefährdung kennen und auch darüber Bescheid wissen sollten, dass sie im Fall einer unüberlegten Weiterleitung diesen Vorfall intern auf dem üblichen Meldeweg weitergeben. Dann kann geprüft werden, ob eine Meldung an die Aufsichtsbehörde für den Datenschutz erforderlich ist. Falls sie erforderlich ist, muss die Meldung binnen 72 Stunden erfolgen. Sollte in diesem Zeitraum nicht abschließend geklärt werden können, dass die Meldung unnötig ist, muss zunächst eine vorsorgliche Meldung innerhalb der vorgegebenen 72 Stunden erfolgen. Natürlich sollte entsprechend ebenso die Gefährdung an sich Gegenstand in Datenschutzunterweisungen sein, zumindest bei all jenen Beschäftigten, die Excel nutzen.

Tipps, um die Weitergabe von vertraulichen Daten mit Excel zu verhindern

Prüfen, ob die hier geschilderte Gefährdung im Unternehmen oder Betrieb überhaupt besteht. Wenn ja: Eintrittswahrscheinlichkeit und mögliche Schadenshöhe bewerten.
Sicherstellen, dass die Verantwortlichen für die Prozesse mit entsprechenden Excel-Dateien in den Prüfprozess eingebunden werden.
Prüfen, ob Excel-Dateien im Excel-Format übermittelt werden müssen oder ob eine Übersendung als PDF genügt. Im zweiten Fall sicherstellen, dass der Versand von Excel-Dateien in einem Format erfolgt, das die verborgenen Spalten und Zeilen nicht mehr sichtbar machen kann.
Auch bei der internen Weiterleitung prüfen, ob verborgene Spalten und Zeilen sichtbar gemacht werden dürfen. Wenn nicht, auch hier sicherstellen, dass eine Weiterleitung auch intern nur über ein anderes unkritisches Format erfolgen darf.
Sicherstellen, dass dies auch für ältere Dateien geprüft wird – beispielsweise, dass in keinem Fall mehr Dateien im Format Excel 2003 im Einsatz sind.
Alle Nutzer von Excel dahingehend sensibilisieren, dass verborgene Spalten und Zeilen bei unüberlegter Weiterleitung sichtbar gemacht werden können.

Und die Kernfrage: Kann ausgeschlossen werden, dass Excel-Dateien mit verborgenen Spalten oder Zeilen versendet werden, ohne dass geprüft wurde, ob hier personenbezogene Daten oder anderweitig schützenswerte Informationen enthalten sind?

Wir wünschen erfolgreiche Arbeit mit Excel!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Datentransfer national und international – haben Sie den Überblick?

Sat, 17 Jul 2021 06:56:27 GMT

Der kleine feine Datentipp

Lesezeit: ca. 7 Minuten

Neue Standardvertragsklauseln ab 2022

Am 7. Juni 2021 wurden im Amtsblatt der EU die neuen Regelungen der Standardvertragsklauseln (Standard Contractual Clauses, kurz SCC) für Verträge zwischen Datenexporteuren in einem EU-Land und Datenimporteuren weltweit veröffentlicht. 20 Tage später, also am 27. Juni 2021, traten sie in Kraft. 18 Monate danach, also ab dem 27.12.2022, dürfen die alten Standardvertragsklauseln nicht mehr verwendet werden. Wer es dennoch tut, riskiert Geldbußen in den bekannten Summen der Datenschutz-Grundverordnung – bis zu 10 bzw. 20 Millionen Euro oder 2 bzw. 4 Prozent des weltweiten Vorjahresumsatzes der gesamten Unternehmensgruppe. Das Thema darf also nicht ausgesessen werden. Packen wir’s an und verschaffen uns erst mal einen Überblick.

Die EU und sichere Drittländer

Es gibt mehrere Kategorien von Ländern, in denen Datentransfer erfolgt. Die erste sind die EU-Mitgliedsländer, derzeit 27 an der Zahl. In allen diesen Ländern gilt die DSGVO. Diese Regeln sind bekannt oder sollten bekannt sein, Stichwort Auftragsverarbeitung. Dann gibt es den EWR, den Europäischen Wirtschaftsraum, wozu Norwegen, Island und Liechtenstein zählen. Diese Länder haben Gesetze eingerichtet, um den Maßgaben der DSGVO zu entsprechen. Damit ist der Datentransfer dorthin wie innerhalb der EU möglich.

Daneben gibt es „sichere Drittländer“. Das sind Länder, für die die EU-Kommission ein der EU vergleichbares Datenschutzniveau festgestellt hat. Dazu existiert jeweils ein so genannter Angemessenheitsbeschluss. Zuletzt wurde dieser für das Vereinigte Königreich (UK) Ende Juni 2021 in Kraft gesetzt. Allerdings ist dieser Angemessenheitsbeschluss nur begrenzt für vier Jahre gültig, bevor die EU-Kommission erneut prüfen wird, ob die Voraussetzungen für einen angemessenen Datenschutz noch bestehen.

Wie sollten Unternehmen mit internationalem Datentransfer vorgehen?

Die erste Frage für Unternehmen sollte lauten, welchen Anteil des Datentransfers international erfolgt, also der jenseits der EU, des EWR und sicherer Drittstaaten. Schätzen ist hier nur bedingt geeignet. Die Erfahrung zeigt jedoch, dass in einem Unternehmen mit ca. 100 beschäftigten Personen etwa 150 Anwendungen im Einsatz sind, begonnen bei der Office-Software über Serveranwendungen und Informationstechnik in der Produktion bis hin zu Apps auf Smartphones. Die genauen Gegebenheiten unterscheiden sich je nach Unternehmen, doch in vielen Fällen beschränken sich davon etwa 20 Prozent auf die Datenweitergabe in der EU, bei den übrigen 80 Prozent übermittelt das Unternehmen Daten in „unsichere“ Drittländer – also etwa 120 Anwendungen.

Regeln der Datenübermittlung

Datenübermittlung ist an das Einhalten von Regeln geknüpft. Diese Regeln sind wesentlich in den Grundsätzen der Datenverarbeitung nach Artikel 5 und Artikel 32 der DSGVO geregelt, Stichworte Grundsätze der Datenverarbeitung und technische und organisatorische Maßnahmen. Insbesondere bei Datentransfer in unsichere Drittländer hat der EuGH (Europäische Gerichtshof) in seinem viel beachteten Urteil Schrems II im Juli 2020 deutliche Regelungen angemahnt. Diese sind im Wesentlichen Rechtsstaatlichkeit im Herkunftsland des Datenimporteurs, Kenntnis von Zugriffen auf die Daten, beispielsweise durch Ermittlungsbehörden, die der Datenimporteur aufgrund der Gesetzeslage dulden muss, und, wenn erlaubt, Weitergabe dieser Information an den Datenexporteur sowie die betroffenen Personen. Außerdem müssen sich betroffene Personen gerichtlich verteidigen können, der Gerichtsstand muss also innerhalb der EU liegen.

Die neuen Standard Contractual Clauses (SCC)

Die genannten Mindestanforderungen sind in den neuen Standardvertragsklauseln gelöst. Für Betroffene besteht zwar keine Rechtssicherheit dahingehend, dass ein möglicher staatlicher Zugriff auf ihre Personendaten ausgeschlossen werden könnte – das wird kein Datenimporteur der Welt sicherstellen können. Aber die SCC stellen klar, welche Rechte und Pflichten die Vertragspartner haben. Klar ist damit auch, dass sich bei korrekter Anwendung das Risiko von Geldbußen minimiert. Wie der EuGH das sieht, lässt sich derzeit noch nicht beurteilen. Klagen sind bisher nicht bekannt, also wird sich das vorerst auch nicht ändern.

Datentransfer sicher regeln

Aus Unternehmenssicht am dringlichsten ist also, erst einmal einen vollständigen und aktuellen Überblick über die Datentransfers national und international zu erstellen. Dieser Überblick bildet die Grundlage für eine Überprüfung, welche Datentransfers innerhalb der EU, des EWR und sicheren Drittländern sowie unsicheren Drittländern stattfinden und nach welchen Regelungen. Sodann muss eine inhaltliche Prüfung erfolgen, auf welchem Stand die jeweiligen Regelungen sind. Also konkret, ob noch die alten SCCs die Grundlage sind, ob ein Upgrade auf die neuen SCCs geplant ist und wann, oder ob andere Regelungen verwendet werden und wenn ja, welche das sind.

Außerdem ist zu klären, bei welchen Datenempfängern die Chance besteht, die SCC als neue Vertragsgrundlage durchzusetzen. Werden eigene Vertragswerke gestaltet, gilt es, sie in allen Details zu prüfen. Sollten Regelungen enthalten sein, die nicht den EU-Kommissionsvorschlägen entsprechen, gilt es, das Risiko für die Rechte und Freiheiten betroffener Personen zu ermitteln. Falls hier ein hohes Risiko besteht, muss eine Datenschutzfolgenabschätzung vorgenommen werden mit konkreten Vorschlägen, das Risiko zu verringern. Bleiben selbst dann hohe Risiken, ist die zuständige Aufsichtsbehörde hinzuzuziehen. Diese muss dann reagieren.

Es gibt also jede Menge zu tun. Vor diesem Hintergrund sind 18 Monate mit einem Mal doch nicht so lang, oder?

Nationale und internationale Datenübermittlung – das ist zu tun

Klären, dass der Begriff „Datenübermittlung“, besser „Datentansfer“, klar ist, sprich: was er genau bedeutet und welche Maßnahmen daraus folgen (mehr dazu in einem der nächsten Datentipps!)
Sicherstellen, dass eine Übersicht über alle vorgenommenen Datentransfers aktuell und vollständig vorliegt. Wirklich über alle.
Prüfen, auf welcher Rechtsgrundlage diese Datentransfers bisher erfolgen.
Dabei beachten, dass bei Datentransfers innerhalb der EU, der Länder des EWR und in sicheren Drittländern ein geprüfter Vertrag über Auftragsverarbeitung oder eine andere nationale Rechtsgrundlage vorliegt.
Wo Verträge nicht vorliegen oder nicht aktuell und vollständig sind, sind diese zu erstellen bzw. nachzubessern.
Bei Datentransfers in unsichere Drittländer, insbesondere in die USA, ist zu klären, ob SCC im Einsatz sind und wenn ja, ob sie veraltet sind, wenn nein, ob die Einführung der neuen SCC zu erwarten ist.
Eine Trennung vornehmen, welche Datenimporteure von sich aus zentrale Verträge einsetzen und wo der Verantwortliche von sich aus aktiv werden muss. Ist es unklar, muss es mit den Datenempfängern abgeklärt werden.
Erst wenn all diese Informationen vorliegen, ist es sinnvoll, die Vorgaben der SCC näher zu betrachten und die Voraussetzungen für die Anwendbarkeit prüfen. Weitere Datentipps folgen!

Und die Kernfrage: Liegt ein vollständiger und aktueller Überblick aller Datentransfers und der Anforderungen der neuen SCC als Vorbereitung auf ihre korrekte Anwendbarkeit vor?

Wir wünschen viel Erfolg beim Managen Ihrer Datentransfers!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Wie Notizen und Kommentare in PowerPoint Vertrauliches verraten

Thu, 08 Jul 2021 10:52:20 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Vertrauliches in PowerPoint

Für die Erstellung und das Vorführen von Präsentationen ist Microsoft PowerPoint das mit Abstand am häufigsten genutzte Programm. Was viele jedoch nicht wissen: Bei der Weitergabe einer Präsentation werden Daten übermittelt, die nicht immer direkt sichtbar sind oder bei denen man nicht daran denkt, dass möglicherweise Informationen oder personenbezogene Daten enthalten sind, die die Empfänger eigentlich nichts angehen.

Nicht selten sind an der Erstellung einer Präsentation mehrere Personen oder Geschäftsbereiche beteiligt. Das ist besonders häufig der Fall, wenn grundsätzliche Präsentationen von der Leitungsebene eines Unternehmens oder einer Institution vorgeführt werden sollen. Dann werden besonders gerne zwei bequeme Funktionen von PowerPoint genutzt, die solche Abläufe unterstützen.

Dies sind zum einen Kommentare, die von jenen angebracht werden, die die Präsentation prüfen sollen und hierzu Anmerkungen einfließen lassen. Zum anderen lassen sich zu Folien Notizen einpflegen, die für die präsentierende Person sichtbar sind und als Hilfe für einen flüssigen Vortrag dienen sollen.

Wenn die vorgeführte Präsentation versendet wird, müssen sich die Beteiligten darüber im Klaren sein, dass sowohl die Kommentare als auch die Notizen in der Präsentation mit übermittelt werden und damit für unbefugte Personen sichtbar gemacht werden können. Daher gilt es, vor dem Versand zu prüfen, ob in Kommentaren oder Notizen eventuell personenbezogene oder geschützte Informationen enthalten sind, die nicht nach außen gelangen dürfen oder sogar intern geschützt sind.

Was Kommentare und Notizen in PowerPoint verraten

Anhand von Kommentaren können Dritte beispielsweise erkennen, wer alles am Thema der Präsentation mitgearbeitet hat. Das kann für Externe unter anderem interessant sein, da dabei die Struktur von zusammenarbeitenden Geschäftsbereichen erkennbar werden kann. So könnten beispielsweise Grundlagen für Abwerbungen entstehen. Es könnten aber auch kritische Anmerkungen darunter sein, die auf problematische Informationen hinweisen, die ebenfalls nicht für Dritte gedacht sind.

Bei Notizen können ebenfalls zusätzliche Informationen enthalten sein, die zwar für die Präsentatoren Erläuterungen bieten, damit diese Sachverhalte flüssig und interessant darstellen können, die aber grundsätzlich auf Interna oder auf beteiligte Personen verweisen. Auch hier muss vor dem Versand der Datei geprüft werden, ob diese Informationen überhaupt nach außen weitergeleitet werden dürfen.

Personenbezogene Daten, Know-how, Konventionalstrafen und mehr

Wo liegt das Risiko? Wenn aufgrund von versendeten PowerPoint-Präsentationen Notizen oder Kommentare mit versendet werden, bei denen personenbezogene oder anderweitig geschützte Informationen übermittelt werden, liegen Verletzungen des Datenschutzes oder der Informationssicherheit vor. Außerdem können sowohl in Notizen als auch in Kommentaren Geschäftsgeheimnisse enthalten sein oder Formulierungen auf solche schließen lassen.

Ein Risiko liegt also darin, dass in Notizen als Unterstützung für die vortragende Person Hinweise auf Namen, geschützte Daten, Tatbestände oder Geschäftsgeheimnisse vorliegen können. Ein zweites Risiko besteht darin, dass in Kommentaren interne Informationen zu Personen, anderen geschützten Daten und möglicherweise zu Geschäftsgeheimnissen enthalten sind. Gerade in Kommentaren weist der Verfasser manchmal explizit darauf hin, dass bestimmte Informationen nicht weitergegeben werden dürfen. Wenn diese dann doch weitergegeben werden, ist das mindestens peinlich.

Ein drittes Risiko entsteht, wenn Daten im Rahmen einer Auftragsverarbeitung als Auftragsverarbeiter zwar intern behandelt und besprochen werden müssen, aber nicht an Dritte weitergegeben werden dürfen. Ist hier im Falle eines Verstoßes eine Konventionalstrafe vereinbart, besteht das finanzielle Risiko dieser Strafe ebenso wie das eines möglichen Auftragsverlusts.

Weitere Risiken können entstehen, wenn Warnhinweise auf interne Abläufe Bezug nehmen, deren Bekanntwerden zu Imageverlusten führen kann. Die Aufzählung der Risiken ist nicht abschließend, weitere können jederzeit entstehen.

Datenschutz-Meldepflicht durch Weitergabe einer PowerPoint-Präsentation

Werden personenbezogene Daten unbefugt an Dritte übermittelt und es lässt sich nicht ausschließen, dass dadurch ein Risiko für die Rechte und Freiheiten betroffener Personen entsteht, ist nach Artikel 33 DSGVO binnen 72 Stunden eine Meldung an die zuständige Aufsichtsbehörde fällig. Werden also Notizen oder Kommentare aus PowerPoint-Präsentationen übermittelt und können von unbefugten Empfängern eingesehen werden, berührt das den Datenschutz.

Damit eine möglicherweise erforderliche Meldung auch tatsächlich erfolgen kann, muss die Gefährdung den Nutzern von PowerPoint überhaupt bewusst sein. Das bedeutet, dass alle PowerPoint-Nutzer diese Gefährdung kennen und auch darüber Bescheid wissen, dass sie im Fall einer unüberlegten Weiterleitung diesen Vorfall intern auf dem üblichen Meldeweg weitergeben. So kann geprüft werden, ob eine Meldung an die Datenschutz-Aufsichtsbehörde erforderlich ist oder nicht. Falls ja, muss sie binnen 72 Stunden erfolgen. Sollte nicht abschließend geklärt werden können, dass die Meldung unnötig ist, sollte innerhalb der vorgegebenen 72 Stunden eine vorsorgliche Meldung erfolgen. Die Gefährdung an sich sollte Gegenstand von Datenschutzunterweisungen sein, zumindest bei jenen, die PowerPoint nutzen.

Eine Möglichkeit zur „Entschärfung“ von Office-Dateien besteht grundsätzlich darin, sie zu einer PDF-Datei umzuwandeln und als solche zu versenden. Diese Möglichkeit hilft allerdings nur, wenn Kommentare nicht sichtbar sind. Für die Unterdrückung von Notizen ist dies nicht geeignet.

Tipps, um Datenpannen mit PowerPoint zu verhindern

Prüfen, ob die hier geschilderte Gefährdung im Unternehmen oder Betrieb ein Risiko ist. Wenn ja: Eintrittswahrscheinlichkeit und mögliche Schadenshöhe bewerten . Mit dem Geschäftsbereich Risikomanagement (soweit vorhanden) absprechen.
Sicherstellen, dass die Verantwortlichen für die Prozesse mit entsprechenden PowerPoint-Dateien in den Prüfprozess eingebunden werden.
Soweit erforderlich und möglich: sicherstellen, dass vor dem Versand von PowerPoint-Dateien geprüft wird, ob verfängliche Inhalte von Notizen oder Kommentaren verlässlich entfernt wurden oder gar nicht erst vorhanden sind.
Auch für interne Weiterleitungen prüfen, ob heikle Inhalte aus Kommentaren und Notizen entfernt wurden oder gar nicht erst vorhanden sind.
Sicherstellen, dass ältere Dateien geprüft werden – beispielsweise, dass in keinem Fall mehr Dateien im Format PowerPoint 2003 oder älter im Einsatz sind. Der Grund: Hier können Makros eingespielt sein oder werden, die ihrerseits Gefährdungen für Datenschutz und Informationssicherheit mit sich bringen.
Soweit erforderlich alle Nutzer von PowerPoint hinsichtlich der Gefährdung sensibilisieren , dass Notizen und Kommentare mit vertraulichen Inhalten Bestandteil der Präsentation sein und unerlaubt weitergereicht werden können.
Am besten ist es, den Versand von PowerPoint-Präsentationen ausschließlich über eine zentrale Stelle zuzulassen, die vor dem Versand systematisch prüft, ob in Notizen und Kommentaren vertrauliche oder geschützte Inhalte enthalten sind.

Und die Kernfrage: Werden PowerPoint-Präsentationen vor dem Versand intern oder an Dritte zuverlässig auf Notizen oder Kommentare mit personenbezogenen oder anderweitig schützenswerten Daten geprüft und diese vor dem Senden entfernt?

Wir wünschen erfolgreiche Arbeit mit PowerPoint!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Quarantäne für rückkehrende Geräte aus dem Homeoffice schützt vor Infektionen

Fri, 02 Jul 2021 15:52:27 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Wenn Geräte aus dem Homeoffice zurückkehren

Arbeiten im Homeoffice findet unter anderen Umständen statt als das Arbeiten im Unternehmen. Jetzt nach Ende der ersten Pflicht zum Arbeiten im Homeoffice kehren einige beschäftigte Personen wieder an den Betriebsstätten-Arbeitsplatz zurück. Und sie bringen die Geräte wieder mit, die ihnen der Arbeitgeber mit zum Arbeiten in die Wohnung gegeben hat.
Umfragen haben ergeben, dass mehr als die Hälfte der beschäftigten Personen, die erstmals im Home-Office gearbeitet haben, dort private Geräte zum Arbeiten genutzt haben, zumindest teilweise. Das reicht vom privaten Notebook über persönliche Speichermedien bis hin zur Nutzung des heimischen Routers.

Informationssicherheit und Datenschutz waren zu Beginn der Pflicht für das Arbeiten im Homeoffice zunächst zweitrangig. Allerdings nicht für die Angreifer, die sich sehr schnell auf die neue Situation eingestellt hatten. Durch den Mix von privaten und betrieblichen informationstechnischen Systemen waren viele Sicherheitsanforderungen in den Hintergrund gerückt. Dazu haben frühere Studien des Bundeskriminalamts gezeigt, dass bis zu 60 Prozent privater Geräte entweder schon infiziert waren oder Hintertüren installiert hatten, mit denen eine baldige Infektion erfolgen konnte. Goldene Zeiten für Hacker.

Es ist also davon auszugehen, dass in den vergangenen 16 Monaten, in denen viel im Home-Office gearbeitet wurde, auch viele Geräte entweder zum ersten Mal oder erneut mit Schadsoftware infiziert wurden. Ob das die beteiligten Personen gemerkt haben, sei einmal dahingestellt. Wichtig ist, dass bei der Rückkehr an den Betriebsstätten-Arbeitsplatz die Geräte, die mit ihm Homeoffice waren, überprüft werden, ob sie noch „sauber“ sind.

Sicherheits-Check für Homeoffice-Rückkehrer

Werden Geräte von rückkehrenden Beschäftigten einfach so in die betrieblichen Systeme aufgenommen, ist die Wahrscheinlichkeit hoch, dass sich etwaige Infektionen auch im Betrieb ausbreiten. Hier sollten Betriebe sicherstellen, Systeme einem Sicherheits-Check zu unterziehen. Erst dann sollten sie wieder in die betrieblichen Netzwerke integriert werden. Ganz nach dem Vorbild der Quarantäne für heimkehrende Urlauber sollten auch zurückkehrende informationstechnische Systeme zumindest bis zum Abchecken ihrer Sicherheit in Quarantäne.

Infizierte Homeoffice-Geräte und Datenschutz

Kommt es aufgrund von Infektionen zu einem unbefugten Datenzugriff, liegt eine Schutzverletzung vor, die in den meisten Fällen bei den Aufsichtsbehörden für den Datenschutz meldepflichtig ist. Werden also vorhandene Infektionen auf zurückkehrenden Geräten nicht erkannt, kann man, wenn man von der Zahl von 60 Prozent privaten infizierten Geräten ausgeht, auch davon ausgehen, dass viele dieser Infektionen zumindest versuchen werden, sich auch im Unternehmen breitzumachen.
Damit ist der Datenschutzvorfall quasi programmiert. Eine zumindest vorübergehende Quarantäne für Geräte, die aus dem Home-Office zurückkehren, ist daher sicherlich von Vorteil.

Tipps, wie Sie Geräte aus dem Homeoffice sicher handhaben

Sicherstellen, dass zurückkehrende Geräte aus dem Home-Office vor einer erneuten Inbetriebnahme am Betriebsstätten-Arbeitsplatz auf Sicherheit getestet werden.
Sicherstellen, dass zurückkehrende Geräte aus dem Home-Office, die nicht sofort einer Quarantäne unterzogen werden können, durch Firewalls so gut und so lange abgetrennt sind, dass sie andere informationstechnische Systeme bis dahin nicht oder nur sehr erschwert infizieren können.
Sicherstellen, dass für künftige Einsätze im Homeoffice ausschließlich Geräte des Verantwortlichen verwendet werden.
Um auf Router in der Wohnung beschäftigter Personen bei künftigen Homeoffice-Einsätzen verzichten zu können, sollte überlegt werden, ob beschäftigte Personen, bei denen das noch nicht der Fall ist, künftig ein betriebliches Smartphone mit einem bestimmten Datenvolumen erhalten können, das den Datenbedarf aus der täglichen Arbeit abdeckt.
Für künftige Home-Office-Einsätze ist sicherzustellen, dass beschäftigte Personen besser auf die Risiken vorbereitet sind, mit denen sie bei zumindest teilweiser Nutzung privater Geräte in der Wohnung konfrontiert sind.

Und die Kernfrage: Kann das Unternehmen für alle Geräte, die aus dem Home-Office zurück an den betrieblichen Arbeitsplatz kommen, ausschließen, dass Infektionen mit in die betrieblichen Netzwerke eingeschmuggelt werden?

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Praxistipp: Metadaten in Excel-Dokumenten – was Unternehmen wissen sollten

183:832032422 (Eberhard Häcker) — Wed, 30 Jun 2021 12:27:05 GMT

Praxistipp Datenschutz 07|2021

Office-Dokumente wie Word, Excel und Power Point enthalten keineswegs nur die darin verarbeiteten Informationen. Sie bergen Daten, die nicht zum Inhalt eines Dokuments gehören, aber Informationen darüber bereithalten. Gemeint sind Metadaten. Das Heikle daran: Sie können Auswirkungen auf Datenschutz und Informationssicherheit haben. Metadaten reichen vom Namen des Dokumentautors über den letzten Bearbeiter bis hin zu Mail-Verteilern und Druckeigenschaften wie Druckerpfad und sicheres Druckerkennwort. Metadaten umfassen also Schützenswertes. Nicht alle Nutzer wissen das. Und so gelangen diese Informationen leicht an Unbefugte.

Sicherer Umgang mit Metadaten

Es gibt eine ganze Reihe Metadaten, die häufig unbewusst weitergegeben werden. Wer sie kennt, kann verhindern, dass sie in falsche Hände geraten. Wissen sollte man zudem, was man vor Versand oder Weitergabe von Excel-Arbeitsmappen tun sollte, damit diese Daten nicht mit auf die Reise gehen.

Welche Metadaten sich in Excel verstecken

In Excel-Dokumenten werden viele Elemente gespeichert und weitergegeben, selbst wenn man meint, die Information sei für Dritte unsichtbar. Microsoft beschreibt Metadaten, die übermittelt werden oder übermittelt werden könnten, im April 2021 wie folgt (teilweise mit Ergänzungen von mir):

Zu den Metadaten oder Dokumenteigenschaften in Excel und anderen Office-Apps gehören Informationen wie Autor, Betreff und Titel .
Die Arbeitsmappe kann vertrauliche Elemente wie Kommentare oder Freihandanmerkungen enthalten.
Arbeitsmappen können Informationen in Kopf- und Fußzeilen bergen.
Arbeitsmappen können Zeilen, Spalten und ganze Arbeitsblätter aufweisen, die ausgeblendet sind. Nach der Weitergabe können andere Personen diese einblenden und die darin enthaltenen Daten anzeigen.
Dokumentservereigenschaften: Arbeitsmappen können weitere Informationen enthalten, die sich auf den Serverspeicherort beziehen. Für mögliche Angreifer können hier wichtige Hinweise enthalten sein.
Manche Arbeitsmappen weisen benutzerdefinierte XML-Daten auf, die im Dokument selbst nicht sichtbar sind.
Arbeitsmappen können Objekte aufweisen, die als unsichtbar formatiert sind.
Arbeitsmappen können Verknüpfungen zu Daten in anderen Arbeitsmappen ( externe Verknüpfungen ) aufweisen. Wer Zugang im System hat, kann möglicherweise auf diese Daten zugreifen.
Arbeitsmappen können eingebettete Dateien (z. B. ein Office- oder Textdokument) oder eingebettete Objekte (z. B. ein Diagramm oder eine Gleichung) aufweisen, die möglicherweise Daten enthalten, die nicht sichtbar sind.
Arbeitsmappen können Makros, VBA-Module, COM- oder ActiveX-Steuerelemente, Benutzerformulare oder benutzerdefinierte Funktionen (User Defined Functions, UDFs) aufweisen, die möglicherweise ausgeblendete Daten enthalten.
Arbeitsmappen können zwischengespeicherte Daten für PivotTables, PivotCharts, Datenschnitte, Zeitachsen und Cubeformeln aufweisen, die möglicherweise nicht sichtbar sind.
Arbeitsmappen können ausgeblendete Fragen einer Excel-Umfrage enthalten, die in Excel für das Web eingegeben und mit der Arbeitsmappe gespeichert wurden, dort aber nicht sichtbar sind.
Arbeitsmappen können Szenarien aufweisen, die mit dem Szenario-Manager definiert wurden. Diese können zwischengespeicherte oder ausgeblendete Daten enthalten.
Arbeitsmappen können aktive AutoFilter oder Tabellenfilter aufweisen, so dass zwischengespeicherte oder ausgeblendete Daten mit der Arbeitsmappe gespeichert werden.
Arbeitsmappen können ausgeblendete Namen aufweisen, die auf ausgeblendete Daten verweisen.

Daten finden

Diese Datenkategorien können vor der Weitergabe oder Freigabe eines Dokumentes mit der Funktion „Dokumente prüfen“ aufgespürt, auf Vertraulichkeit geprüft und nötigenfalls entfernt werden, dazu gleich mehr. Voraussetzung ist, dass Nutzer entsprechend sensibilisiert sind und klare Anweisungen erhalten haben.

Vorsicht Datenpanne

Wenn zumindest einige oder alle dieser vielfältigen vertraulichen Informationen durch Unachtsamkeit über Excel-Dokumente an Unbefugte weitergeleitet werden, liegt stets eine Schutzverletzung vor. Dabei spielt es keine Rolle, ob diese Daten absichtlich oder aus Unwissenheit weitergegeben werden. Hier liegt konkret das Risiko eines meldepflichtigen Schutzverstoßes vor.

Firmeninterna

Da mit Excel auch Kalkulationen durchgeführt werden, enthalten manche Excel-Dateien Planzahlen, die möglicherweise ausgeblendet wurden, um nicht unbefugt eingesehen zu werden. Sie sind aber im Dokument enthalten und lassen sich anzeigen – auch nach der Weiterleitung. Ein Umstand, der vielen Anwendern nicht bewusst ist.

Compliance und Vertragsbruch

Neben dem Datenschutz kann die Weitergabe einen Verstoß der Compliance bedeuten. Handelt es sich dazu um Daten, die einem Auftraggeber gehören, kann zusätzlich eine Vertragsverletzung vorliegen. In jedem Fall wirkt es mehr als unprofessionell, wenn ein Unternehmen Daten übermittelt und damit Schutzverletzungen in Kauf nimmt.

Metadaten und Meldepflicht

Eine Verletzung des Schutzes personenbezogener Daten führt nach Artikel 33 der Datenschutz-Grundverordnung stets dazu, dass diese Schutzverletzung an die Aufsichtsbehörde für den Datenschutz gemeldet werden muss. Nicht jedem ist bewusst, dass bei einer ungewollten Übermittlung von Metadaten eine solche Schutzverletzung vorliegt, geschweige denn, welche Metadaten überhaupt personenbezogen sind. Eine Meldepflicht entfällt, wenn durch die Übermittlung voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Personen zu erwarten ist. Normalerweise dürfte dieses Risiko bei einer ungewollten Übermittlung von Metadaten eher selten gegeben sein. Dennoch ist es besser, die Belegschaft in Unterweisungen auf die Entstehung von Metadaten hinzuweisen und zu trainieren, wie sie sich vermeiden oder entfernen lassen.

Verantwortung regeln

Dazu ein Tipp: Es sollte für jedes Dokument, zumindest für Dokumente, die extern weitergegeben werden, eine Person verantwortlich sein, die den Versand begleitet oder selbst vornimmt. Das Unternehmen sollte festlegen, dass Verantwortliche für jedes nach außen versendete Excel-Dokument erforderlichenfalls eine Prüfung der Metadaten vornehmen. Anwender müssen wissen, wie sie die Dokumentenprüfung vornehmen und wie sie beim Entfernen von Metadaten ungewollten Datenverlust vermeiden.

Die Dokumentenprüfung in Excel

Die Dokumentenprüfung finden Sie in Excel unter Datei > Informationen . Sie hilft, personenbezogene Daten und ausgeblendete Informationen einer Excel-Arbeitsmappe aufzuspüren. Das ist praktisch, birgt aber Tücken. Denn: Mitunter ist Excel eigenwillig. Nicht alle von der Dokumentenprüfung entfernten Daten lassen sich wiederherstellen. Darum sollten Anwender die Prüfung nicht am Originaldokument vornehmen, sondern vorher unbedingt eine Kopie erstellen.

Tipps für einen erfolgreichen Umgang mit Excel-Metadaten im Unternehmen

Das sollten Unternehmen regeln:

Sicherstellen, dass alle Excel-Anwender wissen, welche Metadaten oder andere zum Dokument gehörenden Informationen vorkommen können
Anwender sensibilisieren, welche Verletzungen von Datenschutz und Informationssicherheit mit einer unbefugten oder unberechtigten Weitergabe dieser Informationen in der Excel-Datei ausgelöst werden können
Festlegen, wer beim Versand von Excel-Dokumenten intern und extern die Verantwortung trägt , dass Metadaten oder andere zum Dokument gehörige Informationen oder bestehende Risiken nicht unbefugt oder unberechtigt weitergegeben werden
Sicherstellen, dass alle Anwender von Excel wissen, 1.) wie sie die Dokumentenprüfung aufrufen können, 2.) welche Dateisicherungen beim Entfernen von einzelnen Informationen erforderlich sind und 3.) wie sie vertrauliche Informationen entfernen
Generelle Richtlinien für den Versand von Office-Dokumenten erarbeiten, die über das Thema Metadaten hinaus Hinweise zur Weitergabe von Excel-Dokumenten beinhalten
Sicherstellen, dass zumindest nach Funktions-Updates zentral geprüft wird , ob sich hinsichtlich der Metadaten etwas geändert hat. Wenn nötig, die Richtlinien entsprechend anpassen
Den Beschäftigten in einem Training aufzeigen , welche Metadaten in Excel wie abgerufen werden können und wie deren Übermittlung verhindert werden kann.

Fazit

Werden Excel-Arbeitsmappen an Externe weitergeleitet, kommt der Betrieb kaum umhin, sich mit Metadaten auseinanderzusetzen. Gut informierte Beschäftigte können der ungewollten Weitergabe von Vertraulichem gezielt entgegenwirken – dafür allerdings muss man sie ausreichend schulen und sensibilisieren. Gelungene Arbeit mit Excel!

Lösungen zum DSGVO-gerechten und alltagsnahen Umgang mit Office-Programmen? Fragen Sie uns.
Webinare, persönliche Beratung, passgenaue Umsetzung. Mit Team Datenschutz sind Sie in Sachen Datenschutz und Informationssicherheit einen Schritt voraus.

Hier gibts den Praxistipp als kostenlosen PDF-Download.

Hat Ihnen der Praxistipp gefallen? Empfehlen Sie ihn weiter!

Der Autor

Aufbewahrungsfrist von Personalakten und Löschen nach DSGVO

Tue, 15 Jun 2021 14:13:17 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Aufbewahrungsfristen von Personalakten

Eigentlich scheint es paradox. Da ist man immer bemüht, Daten zu sichern und zu verhindern, dass sie verloren gehen. Und dann kommt die DSGVO und fordert, dass Daten dann zu löschen sind, wenn sie nicht mehr gebraucht werden. Also genau das Gegenteil von dem, was man eigentlich immer versucht.

Löschen ist ein sehr komplexer Vorgang. Besser gesagt, es ist nicht nur einer, sondern eine Vielzahl von Löschvorgängen. Im Personalbereich ist Datenvernichtung einigermaßen überschaubar: Dort gibt es Personalakten, zu denen gehören auch die Unterlagen zur Lohn- und Gehaltsabrechnung samt der Verrechnung der Sozialversicherungsbeiträge. Wenn eine beschäftigte Person ausscheidet, ist deren Akte eigentlich nicht mehr erforderlich. Gleichzeitig sind Verantwortliche verpflichtet, für Zwecke der Betriebsprüfung solche Unterlagen vorzuhalten, bei denen eine Auswirkung auf den Wert des Unternehmens unterstellt wird.

Dazu gehören zweifellos die Lohnunterlagen. Diese müssen Sie also so lange aufbewahren, dass Sie sie bei einer möglichen Betriebsprüfung vorlegen können. Und dafür sind ziemlich einheitlich zehn Jahre definiert. Ziemlich einheitlich deshalb, da es nur für Beamte und deren Personalakten eine klare Vorgabe von zehn Jahren Aufbewahrung gibt. Für Beschäftigte ohne Beamtenverhältnis gibt es im BGB nur eine Mindestanforderung von drei Jahren. Die Vorgabe, Unterlagen so lange vorzuhalten, bis eine mögliche Betriebsprüfung erfolgt ist, verlängert die Aufbewahrungsfrist auf zehn Jahre – wieder eine Parallele zum Beamtenrecht.

Zehn Jahre bei Personalunterlagen

Manchmal wird bei einer Betriebsprüfung festgestellt, dass das Finanzamt bestimmte Vorkommnisse genauer überprüfen sollte. In diesem Fall wird ein sogenannter Löschvorbehalt erlassen. Der gilt, bis die Betriebsprüfung für die Lohnunterlagen stattgefunden hat. Wenn die Lohnsteuerprüfung erfolgt ist, können die Unterlagen so gelöscht werden, wie es ohne Lohnsteuerprüfung vorgesehen war.

Manches traditionelle Unternehmen bewahrt die Personalunterlagen aus anderen Gründen länger auf. Früher gab es eine einfache Begründung: Rentenversicherungsunterlagen waren zwar zentral abgespeichert, aber beim Rentenantrag musste man dennoch Unterlagen über die eingezahlten Renten vorlegen. Da konnte es passieren, dass beschäftigte Personen Unterlagen verloren hatten. Arbeitgeber verstanden das als Auftrag an den eigenen Servicegedanken, die Unterlagen länger als die vorgesehenen zehn Jahre nach Ausscheiden aufzubewahren. Mit einer Kopie beim Arbeitgeber konnte man verhindern, Abschläge bei der Rente hinnehmen zu müssen.

In der heutigen Zeit ist das nicht mehr nötig, Rentennachweise werden mittlerweile zentral geführt. Demzufolge gibt es keinen stichhaltigen Grund, Personalunterlagen länger als die vorgesehenen zehn Jahre respektive den Prüfvorbehalt aufzubewahren.

Was passiert, wenn Sie nicht löschen

Was nicht jeder weiß: Findet eine Betriebsprüfung durch das Finanzamt statt und es befinden sich im Unternehmen Unterlagen, die trotz verstrichener Aufbewahrungsfrist noch vorhanden sind, dürfen auch diese Unterlagen zur Prüfung herangezogen werden. Das kann dazu führen, dass Unterlagen, die eigentlich nicht mehr da sein sollten, eine Nachversteuerung verursachen.

Im Datenschutz lauert ein weiteres Risiko. Die DSGVO setzt hohe Geldbußen fest, wenn Persönlichkeitsrechte betroffener Personen missachtet werden – also die Rechte von jenen, deren Daten verarbeitet werden. Eines der Betroffenenrechte ist das Recht auf Löschung. Werden Unterlagen mit personenbezogenen Daten, also beispielsweise Personalakten, nicht rechtzeitig gelöscht, handelt es sich mutmaßlich um einen Datenschutzverstoß. Das kann im Extremfall zu einer Geldbuße von bis zu 20 Millionen Euro oder bis zu vier Prozent des gesamten Konzernumsatzes im Vorjahr führen. Das ist der Höchstsatz, der bisher noch nie verhängt wurde. Wer aber auf Grundlage des Risikomanagements handelt, sollte den Höchstsatz kennen und berücksichtigen.

Ob Personalakten oder sonstige Unterlagen, wer das Löschen nach der Aufbewahrungsfrist versäumt, geht also ein doppeltes Risiko ein: dass Unterlagen zu seinem Nachteil verwendet werden – und dass sie Beanstandungen oder gar eine Geldbuße durch die Datenschutz-Aufsichtsbehörden nach sich ziehen.

Aufbewahren und Löschen nach den Regeln des Datenschutzes

Was den Datenschutz angeht, müssen Verantwortliche beim Löschen verschiedene Vorgaben beachten. Da gibt es die Verpflichtung, die Verfügbarkeit personenbezogener Daten sicherzustellen. Datenschutzbeauftragte müssen also darauf achten, dass Unterlagen tatsächlich so lange bei der Hand sind, wie sie benötigt werden oder gesetzliche Aufbewahrungsfristen es vorgeben. Werden sie nicht mehr benötigt bzw. ist die gesetzliche Aufbewahrungsfrist abgelaufen, müssen Unterlagen zuverlässig gelöscht werden.
Jedes Unternehmen muss demzufolge konzeptionell löschen, heißt: Ein Löschkonzept muss her. Es empfiehlt sich, eine Löschleitlinie auszuarbeiten (also ein generisches Löschkonzept) sowie Löschregeln für die einzelnen Fachbereiche.

Datenschutzbeauftragte müssen im Rahmen ihrer Überwachungsaufgabe Sorge tragen, dass Unterlagen gelöscht werden, wenn ihre Zeit gekommen ist. Das gilt für Personalakten insbesondere, weil damit die Rechte beschäftigter Personen direkt betroffen sind. Und für seine Beschäftigten hat das Unternehmen ja bekanntlich eine Fürsorgepflicht.

Löschkonzept erstellen. Mehr dazu in einem der nächsten Datenschutz-Praxistipps. Nicht verpassen!

Tipps, wie Sie Personalunterlagen richtig aufbewahren und löschen

sicherstellen, dass nur berechtigte Personen auf Personalakten Zugriff haben
klare Vorgaben zur Aufbewahrung und zum Löschen von Personalunterlagen erstellen
sicherstellen, dass Personalunterlagen nach Ablauf der Aufbewahrungsfrist gelöscht werden
Papierunterlagen sachgerecht entsorgen, und zwar mit einem dafür zertifizierten Entsorgungsbetrieb
elektronische Daten im Zusammenhang mit der Personalakte fristgerecht vernichten. Dazu gehören Dokumente in Word wie Zeugnisse ebenso wie Mails im Zusammenhang mit der beschäftigten Person.
Wir empfehlen, eine Löschleitlinie zu erlassen, die die Grundsätze des Löschens betrachtet. Beispielsweise Löschfristen, wann die entsprechenden Aufbewahrungsfristen beginnen, wann sie enden, wie viel Zeit höchstens zwischen dem Ende der Aufbewahrungsfrist und dem tatsächlichen Löschen liegen darf, sowie die Anforderungen, die in dieser Zeit für die Aufbewahrung betroffener Unterlagen zu beachten sind.
die Maßnahmen sorgfältig überwachen. Stellen Sie anhand von Stichproben sicher, dass Löschregeln und Aufbewahrungsfristen eingehalten werden und die Entsorgung fachgerecht erfolgt.

Und die Kernfrage: Haben Sie sichergestellt, dass Personalunterlagen unter Berücksichtigung der Betroffenenrechte und gesetzlicher Aufbewahrungsfristen zum angemessenen Zeitpunkt gelöscht werden?

Wir wünschen viel Erfolg beim Managen der Personalakten!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Datentransfer in die USA. Verschlüsselung macht das Leben leichter

Mon, 07 Jun 2021 12:23:53 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Schrems II und der Datentransfer in die USA

Im Juli 2020 hat der Europäische Gerichtshof ein Urteil gefällt, das international für Aufsehen sorgte: Er entschied, dass Datentransfer in Drittländer wie die USA nur dann rechtmäßig im Sinne der DSGVO ist, wenn durch Garantien oder andere geeignete Maßnahmen sichergestellt ist, dass die personenbezogene Datenverarbeitung denselben Rechtsgrundlagen unterliegt wie innerhalb der EU. Das Urteil wurde bekannt unter dem Namen „Schrems II“.

Anfang Juni 2021 hat die Kommission der Europäischen Union neue Standardvertragsklauseln veröffentlicht. Sie sollen Rechtssicherheit schaffen: Wer sie unverändert übernimmt und anwendet, kann sicher sein, dass die Bedingungen des EuGH erfüllt sind. Allerdings: Diese Standardvertragsklauseln müssen erst mit den US-amerikanischen Anbietern vereinbart werden. Ob das gelingt, ist eine andere Frage.

Ebenfalls Anfang Juni 2021 haben die Aufsichtsbehörden in Deutschland angekündigt, dass sie überprüfen werden, ob sich Verantwortliche beim Datenexport in die USA und in andere Drittländer an die Bedingungen des EuGH-Urteils halten. Zunächst planen sie Stichproben, für später sind Überprüfungen in größerem Umfang angekündigt.

Die USA und Bürger zweiter Klasse

Hintergrund ist die Tatsache, dass für US-Amerikaner die amerikanische Verfassung gilt, deren Grundsätze innerhalb der USA eingehalten werden müssen. Für den Rest der Welt, und damit für EU-Bürger, gelten diese verfassungsmäßigen Grundsätze nicht. EU-Bürger haben damit keine oder nur sehr begrenzte Möglichkeiten, gemäß den Vorgaben der DSGVO ihre Rechte auch in den USA durchzusetzen. Das war der eigentliche Anlass für das Urteil des EuGH.

Was das Schrems-II-Urteil mit sich brachte: Der EuGH erklärte das Privacy-Shield-Abkommen für nichtig. Damit war der bis dahin geltende Angemessenheitsbeschluss zwischen der Kommission der Europäischen Union und der Regierung der USA hinfällig. Eine der wichtigsten Rechtsgrundlagen für den Datentransfer in die USA fiel schlagartig aus.

Das alles zusammen ergibt in rechtlicher Hinsicht eine hochexplosive Mischung. Wer sich jetzt nicht schnell mit den neuen Gegebenheiten vertraut macht und diese umsetzt, muss damit rechnen, dass die Geldbußen der DSGVO im Unternehmensalltag ankommen.

Was gilt beim Datentausch mit US-Unternehmen?

Beim Datenexport in Drittländer müssen vergleichbare Bedingungen herrschen wie innerhalb der Europäischen Union. Nach dem Ausfall des Privacy Shield kann in den USA davon keine Rede sein. Die Alternative, Standardvertragsklauseln der Europäischen Union zu verwenden, war bislang schon darum schwierig, weil die bis dato gültigen Standardvertragsklauseln noch aus der Zeit vor der Rechtskraft der DSGVO stammen. Sie waren also per se in keinem Fall korrekt anzuwenden.

Datenübermittlung in Drittländer

Globaler Datentransfer - jetzt handeln, Geldbuße vermeiden.

Das Webinar. Jetzt anmelden.

Software aus den USA

Es gibt nach wie vor eine ganze Menge Software, die in dieser Qualität nur in den USA produziert wird. Vergleichbare Produkte in anderen Ländern, erst recht in Europa, sind oft nicht in Sicht. Wer also sein Geschäft professionell führen möchte, sieht sich häufig auf Software von US-Anbietern angewiesen, etwa von Microsoft oder Apple. Und wer im Internet Geschäfte machen möchte, wird sich ohne die Nutzung von Google schwertun.

Unternehmen müssen sich also vielfach mit dem Datentransfer in die USA auseinandersetzen. Wer weitere Maßnahmen und etwa die Anpassung der Vertragsklauseln für die Datenübermittlung versäumt, riskiert permanent ein Verfahren der EU-Aufsichtsbehörden, das mutmaßlich mit einer Geldbuße enden wird. Die Alternative, mit den Anbietern jetzt die neuen Standardvertragsklauseln der EU-Kommission abzuschließen, hängt davon ab, ob die US-amerikanischen Anbieter zustimmen. Allerdings sollte sich ein kleines Unternehmen in der EU keine allzu großen Hoffnungen machen, einen Weltkonzern wie Google oder Microsoft vorzuschreiben, welche Vertragsklauseln er zu verwenden hat. Dieser Weg ist also nur bedingt erfolgversprechend.

Drittlandtransfer verschlüsselter Daten

Die gute Nachricht ist, es gibt eine alternative Lösung, die bislang oft noch wenig Beachtung findet: Verschlüsselung. Sprich: Wenn Sie personenbezogene Daten vor der Übermittlung an den Dienstleister oder vor dem Zugriff durch den Wartungsdienst in den USA sicher verschlüsseln, hat der Dienstleister oder Wartungsdienst keine legale Möglichkeit, Ihre Daten zu lesen. Können verbundene Leistungen, also etwa die Datenspeicherung in einem US-Rechenzentrum oder der Wartungsdienst für Software aus den USA, trotzdem ausgeführt werden, sind die Bedingungen der DSGVO und die Bedingungen des EuGH grundsätzlich eingehalten. Die Daten sind dann nicht mehr personenbezogen. Das wiederum bedeutet: Die DSGVO gilt dafür nicht.

Mit ausreichender Verschlüsselung hat der Verarbeitende also keine legale Möglichkeit, Ihre Daten zu lesen und zu personalisieren. Insbesondere, wenn Sie Ihre Daten selbst verschlüsseln, ist das oft eine sehr viel kostengünstigere Variante, als die Verträge mit den US-Anbietern anzupassen. Schließlich hängt jede Vertragsänderung davon ab, dass Ihre Vertragspartner sich darauf einlassen. Wer seine Daten ausreichend verschlüsselt, für den ist der Datentransfer in Drittländer kein Problem.

Tipps für den Datentransfer in die USA und andere Drittländer

zusammenstellen, welche Daten insgesamt in Drittländern wie den USA verarbeitet werden
vorhandene Verträge sammeln, bei denen Sie davon ausgehen, dass sie bereits den rechtlichen Bedingungen entsprechen
überprüfen, für welche Datenverarbeitungen die neuen Standardvertragsklauseln verwendet werden müssen
überprüfen, ob betroffene Dienstleister bereit sind, die neuen Standardvertragsklauseln einzusetzen
insgesamt prüfen, welche der in Drittländern verarbeiteten Daten schon vor der Verarbeitung dort so verschlüsselt werden können, dass die Dienstleister keine legale Möglichkeit der Einsicht erhalten
zurücklehnen und das Leben genießen!

Das ist die Kernfrage: Haben Sie für jeden Datenexport in Drittländer sichergestellt, dass die Verträge den vom EuGH gesetzten Bedingungen entsprechen oder die Daten ausreichend verschlüsselt sind?

Wir wünschen erfolgreichen Datentransfer!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Datenübermittlung in Drittländer

Globaler Datentransfer - jetzt handeln, Geldbuße vermeiden.

Das Webinar. Jetzt anmelden.

Praxistipp: Archivordnung oder Archivunordnung? Ohne Regeln geht es nicht

183:832032422 (Eberhard Häcker) — Wed, 26 May 2021 08:24:53 GMT

Praxistipp Datenschutz 05|2021

Was fällt Ihnen ein beim Schlagwort Archiv? Staub, Unordnung, Modergeruch? Oder: angenehmer Geruch, Ordnung, Sauberkeit? Was nehmen Sie wahr, wenn Sie das Archiv in Ihrem Unternehmen betreten? Bei Datenarchiven, wie in vielen Bereichen, gibt es weite Unterschiede. Eines lässt sich aber generell sagen: Wer eine Archivordnung hat, ist besser dran. Es lohnt sich, Datenarchivierung gezielt anzugehen und klar zu regeln. Dabei ist die Archivordnung ein wesentlicher Baustein. Der Praxistipp klärt, warum Unternehmen eine Archivordnung brauchen und was sie enthalten sollte.

Datenträger aller Art

Zwei große Kategorien von Medien spielen bei der Archivierung eine Rolle. Da sind zum einen die elektronischen Datenträger, zum anderen das Papier, das man vor allem in Form von Aktenordnern oder Papierstapeln kennt. Ob elektronisch oder in Papierform, in beiden Fällen müssen abgelegte Datenträger bei Bedarf rasch wiedergefunden werden können. Ob das der Fall ist, hängt in der Regel davon ab, ob es eine Archivordnung gibt. Oder ob das Prinzip Unordnung das Sagen hat.

Die Sache mit der Aufbewahrung

Man kennt es aus eigener Erfahrung: Unterlagen werden im direkten Bürobetrieb nicht mehr benötigt, müssen aber aufbewahrt werden. Denn entweder gilt eine gesetzliche Aufbewahrungsfrist oder sie könnten noch einmal wichtig werden, etwa für laufende Prozesse. In jedem Fall muss es bis zur Vernichtung der Unterlagen einen Raum oder Schrank geben, wo Sie Datenträger sicher aufbewahren. Beim Datenträger Papier kann das der oben erwähnte Raum sein. Mit Moder, Staub und Durcheinander oder eben Ordnung und Sauberkeit.

Archive organisieren

Eine der wesentlichen Tücken, die im Zusammenhang mit Archiven lauern: Nicht alle Unterlagen, die im Archiv aufbewahrt werden, dürfen von allen beschäftigten Personen eingesehen werden. Bedeutet: Innerhalb des Archivs muss es eine Unterteilung geben. Verschiedene Bereiche lassen sich entsprechend sichern, so dass ein Zugang zu geschützten Medien nicht für alle möglich ist. Ebenfalls zu berücksichtigen: Werden Archivunterlagen im laufenden Bürobetrieb benötigt, ist die Entnahme aus dem Archiv zu dokumentieren. Ebenso wird festgehalten, wenn die Akte zurück ins Archiv geht. Außerdem ist zu klären, wie jemand ins Archiv gelangt, also welche Zutrittskontrolle zu überwinden ist, wer ins Archiv darf und welche Regeln dabei zu beachten sind.
Datenschutzbeauftragte und die Archivordnung Das alles wird am besten in der Archivordnung zusammengefasst. Gibt es eine solche, sollten Datenschutzbeauftragte sie regelmäßig auf Vollständigkeit und Aktualität hin prüfen. Außerdem sollten sie sich vergewissern, ob sie dem Alltag standhält. Es gehört zur Überwachungsaufgabe von Datenschutzbeauftragten, zu prüfen, wie Unterlagen aufbewahrt werden und ob dabei der Datenschutz gewahrt ist.

Daten archivieren, wie die DSGVO das fordert

Das neue Webinar. Jetzt anmelden.

Wenn Archivunterlagen wichtig werden

Dass Unterlagen archiviert werden, hat gute Gründe. Zum einen gibt es gesetzliche Anforderungen, die Verantwortliche verpflichten, Unterlagen für Zwecke der Betriebsprüfung vorzuhalten. Außerdem werden Unterlagen in einzelnen Fällen benötigt, um den Ablauf bestimmter Geschäftsprozesse nachzuweisen. Dies kann etwa bei gerichtlichen Auseinandersetzungen von Bedeutung sein. In beiden Fällen müssen die Unterlagen revisionssicher und schnell greifbar sein. Das setzt voraus, dass bekannt ist, wo sich welcher Datenträger befindet. Das wiederum setzt voraus, dass Unterlagen nicht einfach irgendwo im Archiv abgelegt werden, sondern so sortiert sind, dass sie sich zügig wiederfinden lassen. Wo was archiviert wird, ist angemessen zu dokumentieren.

Datensicherung

Es gehört zu den technischen und organisatorischen Maßnahmen nach der Datenschutz-Grundverordnung (DSGVO), die Verfügbarkeit personenbezogener Daten sicherzustellen. Dazu müssen informationstechnische Systeme bei einem physischen oder technischen Zwischenfall schnell wiederherstellbar sein. Dazu gehört, dass Datensicherungen eingespielt werden. Um das zu gewährleisten, muss eine Datensicherung nicht nur vorhanden sein, sondern auch zur Verfügung stehen, sprich: gefunden werden können.

Archivordnung laut DSGVO

Sind diese Voraussetzungen nicht gegeben, liegt ein Verstoß gegen die Grundsätze des Datenschutzes nach DSGVO vor. Befindet sich ein Archiv „in Unordnung“, können Daten nicht rechtzeitig gefunden und wiederhergestellt werden. Damit liegt ein Verstoß gegen Grundsätze des Datenschutzes vor, was mit einer Geldbuße geahndet werden kann. Indirekt also fordert die DSGVO eine funktionierende Archivordnung.

Tipps für eine DSGVO-konforme Archivordnung

Prüfen Sie, wie die Archivierung derzeit organisiert ist.
Stellen Sie sicher, dass eine aktuelle und vollständige Archivordnung vorhanden ist und alle betroffenen Beschäftigten sie kennen.
Prüfen Sie, ob im Archiv Zutrittsregelungen gelten und Archivräume so gestaltet sind, dass die Vertraulichkeit personenbezogener Daten gewahrt bleibt.
Prüfen Sie, ob Zutritte in Archivräume dokumentiert werden müssen und wenn ja, ob dies zuverlässig erfolgt.
Prüfen Sie, ob innerhalb der archivierten Unterlagen Zugriffsbegrenzungen gelten. Besteht beispielsweise bei elektronischen Datenträgern ein Passwortschutz? Sind Aktenunterlagen, die nicht von allen eingesehen werden dürfen, entsprechend gesichert?
Prüfen Sie, wie die Entnahme von Archivunterlagen vor sich geht. Ist sichergestellt, dass sowohl die Entnahme als auch das Zurückbringen von Unterlagen dokumentiert wird? Wird gegebenenfalls verfolgt, warum Datenträger nicht zurückkommen?
Stellen Sie sicher, dass die räumlichen Umstände in Archivräumen regelmäßig kontrolliert werden. Dazu zählen etwa Luftfeuchtigkeit, Staub, Temperatur, Dichtig¬keit wasserführender Leitungen usw. Vergessen Sie nicht, Überprüfungen zu dokumentieren.
Prüfen Sie regelmäßig, ob in Archivräumen so gearbeitet wird, wie die Archivordnung es regelt. Kommt es zu Abweichungen? Nimmt beispielsweise eine beschäftigte Person ihr Notebook mit ins Archiv, weil sich Archivunterlagen direkt am Notebook einfacher bearbeiten lassen? Klären Sie, ob und unter welchen Umständen Notebooks zur Arbeit im Archiv mitgenommen werden dürfen.
Erstellen Sie einen Prüfkatalog für die datenschutzrechtliche Überwachung von Papierarchiven und elektronischen Archiven, der regelmäßig geprüft und überarbeitet wird.
Nehmen Sie die Überprüfung der Archivräume in den Datenschutz-Jahresbericht auf.

Sollte in Ihren Archiven bisher die Unordnung regiert haben, hält mit diesen Tipps bestimmt die Ordnung Einzug. Viel Erfolg dabei!

Rechtsquellen zum Nachlesen

Zu den Grundsätzen des Datenschutzes: Art. 5 Abs. 1 DSGVO
Zur Aufgabe der Überwachung durch den Datenschutzbeauftragten: Art. 39 Abs. 1 lit. b DSGVO

Lösungen zur sicheren und alltagstauglichen Datenarchivierung? Fragen Sie uns.
Webinare, persönliche Beratung, passgenaue Umsetzung. Mit Team Datenschutz sind Sie in Sachen Datenschutz und Informationssicherheit einen Schritt voraus.

Hier gibts den Praxistipp als kostenlosen PDF-Download.

Hat Ihnen der Praxistipp gefallen? Empfehlen Sie ihn weiter!

Daten archivieren, wie die DSGVO das fordert

Das neue Webinar. Jetzt anmelden.

Tipps, wie Unternehmen Metadaten in Word sicher regeln

183:832032422 (Eberhard Häcker) — Wed, 19 May 2021 09:45:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Verräterische Metadaten in Word

Dokumente in Microsoft Word verraten mitunter mehr, als manchem bewusst ist. Und mehr, als manchem lieb sein dürfte. Verfasser, Datum der Erstellung, letzte Bearbeitung – Metadaten können überaus aufschlussreich sein. Beispiel gefällig? Jemand schickte mir ein Word-Dokument, in dem mir der Text einerseits bekannt und andererseits seltsam vorkam. Es handelte sich um eine Stellungnahme zu einem Löschkonzept. Mein erster Gedanke: Das kennst du doch! Entweder hast du es selbst geschrieben oder schon mehrfach gelesen.

Das wollte ich genauer wissen, schließlich kann man das in Word schnell herausfinden. Also auf „Datei“, dann „Information“ und nachsehen, welche Informationen hinterlegt sind. Und tatsächlich. Bei „Erstellt“ fand sich ein Datum, das vier Jahre zurückliegt. Und beim Feld „Autor“ bestätigte sich mein Verdacht: EH, also Eberhard Häcker. Deshalb kamen mir Teile des Dokuments so bekannt vor. Allerdings die letzte Änderung stammte von meinem Mailpartner. Wie oft das Dokument bis dahin geändert wurde, war nicht mehr feststellbar. Jedenfalls das Datum der letzten Änderung war der Tag, an dem mich die Mail erreichte. Man zieht ungern voreilige Schlüsse, aber es drängte sich doch der Verdacht auf, dass irgendjemand mein Dokument als seines ausgegeben und weitergegeben hat. Und zwar mehrfach, denn es gab offenbar mehrere Änderungen, die sich unter bestimmten Umständen nachvollziehen lassen (was ich hier aber nicht vertiefen möchte). Wenn jemand ein Dokument „fälscht“, ist es doof aus Sicht des Fälschers, wenn er vergisst, den hinterlegten Autor gleich mitzufälschen.

Wer was wann wie ändern wollte

Nicht nur Angaben wie Autor und Verfasser der letzten Anpassung können vielsagend sein. Tief blicken lässt manchmal auch die Funktion „Änderungen nachverfolgen“, zumindest dann, wenn ein gemeinsam bearbeitetes Dokument nach extern versendet wird. Nicht selten nehmen an einem Dokument mehrere Mitarbeiter mehr oder weniger umfangreiche Änderungen vor. Normalerweise sollen die anschließenden Empfänger nicht mitbekommen, wer welche Änderung vorgeschlagen oder Anmerkungen eingebracht hat. Das ist nicht nur ein Thema des Datenschutzes, sondern möglicherweise auch für die Compliance interessant.

Kurz gesagt, es gibt etliche Metadaten, auch solche von beschäftigten Personen des Verantwortlichen, die streng genommen dem Datenschutz oder der Informationssicherheit unterliegen und nicht für Externe bestimmt sind. Das Problem ist aber, dass wenige sich dessen bewusst sind und darum nicht darauf achten.

Personenbezogene Metadaten

Wo ist das Risiko? Werden einige oder alle dieser vielfältigen vertraulichen Informationen durch Unachtsamkeit über Word-Dokumente nach außen an nicht berechtigte Personen weitergeleitet, liegt aus Sicht des Datenschutzes eine Schutzverletzung vor. Schließlich gibt man damit Daten an Unbefugte. Dabei spielt es keine Rolle, ob diese Daten absichtlich oder unbewusst weitergereicht werden. Hier liegt konkret das Risiko eines meldepflichtigen Schutzverstoßes vor.

Außerdem kann ein Compliance-Verstoß vorliegen. Und handelt es sich dann noch um Daten, die einem Auftraggeber gehören, kommt womöglich eine Vertragsverletzung hinzu. In jedem Fall wirkt es sehr unprofessionell, wenn Daten übermittelt werden, bei denen Schutzverletzungen in Kauf genommen wurden.

Datenschutzverstoß mit Metadaten in Word-Dokumenten vermeiden

Eine Verletzung des Schutzes personenbezogener Daten führt nach der DSGVO stets dazu, dass diese Schutzverletzung an die Aufsichtsbehörde für den Datenschutz gemeldet werden muss. Das gilt bei ungewollter Übermittlung von Metadaten wie überall sonst – nur dass es hier kaum jemandem bewusst ist. Die Meldepflicht entfällt, wenn durch die Übermittlung voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Personen zu erwarten ist. Normalerweise dürfte dieses Risiko bei einer ungewollten Übermittlung von Metadaten selten gegeben sein. Dennoch ist es besser, die Kolleginnen auf die Entstehung von Metadaten hinzuweisen und zu trainieren, wie man damit umgehen sollte, etwa in Mitarbeiterschulungen. Für jedes Dokument, zumindest für solche, die an Externe weitergegeben werden, sollte es eine verantwortliche Person geben. Der Dokumentenverantwortliche begleitet den Versand des Dokuments oder führt ihn eigenhändig durch, prüft vor dem Versand die Metadaten und passt sie gegebenenfalls an.

Tipps, wie Unternehmen den Umgang mit Metadaten in Word sicher regeln

Sicherstellen, dass Nutzer von Office-Programmen wissen, was Metadaten sind und welche die Software selbst oder ihre Anwender möglicherweise unbewusst erstellen oder erstellen können
Sicherstellen, dass sich Nutzerinnen von Office-Programmen bewusst sind, welche Metadaten durch die Software, in diesem Fall Word, mit übermittelt werden
In einem Training den beschäftigten Personen aufzeigen, welche Metadaten wie abgerufen werden können und wie sie deren Übermittlung verhindern
Bei Bedarf Bestimmen einer verantwortlichen Person zumindest für vertrauliche Word-Dokumente, die in den etwaigen Versand eingebunden ist
Anordnen, dass vor dem Versand die Metadaten zu prüfen und gegebenenfalls zu entfernen sind
Sicherstellen, dass alle Anwender von Word wissen, wie sie die Dokumentenprüfung aufrufen, wie sie Dateien beim Entfernen von Metadaten sichern und wie sie vertrauliche Informationen beseitigen
Generelle Hinweise für den Versand von Office-Dokumenten erstellen und bekanntgeben, die neben den Metadaten weitere Hinweise zur Weitergabe von Word-Dokumenten beinhalten
Sicherstellen, dass zumindest nach Funktions-Updates zentral geprüft wird, ob sich hinsichtlich der Metadaten etwas geändert hat, und Vornehmen der möglicherweise erforderlichen Anpassungen

Die Kernfrage: Ist sichergestellt, dass mit Word-Dateien keine ungewollten Metadaten mit vertraulichem oder schützenswertem Inhalt an Unbefugte übermittelt werden?

Wir wünschen viel Erfolg beim Schützen Ihrer Metadaten!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Archive – organisierte Aufbewahrung oder schwarze Löcher?

Fri, 14 May 2021 12:27:53 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Wie lange Daten aufbewahren?

Personenbezogene Daten müssen verfügbar sein. So will es Artikel 32 der Datenschutz-Grundverordnung. Verfügbarkeit zählt zu den technischen und organisatorischen Maßnahmen und ist beim Umgang mit personenbezogenen Daten zu erfüllen. Hinzu kommt: Der Verantwortliche ist verpflichtet, im Fall einer Inzidenz, sprich: eines IT-Zwischenfalls die Verfügbarkeit personenbezogener Daten rasch wiederherstellen zu können.

Demzufolge gibt es Archive. Zum einen gibt es Archive für elektronische Datenträger, zum anderen für Papier sowie Datenträger wie Mikrofilm. Sie haben eines gemeinsam: Daten sind so lange aufzubewahren, wie sie erforderlich sind. Ausnahme: Der Gesetzgeber bestimmt, dass die Daten länger aufzubewahren sind. Dann gilt die gesetzlich geregelte Aufbewahrungsfrist als Maßstab.

Ordnung im Archiv

Unerlässlich ist, dass jemand weiß, wo sich was befindet. Wo im elektronischen Datenträgerarchiv liegt dieser Festplatte, wo im physischen Archiv jener Aktenordner oder Papierstapel? Mit anderen Worten: Es braucht ein Ordnungssystem. Dieses Ordnungssystem muss berücksichtigen, dass die Daten, die entweder im elektronischen Datenträgerarchiv oder im Archivraum für Aktenordner liegen, unterschiedlich schützenswert sind. Es muss gewährleisten, dass beschäftigte Personen im Archiv nur Zugang zu Daten erhalten, auf sie die auch im Bürobetrieb Zugriff haben. Um es anders auszudrücken: Wenn alle Beschäftigten alle archivierten Personalunterlagen einsehen können, ist etwas schiefgegangen.

Besucht man Archivräume in der Praxis, stellt man immer wieder fest, dass von einer durchgängigen Ordnungsstruktur, die Herausforderungen wie diese meistert, oftmals keine Rede sein kann. Mitunter ist man versucht, hier von einem schwarzen Loch zu sprechen. Das Archiv zieht alle Unterlagen magisch an, die verschwinden und niemand weiß mehr, wo sie sind.

Archive und ihre Risiken

Archivierte Unterlagen müssen im Zweifelsfall kurzfristig vorgelegt werden können. Normalerweise finden sie sich in Archiven, in als Archiv genutzten Schränken oder in abschließbaren Kisten, wo man sie für die Betriebsprüfung bereithält. Aber es gibt weitere Fälle, in denen Unterlagen aus dem Archiv benötigt werden. Müssen Akten vorgelegt werden und sind dann nicht auffindbar, können sie nicht zur Be- oder Entlastung dienen. Manchmal kommt es zu Behauptungen, im Unternehmen seien bestimmte Vorgänge falsch ausgeführt worden. Wenn hier nicht aussagekräftige Unterlagen vorhanden sind, haben die Verantwortlichen schlechte Karten, die Anschuldigungen zu entkräften. Je nach Fall und Wichtigkeit betroffener Unterlagen kann es einen mittelschweren bis schweren Schaden bedeuten, wenn sie nicht mehr auffindbar sind. Ein guter Grund für Unternehmen, Archive sauber zu strukturieren und den Zugriff klar zu regeln.

Archive und Datenschutz

Zu den technischen und organisatorischen Maßnahmen gehört, dass die Verfügbarkeit von Daten sichergestellt wird. Im Falle eines Zwischenfalls muss außerdem eine rasche Wiederherstellung der Datenverarbeitung möglich sein. Ist das nicht gegeben, drohen Bußgelder. Auch der umgekehrte Fall, dass bei einer fehlenden oder schlechten Organisation von Archiven personenbezogene Daten zu lange aufbewahrt werden, kommt häufig vor. Auch dann liegt potenziell ein Datenschutzverstoß vor. Datenschutzbeauftragte müssen die genaue Situation kennen, damit sie ihre Überwachungsaufgabe gemäß Artikel 39 der DSGVO erfüllen können.

Daten archivieren, wie die DSGVO das fordert

Das neue Webinar. Jetzt anmelden.

Unsere Tipps fürs Unternehmensarchiv

Für Unternehmen und Betriebe empfehlen sich folgende Maßnahmen:

überprüfen, in welchen Räumlichkeiten oder Schränken Unterlagen oder Datenträger archiviert werden
eine Zusammenstellung vornehmen, welche Unterlagen oder Datenträger wo archiviert sind
vorhandene Archivräume, Schränke und andere Aufbewahrungsorte für Archivunterlagen systematisch und strukturiert überprüfen: Welche Akten liegen dort, dürfen die Akten alle vorhanden sein, wann steht ihre Vernichtung an?
vorhandene Datenträgerarchive für elektronische Datensicherungsmedien systematisch und strukturiert überprüfen, ob nachvollziehbar ist, welche Daten sich auf welchem Datensicherungsmedium befinden. Auch hiervon eine umfassende Zusammenstellung anfertigen
überprüfen, nach welchen Ordnungskriterien sowohl Papierunterlagen als auch elektronische Datenträger aufgezeichnet sind
überprüfen, wer in den Archivräumen wo Zutritt hat
überprüfen, wer in den elektronischen Datenträgerarchiven auf welche Datenträger Zugriff hat
eine Archivordnung anfertigen und umsetzen
die Maßnahmen dokumentieren und regelmäßig prüfen, ob diese wirksam sind

Und die Kernfrage: Kann umfassend nachvollzogen werden, welche Unterlagen oder elektronischen Datenträger wo und unter wessen Verantwortung archiviert sind?

Wir wünschen gelungene Datenarchivierung!

Möchten Sie mehr erfahren? Gleich anmelden für unser Webinar zum Thema Datenarchivierung !

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Mehr zum Thema

Daten archivieren, wie die DSGVO das fordert

Das neue Webinar. Jetzt anmelden.

Was sind Metadaten und was gehen sie den Datenschutz an?

Tue, 11 May 2021 06:45:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 6 Minuten

Metadaten in E-Mails und Dateien

Sie suchen eine bestimmte E-Mail in Outlook oder eine bestimmte Datei im Explorer. Sie wissen noch ungefähr, um was es dabei ging. Je mehr Daten Sie auf ihrem Rechner gespeichert haben, desto länger kann es dauern, bis Sie die Mail oder Datei finden. Wenn Sie mittels Informationen suchen, die Sie oder die Software zu den Dateien oder Mails in Kurzform eingegeben haben, nutzen Sie Metadaten.

Was sind Metadaten?

Metadaten sind Informationen über Daten. Alle Datensammlungen benötigen Metadaten zur Strukturierung. Eigentlich praktisch, denn so kann eine lange Datei mit wenigen Worten beschrieben und rasch wiedergefunden werden. Stellen Sie sich vor, Sie suchen eine Mail, in der Ihnen die Kollegin die Projektpartner für ein bestimmtes Projekt geschickt hat. Aus der Erfahrung heraus nutzt man die Betreff-Zeile oder den Dokumententitel für wichtige Informationen zum Inhalt, die die Zuordnung und das Wiederfinden erleichtern. Ein Dateititel lautet beispielsweise: „Projektbeteiligte im Projekt Werner Schulze für Kunden Müllerschön“.

Wenn es sich bei Werner Schulze und Kunde Müllerschön um Personen handelt, dann sind das personenbezogene Daten. Das kommt häufiger vor, als man vermutet. Und wir alle haben gelernt: Je genauer wir es schaffen, den wesentlichen Inhalt des Dokuments in den Metadaten, also in die Betreffzeile, den Dokumententitel usw. in aller Kürze einzutragen, desto rascher sind diese Dokumente später auffindbar.

Vorteile von Metadaten

Metadaten zeichnet aus, dass sie nicht Bestandteil der verarbeiteten Datei sind und daher getrennt von den eigentlichen Daten aufbewahrt werden können. So ist es beispielsweise beim Stichwortkatalog einer Bibliothek. Dort kann man suchen, erfährt Titel und Verfasser eines Buches und kann es sich aus dem Regal holen. Ähnlich klappt das bei elektronischen Daten. Die meisten Dateisysteme arbeiten mit festgelegten Metadaten, wie etwa die Meta-Information des Dateityps, der Teil des Dateinamens ist, beispielsweise bei Word-Dokumenten die Erweiterung .docx oder bei Word-Vorlagen .dotx. Man sieht: Viele Metadaten sind hinsichtlich Datenschutz und Informationssicherheit unkritisch. Aber: Manche können auch kritisch sein.

Nachteile von Metadaten

So praktisch sie sind, Metadaten haben nicht nur Vorteile. Sie sind einer der wesentlichen Kritikpunkte von Aufsichtsbehörden beispielsweise an Videokonferenzsystemen. Wenn diese in US-amerikanischen Rechenzentren verarbeitet werden, haben darauf US-amerikanische Behörden Zugriff, und das ist spätestens seit dem EuGH-Urteil zu Schrems II kritisch. Im Umkehrschluss gilt: Je allgemeiner man Metadaten formuliert, desto geringer sind die Gefahren für den Datenschutz.
Allerdings gehören zu den Metadaten auch die an der Kommunikation beteiligten Personen, das lässt sich nicht vermeiden. Aber diese Informationen lassen sich pseudonymisieren. So kann beispielsweise eine Mail-Adresse statt mit vollem Vornamen und Nachnamen so angelegt werden, dass nur befugte Personen den Namen zuordnen können.
Das Gemeine an Metadaten ist: Selbst wenn das Dokument vorbildlich verschlüsselt ist, seine Metadaten bleiben für gewöhnlich unverschlüsselt. So wird etwa die Betreff-Zeile einer E-Mail im Regelfall nicht chiffriert. Und selbst wenn sie, beispielsweise bei TLS-Verschlüsselung, auf dem Weg zwischen zwei Servern unkenntlich gemacht wird, so wird sie „nur“ auf dem Weg verschlüsselt und liegt auf den Servern jeweils offen. Metadaten werden also nicht konsequent geschützt, bleiben grundsätzlich einsehbar und können von Unbefugten genutzt werden.

Metadaten als kaum bekanntes Risiko

Metadaten sind unverzichtbar und fallen bei allen elektronischen Dokumenten an. Neben Mails und Dokumenten auch bei Fotos, Tondateien, Videos, Webseiten usw. Sie unterstützen die Verwaltung, Archivierung und insgesamt das Management der verarbeiteten Daten und informieren unter anderem über die Datenstruktur, die Dateigröße, das Dateiformat oder den Speicherort. Wenn die beteiligten beschäftigten Personen nicht vorsichtig damit umgehen, werden diese Informationen unkontrolliert weiterverbreitet.
Wissen das die beschäftigten Personen, die mit den Daten arbeiten? Angenommen, sie wissen es nicht, und davon kann man in der Regel ausgehen – wird das Thema in Schulungen angesprochen, reagieren jedenfalls die allermeisten überrascht, auch jene, die in Sachen Datenschutz alles richtig machen möchten. Für die Informationssicherheit bedeutet das, dass in vielen Fällen niemand genau weiß, welche Informationen da eigentlich an wen weitergegeben werden. Damit handelt es sich um ein zwar spezifizierbares, aber nicht spezifiziertes Risiko – also ein mutmaßlich unbestimmtes Risiko.

Metadaten und Datenschutz

In der Datenschutz-Grundverordnung verlangt der europäische Gesetzgeber angemessene technische und organisatorische Maßnahmen, um Schutzverletzungen personenbezogener Daten zu vermeiden.

„Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung – insbesondere durch Vernichtung, Verlust oder Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden – verbunden sind.“

Art. 32 Abs. 2 DSGVO

Wenn Metadaten in unbefugte Hände gelangen, sind mindestens die Schutzverletzungen Verlust, unbefugte Offenlegung und unbefugter Zugang zu personenbezogenen Daten betroffen. Außer wenn kein Risiko für Rechte und Freiheiten betroffener Personen zu erwarten ist, wird bei Schutzverletzungen eine Meldung der Datenpanne an die Aufsichtsbehörde fällig.

Zur Beruhigung: Ganz so schnell schießen die Preußen nicht. Es käme auf einen Versuch an, einmal bei der Aufsichtsbehörde eine Meldepflicht wegen einer versendeten Schutzstufe-D-Information in einer Betreffzeile abzugeben. Und das möglicherweise am 1. April. Wer traut sich?
Aber Aprilscherze beiseite. Bei Metadaten heißt es aufpassen. Kompromittierende Angaben in offenen Metadaten wie der Betreffzeile oder dem Titel einer Videokonferenz sind ratsamerweise zu vermeiden.

Tipps und Maßnahmen für sicheren Umgang mit Metadaten im Unternehmen

eine Zusammenstellung der wichtigsten Metadaten aus Programmen und elektronischen Dateien vornehmen
vermerken, welche Metadaten in den wichtigsten Anwendungen Nutzer beeinflussen können und wo Verletzungen von Datenschutz und Informationssicherheit drohen
sicherstellen, dass Nutzer erstens wissen, was Metadaten sind, und zweitens deren Risiken für Datenschutz und Informationssicherheit kennen
sicherstellen, dass Nutzer wissen, auf welche Metadaten von Dateien sie Einfluss haben
sicherstellen, dass Nutzer mit beeinflussbaren Metadaten verantwortungsvoll umgehen

Und die Kernfrage: Kennen beschäftigte Personen die Risiken von Metadaten und verwenden sie in angemessener Weise?

Wir wünschen sichere Metadaten!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Wenn verschlüsselte E-Mails Vertrauliches ausplaudern

183:832032422 (Eberhard Häcker) — Tue, 04 May 2021 06:15:00 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Die Betreffzeile in der E-Mail-Verschlüsselung

Eigentlich sollen wir Mails immer verschlüsseln, damit niemand unbefugt mitlesen kann. Eigentlich. Aber erstens tut das fast niemand, denn: Verschlüsseln und Entschlüsseln nerven. Und zweitens gehen wir davon aus, dass zumindest innerhalb der Domain E-Mails von einer Mailadresse an die andere von außen nicht eingesehen werden können, heißt also, dass bei internen Mails an die Kolleginnen keine weitere Verschlüsselung nötig ist.

Dennoch finden wir im geschäftlichen Umfeld nicht selten eine Verschlüsselung vor. Nehmen wir einmal an, dass der dienstliche E-Mail-Verkehr intern wie extern erfolgreich verschlüsselt ist. Heißt das, dass alles erledigt ist und nichts mehr schiefgehen kann?

Nicht ganz. Gerade in Zeiten von Cyberangriffen und Kryprotrojanern kommt der Betreffzeile besondere Bedeutung zu, schließlich werden E-Mails immer häufiger gefälscht und für Angriffe genutzt. Bei Zweifeln wird die Mail womöglich gar nicht erst geöffnet. An der Betreffzeile sollte man also erkennen können, dass die Mail authentisch ist.

Das mag ein Grund sein, im Betreff eine möglichst genaue Beschreibung zu hinterlegen. Was man allerdings bedenken sollte: Die Betreffzeile ist nicht Teil der Verschlüsselung. Und damit steht sie nicht allein, denn beim Verschlüsseln einer E-Mail bleibt der gesamte Header unverschlüsselt. Dazu gehören beispielsweise das Absendedatum und die Absendeuhrzeit der Mail. Und eben die Betreffzeile. Dort sind, so lehrt es die Praxis, immer wieder Details zu Personen enthalten. Sprich: personenbezogene Daten.

E-Mail-Betreff und Datenschutz

Ein Beispiel für eine Betreffzeile: „Eberhard Häcker will Gehaltserhöhung auf 4.800 Euro – verdient der das im Projekt Software Mülldeponie Aglasterberg?“ Wenn der Name nur selten genug ist (und meiner ist das), ist die Person eindeutig identifizierbar. Dazu sind die Details ziemlich präzise, für eine Profilbildung geradezu prädestiniert. Außerdem ist ein Kundenprojekt benannt – zugegeben, wie die Gehaltsangabe erfunden – aber wer hat sowas noch nicht in einer Betreffzeile gesehen? Eigentlich würde ein allgemeiner Hinweis ausreichen, „Wunsch nach Gehaltserhöhung und Prüfung der Berechtigung“ etwa würde weder den Namen nennen noch das Projekt. Außerdem braucht es keine genaue Zahl. Und dennoch wäre der Betreff hinreichend genau für eine eindeutige Identifizierung.

Wo ist das Risiko? Die Betreffzeile einer E-Mail wird nicht oder nur auf bestimmten Abschnitten des Transports verschlüsselt und kann daher offen ausgelesen werden. In Verbindung mit dem Absender und den Empfängern (alle Mail-Adressen in den Zeilen „An“ und „Cc“) kann der Betreff einen wesentlichen Beitrag zur Erstellung eines Personenprofils leisten. Abgesehen davon, dass dies Informationen sind, die durch das Geschäftsgeheimnisgesetz und natürlich durch die DSGVO geschützt sind.

Datenschutzverstoß im Betreff

Was geht es den Datenschutz an? Sehr viel. Wenn die (nicht verschlüsselte) Betreffzeile quasi die Zusammenfassung der (ansonsten verschlüsselten) Mail enthält, ist das eine unbefugte Offenlegung und damit eine Schutzverletzung, egal ob diese nun faktisch ausgewertet wird oder nicht (sie wird, wie uns Edward Snowden anschaulich dargestellt hat). Nicht umsonst verweisen die Aufsichtsbehörden für den Datenschutz gebetsmühlenartig auf die Tatsache der fehlenden Verschlüsslung beim Header der Mail, insbesondere der Betreffzeile. Gleiches gilt übrigens für die Metadaten von Videokonferenzsystemen.

Metadaten in Videokonferenzsystemen.

Mehr dazu in einem der nächsten Datentipps!

Das bedeutet: Alle beschäftigten Personen mit E-Mail-Zugang müssen auf dieses Risiko angemessen vorbereitet sein. Dass eine solche Schutzverletzung eine Meldepflicht an die Aufsichtsbehörde auslöst, soll dabei nicht unerwähnt bleiben.

Tipps für datenschutzkonforme E-Mails

So vermeiden Unternehmen Datenschutzpannen in Betreffzeilen:

sicherstellen, dass alle beschäftigten Personen mit geschäftlichem E-Mail-Konto zu Metadaten und insbesondere zur Betreffzeile geschult werden und die Gefährdung kennen
die Beschäftigten mit angemessenen Schulungsmaßnahmen „unverfängliche“ Formulierungen für Betreffzeilen trainieren lassen
immer wieder darauf hinweisen, in Betreffzeilen keine personenbezogenen oder auf Personen beziehbare Daten einzutragen

Und die Kernfrage: Wissen alle beschäftigten Personen mit Mailzugang, welche Gefährdungen für den Datenschutz von leichtfertigen Beschreibungen in der Betreffzeile von E-Mails ausgehen, und haben „unverfängliche“ Betreffzeilen trainiert?

Ich wünsche Ihnen sicheren E-Mail-Verkehr!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Selbstvermarktung für Datenschutzbeauftragte

Wed, 28 Apr 2021 13:14:49 GMT

Der kleine feine Datentipp

Lesezeit: ca. 5 Minuten

Gelungenes Selbstmarketing

Ein Beispiel aus der Praxis, neulich bei einem Auftraggeberaudit. Der Auditor interviewt auch einige am Projekt beteiligte beschäftigte Personen, insgesamt etwa 200. Im „Tross“ der begleitenden Personen ist auch der Datenschutzbeauftragte. Allerdings während des Interviews in gebührendem Abstand. Ist ja vertraulich.
Später erfährt er, dass der Auditor unter anderem fragte, ob der Gesprächspartner den Datenschutzbeauftragten des Unternehmens kenne. Der sofort: „Aber sicher. Herr Häcker steht ja da hinten. Der kommt bei Begehungen immer wieder vorbei und erkundigt sich bei uns, ob alles in Ordnung ist.“ Im Auditbericht steht: „Datenschutzbeauftragter ist den Beschäftigten offenbar bestens bekannt.“ Ausdrücklich als Lob gemeint.

Durch Selbstvermarktung für Bekanntheit sorgen

In Deutschland, so will es das Bundesdatenschutzgesetz, muss ein Datenschutzbeauftragter benannt werden, sobald mehr als 20 Beschäftigte mit Datenverarbeitung zugange sind.

„… benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.“

§ 38 BDSG

Um ihre Aufgaben erfüllen zu können, müssen Datenschutzbeauftragte bekannt sein. Beschäftigte Personen müssen also wissen, an wen sie sich bei Fragen und Anliegen rund um Datenschutz wenden können. Natürlich kann man die entsprechenden Kontaktdaten in Aushängen oder im Intranet veröffentlichen. Besser ist aber, wenn die beschäftigten Personen Datenschutzbeauftragte persönlich kennen oder direkt von ihnen angesprochen werden. Kein Problem mit dem richtigen Selbstmarketing.

Teure Datenschutz-Verstöße

Die Geldbußen bei Datenschutz-Verstößen steigen. Zwar sind die möglichen 20 Mio. Euro bzw. 4 % des Vorjahresumsatzes im Konzern noch nicht ausgesprochen worden. Aber: Die bisher höchste Geldbuße in Deutschland betrug 2020 immerhin 35,5 Mio. Euro. Möglicherweise hat der Datenschutzbeauftragte nichts von den dahinter stehenden Verstößen gewusst. So konnte er mutmaßlich auch nicht einschreiten. Offenbar sind die kompromittierenden Informationen auch gar nicht an die Vertreter des Datenschutzes, sondern direkt an die Öffentlichkeit gegeben worden. Der Datenschutzbeauftragte hätte die entsprechenden Vorfälle möglicherweise abstellen können, wenn er informiert gewesen wäre. Doch dazu muss er im Unternehmen bekannt sein.

Datenschutzpannen vorbeugen dank Selbstmarketing

Wenn Datenschutzbeauftragte bei den beschäftigten Personen nicht bekannt sind, gelangen sie meist nur zufällig an wichtige Informationen für ihre tägliche Arbeit. Schließlich sind Datenschutzbeauftragte selbst nur selten direkt in die Verarbeitungen eingebunden, Datenschutzvorfälle oder Datenschutzpannen fallen immer zuerst beschäftigten oder betroffenen Personen auf. Ein wichtiger Grund für Datenschutzbeauftragte, Datenschutzmarketing zu betreiben. Das ist im Interesse des Datenschutzes und des Unternehmens – auch und vor allem vor dem Hintergrund, dass Datenschutzfehler immer teurer werden. Die einzige Chance, von etwaigen Problemen zu erfahren, sind (neben dem Zufall) gute persönliche Kontakte und Vertrauen. Beides muss man sich im Laufe der Zeit aufbauen. Gelingt es, lässt sich das Risiko nicht entdeckter Datenschutzvorfälle eindämmen.

Datenschutzbeauftragte einbinden

Die Aufgaben von Datenschutzbeauftragten sind ausdrücklich in Artikel 39 der DSGVO benannt. Aber schon Artikel 38 benennt wesentliche zu erfüllende Anforderungen im Zusammenhang mit Datenschutzbeauftragten.

„Der Verantwortliche und der Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.“

Art. 38 Abs. 1 DSGVO

Noch wichtiger wird die Bekanntheit von Datenschutzbeauftragten, wenn man weiterliest:

„Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen.“ Art. 38 Abs. 4 DSGVO
Angenommen, keiner kennt den Datenschutzbeauftragten oder die Datenschutzbeauftragte. Wie soll er oder sie dann frühzeitig in neue Prozesse eingebunden werden, wie soll man ihn bei Fragen zu Rate ziehen? Soll Datenschutz reibungslos klappen, müssen die Betroffenen Datenschutzbeauftragte kennen und Möglichkeiten haben, mit ihnen in Kontakt zu treten."

Art. 38 Abs. 1 DSGVO

Tipps für Ihre Selbstvermarktung als Datenschutzbeauftragte

Wollen Datenschutzbeauftragte ihre Arbeit richtig machen, sind sie auf Informationen von Kolleginnen und Kollegen angewiesen. Diese Tipps können helfen:

Datenschutzbeauftragte sollten mittels Aushang mit Namen und Kontaktdaten am Schwarzen Brett des Unternehmens zu finden sein.
Kontaktdaten von Datenschutzbeauftragten müssen auf der Webseite des Unternehmens oder der Organisation aufgeführt sein. Empfehlung: Geben Sie hier nur E-Mail-Adressen an, da Telefonnummern erfahrungsgemäß oft missbraucht werden. Für veröffentlichte Mailadressen sollten Sie sicherstellen, dass auf Nachrichten kurzfristig reagiert wird.
Kontaktdaten von Datenschutzbeauftragten müssen der Aufsichtsbehörde für den Datenschutz mitgeteilt werden.
Datenschutzbeauftragte sollten für ihre eigene Bekanntheit sorgen. Empfehlung: Datenschutz als „Management by Walking Around“ praktizieren – regelmäßige Datenschutz-Begehungen sind empfehlenswert und bringen viele Vorteile. Wer Begehungen angemessen protokolliert, hat bereits einen wesentlichen Teil der Dokumentation erfüllt.
Bei Begehungen sollten Datenschutzbeauftragte das Gespräch mit den Beschäftigten suchen.
Regelmäßige Datenschutz-Tipps können ein Weg sein, die Bekanntheit als Datenschutzbeauftragte zu steigern, beispielsweise per Rundmail. Oder Sie richten im Intranet einen Bereich ein mit den jeweils neuesten Tipps zum Datenschutz.
Marketing durch Schulungen: Datenschutzbeauftragte sollten Schulungen und Sensibilisierungsmaßnahmen allgemein so anschaulich und ansprechend wie möglich gestalten. Immer hilfreich: Geschichten, „die das Leben schreibt“.

Kleine Geschichten aus dem Alltag

Team -Datenschutz-Gründer Eberhard Häcker veröffentlicht seine liebsten Anekdoten aus dem Datenschutz-Alltag jeden Monat auf der letzten Seite der Fachzeitschrift „Datenschutz Praxis“ im bekannten „Daten-Schluss“. Klarer Lesetipp! >>> zur Website der Datenschutz Praxis

Wenn Datenschutzbeauftragte verkörpern, dass Datenschutz in Wirklichkeit nicht eintönig, sondern sehr ansprechend und interessant ist, haben sie die wichtigste Maßnahme zum Selbstmarketing als Datenschutzbeauftragte verinnerlicht.
Bieten Sie in Pandemie-Zeiten auch regelmäßige Schulungen per Videokonferenz an und suchen Sie den Kontakt im direkten Austausch via Videokonferenz – ein gutes Mittel, mit beschäftigten Personen in Verbindung zu bleiben.

Und die Kernfrage: Ist das Selbstmarketing von Datenschutzbeauftragten so gut, dass sie bekannt sind und im Zweifelsfall bei Anliegen zum Datenschutz informiert und angesprochen werden?

Wir wünschen gelungene Selbstvermarktung!

Bei Datenschutz-Fragen Team Datenschutz fragen.

Hat Ihnen der Datentipp gefallen? Empfehlen Sie ihn weiter!

Praxistipp: Einwilligung bei Bewerbungen und Rechtmäßigkeit laut DSGVO

Thu, 22 Apr 2021 09:41:37 GMT

Praxistipp Datenschutz 04|2021

In der Abwicklung von Bewerbungsverfahren lassen sich von Seiten der Unternehmen immer wieder Fehler bei der Anwendung des Datenschutzes beobachten. Einige sind häufiger als andere, gemeinsam ist ihnen meist, dass sie leicht zu vermeiden wären. Dabei sind manche davon durchaus gut gemeint und entstehen aus der Überzeugung, alles richtig zu machen – können aber gravierende Auswirkungen haben.

In die Verarbeitung von Bewerbungsdaten einwilligen

Was sich immer wieder beobachten lässt: Unternehmen fordern Bewerbende auf, zu einem Satz wie dem folgenden ihre Zustimmung zu erklären: „Hiermit erkläre ich mich ausdrücklich damit einverstanden, dass die Firma xy die mich betreffenden Bewerbungs- und Beschäftigtendaten erhebt, speichert, übermittelt, verändert, sperrt und löscht, wie dies für die Bearbeitung der Bewerbung und gegebenenfalls des Beschäftigungsverhältnisses erforderlich ist.“

Ergänzend werden in der Regel die Bearbeitungen erläutert, von denen die Rede ist, etwa Lohn- und Gehaltsabrechnung, die Gewährung von Urlaub oder die Bearbeitung von Zeiten der Arbeitsunfähigkeit. Gut gemeint, wie gesagt, aber nicht ratsam. Jedenfalls nicht für Unternehmen, die als kompetenter und fairer Arbeitgeber wahrgenommen werden möchten. Dieses Ziel wird nämlich verfehlt, wenn sich die bewerbende Fachkraft ein wenig mit Datenschutz auskennt. Soll ja vorkommen ...

Rechtsgrundlagen der DSGVO

Wie wir sehen werden, ist die Rechtsgrundlage Einwilligung hier nicht nur ungeeignet, sie ist auch kontraproduktiv. Bei vielen führt die Wahl der Rechtsgrundlage immer wieder zu Verunsicherung. Dabei ist sie nicht weiter schwer, wenn man die Hintergründe versteht. Die Datenschutz-Grundverordnung nennt in Artikel 6 bekanntermaßen sechs mögliche Rechtsgrundlagen für die Verarbeitung von Personendaten. Um entsprechende Daten rechtmäßig zu verarbeiten, muss eine davon erfüllt sein. Drei sind ohne Mitwirken der betroffenen Person wirksam, die übrigen sind in gewisser Weise von ihrer Beteiligung abhängig: die Einwilligung, die Wahrung berechtigter Interessen des Verantwortlichen sowie die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt. Diese drei sind aus rechtlicher Sicht „stärker“ als die übrigen.

Beteiligung Betroffener bei Rechtsgrundlagen

Die Einwilligung als Rechtsgrundlage hat eine Besonderheit: Die betroffene Person kann sie jederzeit für die Zukunft zurücknehmen. Beruht eine Verarbeitung auf den berechtigten Interessen des Verantwortlichen, können Betroffene der Verarbeitung grundsätzlich widersprechen. Die Wirksamkeit des Widerspruchs ist jedoch von objektiven Gründen abhängig, die sich aus der besonderen Situation der betroffenen Person ergeben. Gleiches gilt für die Rechtmäßigkeit aufgrund der Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt. Diese Rechtsgrundlage kommt im täglichen Gebrauch aber eher selten vor und soll hier außer Betracht bleiben. Dass diese drei Rechtsgrundlagen vom Goodwill der betroffenen Personen abhängen, macht sie für die nachhaltige Datenverarbeitung mehr (Einwilligung) oder weniger (die beiden anderen) unbrauchbar.

Rechtmäßigkeit nach DSGVO

Die DSGVO nennt Grundsätze, die bei jeder Verarbeitung von personenbezogenen oder auf Personen beziehbaren Daten erfüllt sein müssen: Zweckbindung, Datenminimierung und weitere. Alle sind zwingend zu erfüllen. Basiert ein Datenvorgang auf der verkehrten Rechtsgrundlage, ist der erste der Grundsätze durchbrochen: Rechtmäßigkeit. Damit wird die gesamte Verarbeitung zweifelhaft, wenn nicht sogar unwirksam.

Was spricht gegen die Einwilligung?

Geben betroffene Personen ihre Einwilligung, können sie davon ausgehen, dass sie ihr Einverständnis jederzeit zurückziehen und die betroffene Datenverarbeitung damit unterbinden können – genau darauf nämlich muss eine rechtsgültige Einwilligung hinweisen, Stichwort informierte Einwilligung. Besteht diese Möglichkeit in Wahrheit nicht – etwa, da der Verantwortliche die Datenverarbeitung dann nicht beendet, sondern kurzerhand auf eine andere Rechtsgrundlage stützt – kann dies als Vorspiegelung falscher Tatsachen gegen den Verantwortlichen ausgelegt werden. Entscheidet man sich für die Einwilligung, passiert man aus Sicht der Datenschutz-Aufsichtsbehörden einen Point of no Return. Man darf also nicht einfach auf eine andere umschwenken. Bedeutet: Lässt sich eine Verarbeitung auf eine andere Rechtsgrundlage stützen, sollte die Wahl von Beginn an auf diese fallen.

Alternative zur Einwilligung

Kommen wir zum Praxisfall zurück: Datenverarbeitung im Zuge eines Bewerbungsverfahrens. Die passende Rechtsgrundlage lautet hier Vertragserfüllung und vorvertragliche Maßnahmen. Wählt das Unternehmen hingegen die Einwilligung, würde es Bewerbenden vorgaukeln, im folgenden Beschäftigungsverhältnis die Verarbeitung ihrer Daten jederzeit stoppen zu können. Ein Recht, das faktisch nicht besteht, denn entsprechende Verarbeitungen sind gesetzlich vorgeschrieben.

Folgen der falschen Rechtsgrundlage

Wer im Bewerbungsverfahren eine untaugliche Rechtsgrundlage wählt, wagt ein doppeltes Risiko. Zum einen wird damit schnell die gesamte Datenverarbeitung ungültig. Zum anderen schreckt das Vorgehen möglicherweise richtig gute Bewerbende ab. Manche werden sich fragen, ob sie in einem Unternehmen arbeiten möchten, das schon die Bewerbung nicht rechtskonform gestaltet.
Tipps, den Bewerbungsprozess DSGVO-konform zu gestalten

Beim Thema Einwilligungen ist lieber zu viel als zu wenig meist der falsche Weg. Hier einige Tipps, wie Sie es besser machen.

Stellen Sie sicher, dass als Rechtsgrundlage für Datenverarbeitung im Zusammenhang mit Bewerbungen und erst recht im Beschäftigungsverhältnis die Einwilligung nur dort verwendet wird, wo keine andere Rechtsgrundlage in Frage kommt. Ansonsten wählen Sie „vorvertragliche Maßnahmen“ oder „Vertragserfüllung“ als Rechtsgrundlage.
Wenn die Einwilligung aktuell als Rechtsgrundlage für die Datenverarbeitung bei Bewerbung und Beschäftigungsverhältnis dient, beenden Sie diese Praxis sofort. Prüfen Sie in dieser Hinsicht alle Unternehmensbereiche, die möglicherweise eigene Bewerbungsverfahren durchführen.
Sollte Ihnen eine Juristin, ein Jurist die Einwilligung als Rechtsgrundlage empfohlen haben, sollten Sie die Zusammenarbeit zumindest beim Datenschutz hinterfragen.
Überprüfen Sie aus gegebenem Anlass auch alle anderen Prozesse, in denen Sie die Einwilligung nutzen. Es gibt verhältnismäßig wenige Fälle, wo diese ohne Alternative ist. Wo sie zum Einsatz kommt, sind die Bedingungen des Artikels 7 DSGVO konsequent einzuhalten.
Bewahren Sie also dort, wo Einwilligungen unverzichtbar sind, diese gut auf.
Stellen Sie sicher, die Informationspflichten gegenüber Bewerbenden umfassend und korrekt zu erfüllen. Verzichten Sie darauf, deren Empfang mittels Unterschrift oder einer anderen Rechtshandlung bestätigen zu lassen.

Rechtsquellen zum Nachlesen

zur Einwilligung : Art. 6 Abs. 1 lit. a DSGVO und ihre Bedingungen: Art. 7 DSGVO
zu den Grundsätzen der Datenverarbeitung : Art. 5 DSGVO
zur Informationspflicht : Art. 13 und 14 DSGVO

Lösungen zu Einwilligung und datenschutzkonformen Bewerbungsverfahren? Fragen Sie uns.
Webinare, persönliche Beratung, passgenaue Umsetzung. Mit Team Datenschutz sind Sie in Sachen Datenschutz und Informationssicherheit einen Schritt voraus.

Hier gibts den Praxistipp als kostenlosen PDF-Download.

Hat Ihnen der Praxistipp gefallen? Empfehlen Sie ihn weiter!

Tipps & News

Neue Termine: Ausbildung Datenschutzkoordinator/in und Externe/r Datenschutzbeauftragte/r

Neuer Termin ab Juni: Jetzt durchstarten im Datenschutz

Die wichtigsten Grundlagen im Datenschutz

Know-how für Datenschutzbeauftragte

Neue Termine ab Juni 2026

Referent

Neuer Termin für das Seminar „KI-Manager“

Neuer Termin im März: Seminar „KI-Manager – nicht nur für Führungskräfte“

Neue Termine (online)

Referent

Der Datenschutz-Adventskalender 2025

DATSIPrUse und Eberhard sind zurück

24 neue Abenteuer rund um Datenschutz und Cybersicherheit – zum Schmunzeln, Staunen und Dazulernen!

Die Adventszeit ist da!

Datenschutz spielerisch lernen

Jeden Tag ein neues Türchen

Kein Türchen verpassen!

Unser Tipp

Transkription in Videokonferenzen: Datenschutz richtig umsetzen

Der kleine feine Datentipp

Ein Fall aus der Praxis: Wenn das Transkript plötzlich da ist

Warum Transkriptionen in Videokonferenzen rechtlich heikel sind

Datenschutzverstoß durch automatische Transkription – was kann passieren?

Transkription & Datenschutz: 10 wichtige Risiken

Verstoß gegen § 201 StGB – Verletzung der Vertraulichkeit des Wortes

DSGVO-Verstoß durch fehlende Einwilligung oder Zweckbindung

Keine Freiwilligkeit – Gruppendruck macht Einwilligung angreifbar

Fehlende oder unvollständige Dokumentation

Unkontrollierte Speicherung oder KI-Auswertung

Fehlender Eintrag im Verzeichnis der Verarbeitungstätigkeiten

Versäumnis einer DSFA trotz Risikolage

Konflikt mit Betriebsrat oder Compliance-Abteilung

Schaden für das Vertrauensverhältnis

Erhöhtes Risiko bei Betroffenenanfragen oder Prüfungen

10 Tipps für Datenschutz bei Transkriptionen in Videokonferenzen

Tipp Nr. 1: Hinweis auf Transkription bereits in der Einladung

Tipp Nr. 2: Einwilligung einholen – nachweisbar, vorab, freiwillig

Tipp Nr. 3: Alternativen anbieten

Tipp Nr. 4: Transkription beschreiben und dokumentieren

Tipp Nr. 5: Risiken prüfen und DSFA bei Bedarf durchführen

Tipp Nr. 6: Löschkonzept festlegen und technisch umsetzen

Tipp Nr. 7: Verantwortlichkeiten definieren

Tipp Nr. 8: Moderatoren und Systemverantwortliche schulen

Tipp Nr. 9: Regeln zur internen und externen Weitergabe

Tipp Nr. 10: Eine verbindliche Richtlinie zur Transkription aufsetzen

Der Tipp des Tages

Transkription im Online-Meeting: Diese Fragen müssen vorab geklärt sein

Mini-Checkliste: Kernfragen zum Thema Transkription in Webkonferenzen

Fazit: Transkription in Videokonferenzen – sinnvoll, aber nur mit Regeln

Webinar-Reihe: IT-Sicherheit & Datenschutz 2025

Bereit für die neuen Herausforderungen in IT-Sicherheit & Datenschutz?

IT-Sicherheit & Datenschutz 2025: Ihre Webinar-Reihe für den Durchblick

Drei Webinare – Drei zentrale Themen

﻿

KI im Arbeitsalltag

NIS2 & Unternehmenssicherheit

﻿

ISMS & ISO 27001:2022

Sichern Sie sich Ihren Platz – Jetzt anmelden!

10 Tipps für den sicheren Einsatz von Copilot V3.5 in Microsoft 365

Der kleine feine Datentipp

Microsoft Copilot Enterprise vs. Version 3.5

Was bedeutet das in der Praxis?

Praxisbeispiel: Die nicht erkannte Datenpanne

10 Risiken mit Microsoft Copilot Version 3.5

Tipp: Unternehmensrichtlinie zu Microsoft Copilot

Microsoft Copilot und der Datenschutz

10 Tipps für den sicheren Einsatz von Microsoft Copilot

Tipp Nr. 1: Prüfen, welche Copilot-Version verwendet wird

Tipp Nr. 2: Vertrauliche und personenbezogene Daten nicht in Copilot verarbeiten

Tipp Nr. 3: Nutzung von Copilot regeln

Tipp Nr. 4: Mitarbeitende sensibilisieren

Tipp Nr. 5: KI-generierte Inhalte stets überprüfen

Tipp Nr. 6: Datenschutz-Folgenabschätzung (DSFA) durchführen

Tipp Nr. 7: Verträge mit Microsoft prüfen

Tipp Nr. 8: Technische Einschränkungen setzen

Tipp Nr. 9: Regelmäßige Sicherheitsüberprüfungen durchführen

Tipp Nr. 10: Verbindliche Vorgaben

Und hier der absolut heiße Tipp des Tages

Transkription & Datenschutz:
10 wichtige Risiken

Verstoß gegen § 201 StGB – Verletzung der Vertraulichkeit des Wortes

Mensch und Microsoft Copilot.
Wer steuert hier eigentlich wen?

Tipp Nr. 3: Unternehmensrichtlinien zur Nutzung festlegen

Fazit zu Microsoft Copilot in Edge

Copilot in Edge ist mehr als eine nette Spielerei – es ist ein mächtiges Tool, das Datenverarbeitung, Datenschutz und Sicherheit betrifft. Ohne klare Regeln kann es gleichwohl schnell zur ungewollten Datenschutzverletzung führen .

Die Abenteuer gehen weiter
– jetzt das ganze Jahr über!

Datenschutz leicht gemacht
mit DATSIPrUse

Datensicherung und Datenlöschen