Zum Inhalt springen

Blog

Umgang mit Bewer­ber­da­ten aus Datenschutz-Sicht

Wer mit Bewer­bun­gen zu tun hat, der weiß, dar­in sind sehr vie­le per­so­nen­be­zo­ge­ne Daten ent­hal­ten. Und nicht nur die Men­ge ist beacht­lich, auch die Sen­si­bi­li­tät der Daten muss berück­sich­tigt wer­den. Fal­len doch eini­ge der Anga­ben unter die sog. Arti­kel-9-Daten (die beson­de­ren Kate­go­rien per­so­nen­be­zo­ge­ner Daten). Grund genug, für die Ber­li­ner Beauf­trag­te für Daten­schutz und Infor­ma­ti­ons­frei­heit in ihrem Tätig­keits­be­richt 2022 unter 8.2 Löschung von Bewer­ber­da­ten etwas über den Umgang mit Bewer­ber­da­ten zu schreiben.

Umgang mit Bewerberdaten

Irgend­wann ist die Aus­wahl geeig­ne­ter Beset­zun­gen für die aus­ge­schrie­be­nen Posi­tio­nen been­det. Doch was tun mit den ange­fal­le­nen Daten von Bewer­bern? Die­ser Fra­ge geht die Ber­li­ner Lan­des­da­ten­schutz­be­auf­trag­te in ihrem Tätig­keits­be­richt 2022 nach. Kur­ze Zusammenfassung:

  1. Wird die Bewer­bung zurück­ge­zo­gen, sind die Daten unver­züg­lich zu löschen.
  2. Lehnt man einen Bewer­ber ab, kön­nen die Unter­la­gen bis zu sechs Mona­te auf­be­wahrt wer­den zwecks Abwehr mög­li­cher Rechts­an­sprü­che (Rechts­mit­tel­fris­ten des All­ge­mei­nen Gleich­be­hand­lungs­ge­set­zes AGG und des Arbeits­ge­richts­ge­set­zes ArbGG).
  3. Beauf­tra­gung eines Dienst­leis­ters zur Per­so­nal­ge­win­nung zuläs­sig, aber im Zwei­fel eine Auf­trags­ver­ar­bei­tung nach Art. 28 DSGVO.
  4. Wird man ein­ge­stellt, sind alle für das Arbeits­ver­hält­nis nicht not­wen­di­gen Unter­la­gen aus der Bewer­bung zurück­zu­ge­ben bzw. zu löschen.
  5. Eine unbe­grenz­te Spei­che­rung der Bewer­bungs­un­ter­la­gen ist nicht zuläs­sig. Sie wol­len poolen? -> Akti­ve, frei­wil­li­ge und infor­mier­te Einwilligung
  6. Lösch­kon­zept für ana­lo­ge und digi­ta­le Bewer­ber­da­ten mehr als hilfreich.

Sie suchen Unter­stüt­zung im Umgang mit Bewer­ber­da­ten aus Daten­schutz-Sicht für Ihre Orga­ni­sa­ti­on? Spre­chen Sie uns doch ein­fach an. Seit 2007 ste­hen wir Unter­neh­men und Behör­den rund um die The­men Daten­schutz und Infor­ma­ti­ons­si­cher­heit zur Seite.

För­der­mit­tel­au­dit Kom­mu­nal­pro­fil und Basis-Absi­che­rung BSI IT-Grund­schutz für baye­ri­sche Kommunen

Sie sind eine baye­ri­sche Kom­mu­ne? Haben För­der­mit­tel im Rah­men der Richt­li­nie zur För­de­rung von Infor­ma­ti­ons­si­cher­heit des Frei­staats Bay­ern bean­tragt? Sie ste­hen jetzt kurz vor dem Abschluss der Ein­füh­rung eines ISMS auf Basis des sog. Kom­mu­nal­pro­fils oder der Basis-Absi­che­rung des BSI IT-Grund­schutz? Und Sie brau­chen bald als Nach­weis zur Bean­tra­gung der Aus­schüt­tung der För­der­mit­tel den not­wen­di­gen Prüf­nach­weis für die För­der­mit­tel­stel­le? Dann spre­chen Sie uns früh­zei­tig an.

Wir freu­en uns, dass wir baye­ri­schen Kom­mu­nen den not­wen­di­gen Audi­tor bie­ten und das För­der­mit­tel­au­dit auf Basis eines belast­ba­ren und nach­voll­zieh­ba­ren Prüf­sche­mas durch­füh­ren kön­nen. Unter­stützt wird das Audit und die Audit-Doku­men­ta­ti­on durch unser haus­in­ter­nes Audit-Tool, das am Ende einen belast­ba­ren und nach­voll­zieh­ba­ren Audit-Bericht erstellt.

Dabei gibt es jedoch eine klas­si­sche Audit-Regel zu beach­ten: Wer berät, audi­tiert nicht. Wenn Sie also durch uns bei der Ein­füh­rung Ihres ISMS auf Basis des BSI IT-Grund­schutz beglei­tet wur­den, kön­nen wir Sie nicht audi­tie­ren. Das ver­steht sich eigent­lich von selbst. Ger­ne stel­len wir Ihnen aber in die­sem Fall den Kon­takt zu qua­li­fi­zier­ten Audi­to­ren her. Aus­wäh­len müs­sen Sie dann jedoch selbst 🙂

Mehr Infos hier.

Mal eben kurz das Social Net­work scannen

Der Hes­si­sche Daten­schutz- und Infor­ma­ti­ons­frei­heits­be­auf­trag­te (HBDI) hat in sei­nem 51. Tätig­keits­be­richt für das Jahr 2022 ein inter­es­san­tes und auch bei unse­ren Kun­den wie­der­keh­ren­des The­ma auf­ge­grif­fen. Unter der etwas sper­ri­gen Über­schrift “Acti­ve Sourcing zur Gewin­nung von Bewer­be­rin­nen und Bewer­bern” befasst sich der HBDI auf den Sei­ten 156 bis 161 recht aus­führ­lich mit der Fra­ge­stel­lung, ob und inwie­weit Sozia­le Netz­wer­ke wie Lin­ke­dIn oder XING, aber auch das Inter­net an sich zur akti­ven Gewin­nung neu­er Mit­ar­bei­ter durch die Per­so­nal­ab­tei­lung oder Per­so­nal­dienst­leis­ter genutzt wer­den dürfen.

Der Stein des Anstoßes

Eine Beschwer­de­füh­re­rin wand­te sich an den HBDI, da sie ein Schrei­ben eines Per­so­nal­dienst­leis­ters erhielt, in dem sie gemäß Art. 14 DSGVO über die Auf­nah­me ihrer per­so­nen­be­zo­ge­nen Daten in eine Recrui­ting-Daten­bank infor­miert wur­de. Der Dienst­leis­ter stieß über eine Such­ma­schi­ne anhand von Qua­li­fi­ka­ti­ons­kri­te­ri­en und Tätig­keits­an­ga­ben auf die im beruf­li­chen Kon­text betrie­be­ne Web­sei­te der Beschwer­de­füh­re­rin und ent­nahm die­ser die Kon­takt­da­ten (per­so­nen­be­zo­ge­ne Daten). Über die­se Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten infor­mier­te der Dienst­leis­ter mit sei­nem Schrei­ben die Betrof­fe­ne u.a. zu Auf­nah­me ihrer per­so­nen­be­zo­ge­nen Daten zum Zwe­cke der Per­so­nal­ver­mitt­lung in die Daten­bank des Dienst­leis­ters,  die Kon­takt­da­ten des Ver­ant­wort­li­chen sowie des Daten­schutz­be­auf­trag­ten und der Hin­weis auf das mög­li­che Wider­spruchs­recht. Der HBDI prüf­te im Fol­gen­den die Recht­mä­ßig­keit der Ver­ar­bei­tung (Rechts­grund­la­ge) sowie die trans­pa­ren­te und voll­stän­di­ge Ertei­lung der Infor­ma­ti­ons­pflich­ten nach Art. 14 DSGVO.

Um es kurz zu machen: Alles roger! In die­sem kon­kre­ten Fall

Als Rechts­grund­la­ge sieht der HBDI Art. 6. Abs. 1 Buch­sta­be f DSGVO, das sog. “berech­tig­te Inter­es­se” des Per­so­nal­dienst­leis­ters. Bei Gel­tend­ma­chung des berech­tig­ten Inter­es­ses gilt es, durch den Ver­ant­wort­li­chen zu prü­fen, ob nicht die Inter­es­sen des Betrof­fe­nen an einer Nicht-Ver­ar­bei­tung höher wie­gen als die eige­nen Inter­es­sen (sog. Inter­es­sens­ab­wä­gung, die auch zu doku­men­tie­ren ist). Das wirt­schaft­li­che Inter­es­se des Dienst­leis­ters wird in die­sem kon­kre­ten Fall sei­tens des HBDI als höher­wer­tig ange­se­hen. Dies ist jedoch an die Vor­aus­set­zun­gen geknüpft, dass die per­so­nen­be­zo­ge­nen Daten in berufs­be­zo­ge­nen Netz­wer­ken oder auf im beruf­li­chen Kon­text betrie­be­nen Web­sei­ten all­ge­mein zugäng­lich sind, d.h. es kei­ner­lei Zugriffs­be­schrän­kun­gen gibt. Dabei wäre nach unse­rem Dafür­hal­ten auch zu berück­sich­ti­gen, ob bei den Kon­takt­da­ten kei­ne ent­ge­gen­ste­hen­de Aus­sa­gen getrof­fen wer­den wie “Hier­mit wider­spre­che ich der Auf­nah­me mei­ner Kon­takt­da­ten in Recrui­ting-Daten­ban­ken” (oder sinn­ge­mäß ähnlich).

Als Beson­der­heit führt der HBDI den mög­li­chen Fall der Ein­schrän­kung von Nut­zer­pro­fi­len in Netz­wer­ken an. Hier­bei sind die Kon­takt­da­ten des Nut­zers erst nach einer sog. “Ver­net­zung” bzw. Kon­takt­an­fra­ge für den Anfra­gen­den sicht­bar. Der HBDI stellt klar, dass die rei­ne Akzep­tanz einer sol­chen Ver­net­zungs­an­fra­ge noch kei­ne Ein­wil­li­gung in die Auf­nah­me in eine Daten­bank durch den betrof­fe­nen Nut­zer dar­stellt. Viel­mehr muss der Anfra­gen­de in sei­ner Ver­net­zungs­an­fra­ge kon­kret auf den ange­dach­ten Zweck, näm­lich der Kon­takt­auf­nah­me zwecks Erfas­sung der Daten für die Recrui­ting-Daten­bank hin­wei­sen. Eigent­lich logisch, aber sehr gut, dass die­ser Sach­ver­halt noch­mals betont wird.

Infor­ma­ti­ons­pflich­ten nach Art. 14 DSGVO nicht vergessen

Sind auf die­sem Wege per­so­nen­be­zo­ge­ne Daten für die eige­ne Recrui­ting-Daten­bank gewon­nen, gilt es nun, die Infor­ma­ti­ons­pflich­ten nach Art. 14 DSGVO umfäng­lich gegen­über dem Betrof­fe­nen zu ertei­len. Dabei darf das Wider­spruchs­recht nach Art. 14 Abs. 2 Buch­sta­be c DSGVO nicht ver­ges­sen wer­den. Denn nur dann gilt in Ver­bin­dung mit der zuvor genann­ten Vor­ge­hens­wei­se lt. HDBI, “dass Acti­ve Sourcing in Über­ein­stim­mung mit den Bestim­mun­gen des Daten­schut­zes erfol­gen kann.”

Hap­py recruiting!

Früh­jahrs­putz für das Ver­zeich­nis von Ver­ar­bei­tungs­tä­tig­kei­ten (VVT)

Unter dem Titel “Früh­jahrs­putz im Ver­ar­bei­tungs­ver­zeich­nis” hat der Der Baye­ri­sche Lan­des­be­auf­trag­te für den Daten­schutz (kurz BayLfD) eine “Aktu­el­le Kurz­in­for­ma­ti­on” mit der Num­mer 47 in der Rei­he sei­ner Kurz­in­for­ma­tio­nen ver­öf­fent­licht. Auch wenn man mit den inhalt­li­chen Anfor­de­run­gen an ein VVT sei­tens des BayLfD nicht unbe­dingt ein­ver­stan­den sein muss (sie­he auch unse­ren Bei­trag unter https://​bdsg​-exter​ner​-daten​schutz​be​auf​trag​ter​.de/​d​a​t​e​n​s​c​h​u​t​z​/​v​e​r​z​e​i​c​h​n​i​s​-​v​o​n​-​v​e​r​a​r​b​e​i​t​u​n​g​s​t​a​e​t​i​g​k​e​i​t​e​n​-​v​v​t​-​s​i​n​n​v​o​l​l​-​u​n​d​-​p​r​a​k​t​i​s​c​h​-​e​r​s​t​e​l​l​e​n​-​u​n​d​-​e​i​n​s​e​t​z​en/, was man in die­sem Punkt bes­ser machen kann), so ist die Idee den­noch mehr als gut, Pro­zes­se zur Pfle­ge und die Aktua­li­tät des Ver­zeich­nis­ses von Ver­ar­bei­tungs­tä­tig­kei­ten einer Früh­jahrs­kur zu unterziehen.

Die Abschnit­te der Kurz­in­for­ma­ti­on glie­dern sich wie folgt:

  1. Orga­ni­sa­ti­on: Prü­fen und bei Bedarf Fest­zur­ren von Ver­ant­wort­lich­kei­ten und Pro­zes­sen zum Erstel­len des VVT, Pfle­gen bzw. aktu­ell hal­ten des VVT, Mel­den von Ände­run­gen an bestehen­den Ver­ar­bei­tun­gen aber auch von nicht mehr vor­han­de­nen Ver­ar­bei­tun­gen: Hier­bei soll­te jedoch nicht nur auf die schrift­li­che Rege­lung hier­zu geach­tet wer­den. Die­se muss zwar auch aktu­ell sein, womit der BayLfD voll­kom­men rich­tig liegt. Aber noch viel wich­ti­ger ist, dass die­se Rege­lun­gen dann auch nicht nur auf dem Papier exis­tie­ren, son­dern mit Leben erfüllt wer­den. Fra­ge daher also: “Wer­den die doku­men­tier­ten Pro­zes­se auch tat­säch­lich ange­sto­ßen und durchlaufen?”
  2. Die Ver­zeich­nis­ein­trä­ge an sich prü­fen: Sind die­se aktu­ell? Sind alle neu­en Ver­ar­bei­tun­gen ent­hal­ten? Wur­den bis­he­ri­ge Ver­än­de­run­gen gemel­det und ein­ge­pflegt? Wur­den been­de­te Ver­ar­bei­tun­gen gemel­det und ent­fernt? Im Zwei­fel ist seit der erst­ma­li­gen Erstel­lung im Rah­men der DSGVO etwas Zeit ver­gan­gen und die Ein­trä­ge sind etwas ange­staubt. Prü­fen ist bes­ser als dar­auf ver­trau­en, dass Ver­än­de­run­gen schon irgend­wie an den DSB gemel­det wurden.
  3. Syn­er­gien heben: Scha­de, dass der BayLfD hier die Syn­er­gien z.B. zur Infor­ma­ti­ons­si­cher­heit nicht damit gemeint bzw. die­se nicht inklu­diert hat. Aber auch so ist der Punkt sehr wich­tig, denn zahl­rei­che wei­te­re Auf­ga­ben im Daten­schutz für die ver­ant­wort­li­che Stel­len sind nur mit einem aktu­el­len VVT zu bewäl­ti­gen. Das beginnt mit der rich­ti­gen und voll­stän­di­gen Bear­bei­tung von Betrof­fe­nen­rech­ten, geht über eine Lis­te aktu­el­ler Auf­trags­ver­ar­bei­ter wei­ter und hört mit den Anga­ben zu den Infor­ma­ti­ons­pflich­ten aus Art. 13, 14 DSGVO noch lan­ge nicht auf.

Iro­ni­scher­wei­se gibt es noch einen vier­ten Abschnitt “Fol­gen feh­len­der Aktua­li­tät”.  Bekann­ter­ma­ßen sind öffent­li­che Stel­len im Rah­men der Lan­des­da­ten­schutz­ge­set­ze von spür­ba­ren, sprich schmerz­haf­ten Kon­se­quen­zen bei Miß­ach­tung der Daten­schutz­rechts­vor­schrif­ten aus­ge­nom­men. Aber viel­leicht hilft ja auch der Hin­weis auf den erho­be­nen Zei­ge­fin­ger aus Mün­chen “Du, Du, Du! Du sollst Dich doch an die DSGVO und das BayDSG halten” 🙂

Aber ganz unge­ach­tet des­sen, ob es sich bei der eige­nen Orga­ni­sa­ti­on um eine öffent­li­che oder nicht-öffent­li­che Stel­le han­delt: Wie aktu­ell ist ihr VVT?

Kalen­der-Ein­la­dun­gen zu Bewer­bungs­ge­sprä­chen z.B. in Outloook

Im Tätig­keits­be­richt für das Jahr 2021 hat das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht (kurz BayL­DA) — exter­ner Link: https://​www​.lda​.bay​ern​.de/​m​e​d​i​a​/​b​a​y​l​d​a​_​r​e​p​o​r​t​_​1​1​.​pdf — ein inter­es­san­tes The­ma aus dem Arbeits­all­tag einer jeden Orga­ni­sa­ti­on beleuch­tet. Näm­lich den Umgang mit Bewer­ber­da­ten im Rah­men der Orga­ni­sa­ti­on von Bewer­bungs­ge­sprä­chen. An Bewer­ber­ge­sprä­chen neh­men in den meis­ten Orga­ni­sa­tio­nen nor­ma­ler­wei­se meh­re­re Per­so­nen teil. Eine Ter­min­ein­la­dung über Out­look oder ver­gleich­ba­re Tools bringt die not­wen­di­gen inter­nen Per­so­nen und den /​ die Bewer­ber zum rich­ti­gen Zeit­punkt an den Tisch. Was dabei aus Sicht des BayL­DA so alles aus Sicht des Daten­schut­zes schief­ge­hen kann, fin­det sich ab Sei­te 50 des TB 2021 (oben verlinkt).

Ter­min­ver­ein­ba­run­gen mit Bewer­bern via (Out­look-) Kalendereinladung

Bewer­ber­ma­nage­ment benö­tigt unter ande­rem Ter­mi­ne für die Vor­stel­lungs­ge­sprä­che. Aktu­el­le Kol­la­bo­ra­ti­ons­tools wie z.B. Out­look ver­wal­ten die Ter­mi­ne für die nöti­gen Bewer­bungs­ge­sprä­che samt der dazu­ge­hö­ri­gen Ein­la­dun­gen an die dafür not­wen­di­gen Per­so­nen im Kalen­der der orga­ni­sie­ren­den Per­so­nal­ab­tei­lung aber auch der Teil­neh­mer. Die Ein­tra­gun­gen ent­hal­ten für gewöhn­lich den Namen des Bewer­bers oder der Bewer­be­rin und zumeist Anga­ben zu der Stel­le, auf die sich das Bewer­bungs­ge­spräch bezieht. In man­chen Fäl­len kom­men noch wei­te­re Infor­ma­tio­nen hin­zu. Gele­gent­lich sind zur Infor­ma­ti­ons­ver­tei­lung sogar noch­mals die Bewer­bungs­un­ter­la­gen beigefügt.

Kalen­der-Ein­tra­gun­gen gera­ten schnell zum Datenschutz-Problem

Das BayL­DA hat kei­ne Pro­ble­me damit, dass der Name des Bewer­bers im Kalen­der und in der Ein­la­dung ste­hen. Es hat auch nichts dage­gen, dass das Stich­wort „Bewer­bungs­ge­spräch“ ent­hal­ten ist. Bei allem, was dar­über hin­aus­geht, sieht das BayL­DA jedoch fol­gen­de daten­schutz­recht­li­che Pro­ble­me bzw. Anforderungen

Ein­ge­schränk­ter Zugriff auf die Daten des Bewer­bers (Ver­trau­lich­keit) und Ein­hal­tung eines geeig­ne­ten Lösch­kon­zepts müs­sen sicher­ge­stellt sein

Orga­ni­sa­tio­nen dür­fen Daten von Per­so­nen, die sich bewer­ben, nur an einem Spei­cher­ort spei­chern, der dazu aus der Sicht des Daten­schut­zes geeig­net ist. Dafür muss die­ser Spei­cher­ort zumin­dest zwei Kri­te­ri­en genügen:

  • Es muss ein Zugriffs­kon­zept vor­han­den sein. Es muss also genau defi­niert sein, wer auf die Daten zugrei­fen kann. Der Kreis der Zugriffs­be­rech­tig­ten muss auf ein Min­dest­maß beschränkt sein.
  • Es muss fest­ste­hen, wann und wie gespei­cher­te Daten des Bewer­bers wie­der gelöscht wer­den. Sie dür­fen nur so lan­ge gespei­chert wer­den, wie das erfor­der­lich ist. Auch die­ses Prin­zip ist im Daten­schutz nicht neu.

Bei Kalen­der-Ein­trä­gen und geteil­ten Kalen­ders ist bei­des oft schwierig

Wich­tig dabei: Die­se Kon­zep­te soll­ten nicht nur auf dem Papier vor­han­den sein, son­dern auch — beleg- und nach­voll­zieh­bar — gelebt wer­den. Nicht ganz zu Unrecht kom­men­tiert das BayL­DA dazu, dass “die bei­den zuvor genann­ten Kri­te­ri­en bei Kalen­der­nut­zun­gen in den meis­ten Anwendungsfällen der Pra­xis nicht erfüllt wer­den.” Dies schei­tert zumeist schon an den übli­chen Ver­tre­tungs­re­ge­lun­gen für Mail-Post­fä­cher und Kalen­der. Sie füh­ren dazu, dass immer wie­der auch sol­che Mit­ar­bei­ter  auf Daten Zugriff haben, die über­haupt nicht an Bewer­bungs­ge­sprä­chen betei­ligt sind.

Out­look und ande­re Tools ver­lei­ten zu groß­zü­gi­gen Zugriffsregelungen

Sol­che Kalen­der­frei­ga­ben sind viel­fach sehr groß­zü­gig aus­ge­stal­tet. Das soll Ter­min­pla­nun­gen unter meh­re­ren Betei­lig­ten erleich­tern, was ja durch­aus prak­tisch ist. Es kann aber auch dazu füh­ren, dass Mit­ar­bei­ter Zugriff auf Kalen­der­da­ten haben, obwohl es nicht erfor­der­lich wäre. Das­sel­be gilt bei Grup­pen­post­fä­chern, auf die meh­re­re Per­so­nen Zugriff haben.

Kon­se­quenz des BayL­DA: Ergän­zen­de Unter­la­gen gehö­ren nicht in Outlook-Kalender

Vor die­sem Hin­ter­grund sieht es das BayL­DA sehr kri­tisch, wenn Bewer­bungs­un­ter­la­gen, Gesprächs­no­ti­zen und Vor­be­rei­tungs­ver­mer­ke für ein Bewer­bungs­ge­spräch im Out­look-Kalen­der gespei­chert wer­den. Sie gehö­ren dort nicht hin, son­dern viel­mehr in die Obhut der Stel­le, die für Per­so­nal­an­ge­le­gen­hei­ten der Orga­ni­sa­ti­on zustän­dig ist. Die­se kann bei kon­kre­tem Bedarf den Per­so­nen einen Zugriff ein­räu­men, die am Bewer­bungs­ver­fah­ren mit­wir­ken müssen.

Die Löschung aller Daten muss sicher­ge­stellt sein (Lösch­kon­zept)

Beson­de­ren Wert legt das BayL­DA auf die ord­nungs­ge­mä­ße Löschung der Daten nach dem Abschluss eines Bewer­bungs­ver­fah­rens. Dabei sieht es durch­aus, dass auch dann noch ein Zugriff auf Bewer­ber­da­ten erfor­der­lich sein kann. Das gilt etwa, wenn Berichts­pflich­ten der Orga­ni­sa­ti­on z.B. gegen­über der Agen­tur für Arbeit bestehen.

Vor­sicht Fal­le: Der Aus­kunfts­an­spruch von Bewer­bern geht sehr weit

In der Pra­xis soll­te man sich die Fra­ge stel­len, ob man nicht sogar auf den Namen des Bewer­bers im Out­look-Kalen­der ver­zich­ten soll­te. Denn es kommt immer wie­der vor, dass ein Bewer­ber Aus­kunfts­an­sprü­che nach Art. 15 DSGVO gel­tend macht. Dies ist beson­ders häu­fig, wenn jemand die Stel­le nicht bekom­men hat und bei­spiels­wei­se behaup­tet, das lie­ge an einer Dis­kri­mi­nie­rung sei­ner Per­son. Vie­le Juris­ten sind der Auf­fas­sung, dass sich der Aus­kunfts­an­spruch dann auch auf die Ein­tra­gun­gen im Out­look-Kalen­der erstreckt.

Der Auf­wand, der dadurch ent­steht, ist erheb­lich. Die Orga­ni­sa­ti­on muss näm­lich den gesam­ten Out­look-Kalen­der durch­su­chen las­sen. Außer­dem ist unter Umstän­den eine Abfra­ge dazu erfor­der­lich, wel­che Mit­ar­bei­ter Ein­tra­gun­gen dar­aus über­nom­men und lokal abge­spei­chert haben. Dies alles lässt sich ver­mei­den, wenn der Name des Bewer­bers nicht in den Out­look-Kalen­der auf­ge­nom­men wird.

Fazit: Struk­tur und orga­ni­sa­ti­ons­wei­te Rege­lung notwendig

Im Rah­men eines struk­tu­rier­ten Bewer­bungs­pro­zes­ses soll­te jede Orga­ni­sa­ti­on die­se Aspek­te bereits berück­sich­ti­gen und ver­bind­li­che Vor­ge­hens­wei­sen fest­schrei­ben. Das erleich­tert eine ein­heit­li­che und ver­ein­fach­te Vor­ge­hens­wei­se gegen­über der Metho­de “Jeder macht, was er will” 🙂

Der böse Daten­schutz mal wie­der. Ups, ist ja doch das UWG (Gesetz gegen den unlau­te­ren Wettbewerb)!

Nicht erst seit Mai 2018 und dem Wirk­sam­wer­den der DSGVO hör­te man das Jam­mern ver­schie­de­ner Wer­be­trei­ben­der, man dür­fe ja eigent­lich gar kei­ne Wer­bung mehr machen wegen die­ses blö­den Daten­schut­zes. Oder noch fata­lis­ti­scher: “Dann kann ich mei­nen Ver­trieb gleich ent­las­sen und den Laden dicht­ma­chen!”. Gut. Das kann man so sehen, ist aber halt unrichtig 🙂

Wenn man jede Art von gesetz­li­chem Ver­bot in den gro­ßen und bei den meis­ten auch unde­fi­nier­ten Sam­mel­topf Daten­schutz wirft, dann mag die­ser Trug­schluss nahe lie­gen. Schließ­lich ist Daten­schutz auch am schlech­ten Wet­ter schuld oder dar­an, dass ver­un­fall­te Men­schen auf der Stra­ße lie­gen blei­ben müs­sen und weder vom Not­arzt noch dem Kran­ken­haus nach Ein­lie­fe­rung behan­delt wer­den kön­nen, “weil Daten­schutz” — wie sich ein Ver­tre­ter der medi­zi­ni­schen Lob­by-Zunft letz­tes Jahr hef­tig dane­ben geäu­ßert hat. Kann man alles so sehen, ist aber halt am Ende doch falsch. Wäh­rend man die ers­te Aus­sa­ge noch humor­voll sport­lich neh­men kann, zeugt die zwei­te Aus­sa­ge — wie vie­le ande­re zum The­ma Daten­schutz — von einem hohen Maß von Unkennt­nis oder schlim­mer von beab­sich­tig­ter Igno­ranz der Sach­la­ge. Doch zurück zum ver­meint­li­chen Wer­be­ver­bot durch den bösen Datenschutz.

Rele­van­ter Side­kick: Das Gesetz gegen den unlau­te­ren Wett­be­werb, kurz UWG

Da gibt es seit eini­gen Jah­ren ein Gesetz mit dem Ziel, Mit­be­wer­ber von Unter­neh­men, die Ver­brau­cher (“Betrof­fe­ne” im Sin­ne des Daten­schut­zes) und die All­ge­mein­heit (Drei­glied­rig­keit des Schutz­zwe­ckes) vor einer unge­rech­ten Wett­be­werbs­ver­zer­rung bei­spiels­wei­se durch irre­füh­ren­de Wer­bung zu schüt­zen. New­co­mer im Wer­be­be­reich mögen nun dem Irr­glau­ben anheim­fal­len, das UWG gäbe es erst seit der Ent­ste­hung sozia­ler Netz­wer­ke oder — deut­lich frü­her — dem Zeit­punkt, als das Medi­um Email welt­weit mas­sen­taug­lich leicht ver­füg­bar und zugäng­lich wur­de (Stich­wor­te “Bin ich schon drin?” und AOL-CD). Aber das UWG hat dann doch noch mal ein paar Jähr­chen mehr auf dem Buckel. Es datiert auf das Jahr 1896 und  wur­de seit­her nach Bedarf immer wie­der mal novelliert.

Nun, auch kein Wun­der, dass die meis­ten Gerich­te mitt­ler­wei­le davon aus­ge­hen, dass nach fast 130 Jah­ren die Inhal­te und Sach­ver­hal­te des UWG durch­aus bei den Wer­be­trei­ben­den bekannt sein könn­ten und das auch in ihre Urtei­le ein­flie­ßen las­sen 🙂 Natür­lich zu Las­ten der­je­ni­gen, die das UWG nicht ganz so ernst neh­men oder mehr für eine Emp­feh­lung halten.

Jetzt ist das UWG, wie jedes ande­re Gesetz kei­ne ein­fa­che Fei­er­abend­lek­tü­re (außer für Anwäl­te und Rich­ter viel­leicht). Und von daher macht es durch­aus Sinn, sich mit Kom­men­ta­ren oder aktu­el­len Gerichts­ur­tei­len aus­ein­an­der­zu­set­zen, um die Anfor­de­run­gen und Wirk­wei­se zu bes­ser zu ver­ste­hen. Aber eins lässt sich sofort und für jeden her­aus­le­sen: Ein­fach Wer­bung [mög­lichst noch als digi­ta­le Mas­sen­aus­sendung] an alle poten­ti­el­len Adres­sa­ten raus­hau­en, deren Daten man irgend­wo im Inter­net gefun­den oder aus alten haus­in­ter­nen Daten­ban­ken her­vor­ge­klaubt hat, ist eben nicht ein­fach so mög­lich bzw. schnell ein Rechts­ver­stoß. Und es gibt bei allen Wer­be­ka­nä­len wie Tele­fon, SMS, Fax, Email oder Post eini­ge Fal­len, in die ger­ne immer wie­der mal getappt wird. Und ja, das steht im UWG (der Stein des Ansto­ßes ist dort meist der § 7 UWG). Mit­nich­ten sind die DSGVO oder das BDSG schuld. Sowas aber auch!

“Ja, aber mit der DSGVO wur­de das alles noch viel här­ter gere­gelt für uns Wer­be­trei­ben­de!”. — “Noch­mal: Nö :-)” (Ja, das wird zum Man­tra die­ses Beitrags)

Bit­te beach­ten Sie, dass wir mit die­sem Bei­trag einen all­ge­mei­nen Über­blick geben möch­ten. Die­ser erhebt kei­nen Anspruch auf Voll­stän­dig­keit und stellt auch kei­ne recht­li­che Bera­tung dar. Der Bei­trag ersetzt kei­nes­falls die Bera­tung durch einen Rechts-/Fach­an­walt. Weder für die Rich­tig­keit noch Voll­stän­dig­keit der Anga­ben kön­nen wir daher eine Haf­tung über­neh­men. Eine abschlie­ßen­de Rechts­be­ra­tung ist allein der Rechts­an­walt­schaft vor­be­hal­ten. Und da es im UWG schnell unwit­zig und teu­er wird, soll­ten Sie sich stets anwalt­lich bera­ten las­sen, bevor das Kind in den Brun­nen gefal­len ist. Doch schau­en wir uns ein­fach mal ein paar Bei­spie­le an.

Wer­bung per ana­lo­ger Briefpost

Fan­gen wir mit den guten Nach­rich­ten an: Wer­bung per Brief­post ist grund­sätz­lich erst mal erlaubt. Aus­nah­me: Der Emp­fän­ger hat Ihnen gegen­über direkt wider­spro­chen oder steht z.B. auf der sog. “Robin­son­lis­te”. Und ja, es gibt ihn noch, den klas­si­schen Brief in Papierform 🙂

Klin­geln an der Haustür

Auch die klas­si­schen Ver­tre­ter­be­su­che sind ein mög­li­cher Wer­be­ka­nal. Aus­nah­me auch hier: Der zu Besu­chen­de hat sich gegen Besu­che gene­rell bzw. gegen zukünf­ti­ge Besu­che gegen­über dem Wer­ben­den aus­ge­spro­chen. Und sofern an der Tür bzw. Klin­gel­an­la­ge ein Hin­weis der Art “Ver­tre­ter­be­su­che nicht erwünscht” prangt, soll­te die­ser auch ernst genom­men wer­den. Dabei kommt es nicht auf den zuvor genann­ten Wort­laut an. Ist ersicht­lich, dass Wer­be­be­su­che nicht erwünscht sind, ist das zu respektieren.

Wir haben die­sen Hin­weis auch schon in Impres­sums­an­ga­ben auf Unter­neh­mens­web­sei­ten gele­sen. Soll­ten Sie Ihr Adress­ma­te­ri­al für die Kalt­ak­qui­se über die­sen Kanal erho­ben haben, wür­den wir eine Beach­tung eben­falls nahelegen.

Das gute alte Telefon

“Na, dann ruf ich dort eben an. Schließ­lich steht deren Tele­fon­num­mer auf der Web­sei­te und /​ oder im Tele­fon­buch. Wer nicht ange­ru­fen wer­den will zu Wer­be­zwe­cken, darf da halt sei­ne Ruf­num­mer nicht ver­öf­fent­li­chen!” — “Kann man so machen, wird aber unangenehm :-)”

So gehört z.B. die Tele­fon­num­mer zu den Pflicht­an­ga­ben im Impres­sum. Und das sicher nicht, weil der Gesetz­ge­ber damit sicher­stel­len möch­te, dass poten­ti­el­le Wer­be­trei­ben­de die Ruf­num­mer leich­ter aus­fin­dig machen kön­nen. Nur mal so als Denkanstoß 🙂

Gene­rell gilt erst mal: Wer­be­an­ru­fe am Tele­fon sind ver­bo­ten, außer es liegt vor­her (kann man nicht fett genug her­vor­he­ben) eine Wer­be­ein­wil­li­gung des Anzu­ru­fen­den vor. Bit­te nicht ver­wech­seln mit der Daten­schutz-Ein­wil­li­gung, auch wenn bei­des durch­aus ver­knüpft wer­den kann. Die Beto­nung liegt hier auf vor­her. Es gab näm­lich auch schon das eine oder ande­re Cle­ver­le, dass ange­ru­fen hat, um zu fra­gen, ob man zukünf­tig zu Wer­be­zwe­cken anru­fen darf. Qua­si vor­ab am Tele­fon durch einen Anruf die Ein­wil­li­gung für Tele­fon­wer­bung einholen.

Nun, kann man machen, ist aber dann .… Also hal­ten wir ein­fach kurz fest: “Cold call nix gut”.

Für Unter­neh­men, die ande­re Unter­neh­men zu Wer­be­zwe­cken anru­fen wol­len, gibt es jedoch eine klei­ne Erleich­te­rung. Aber die­se ist kein gene­rel­ler Frei­brief und es gilt, die Rah­men­be­di­nun­gen dafür mög­lichst kon­se­quent ein­zu­hal­ten. Die Rede ist von der sog. “mut­maß­li­chen Ein­wil­li­gung”, die man als Anru­fer erst mal annimmt. Die­se ist aber nur denk­bar, wenn die bewor­be­nen Pro­duk­te und Leis­tun­gen dem Kern­ge­schäft des Ange­ru­fe­nen die­nen. In der Recht­spre­chung wird dabei meist auch vor­aus­ge­setzt, dass vor­her bereits irgend­ein Kon­takt bestan­den hat. Dies kann durch ein frü­he­res Ver­trags­ge­schäft, aber auch durch einen Kon­takt auf einer Mes­se o.ä. erfolgt sein.

Anruf bei End­ver­brau­chern? Puh. Sor­gen Sie bit­te im eige­nen Inter­es­se dafür, dass Sie dafür eine kor­rek­te Wer­be­ein­wil­li­gung nach­wei­sen kön­nen. Bei die­ser Wer­be­ein­wil­li­gung sind bei der zwangs­läu­fi­gen Nut­zung von per­so­nen­be­zo­ge­nen Daten dann auch die Anfor­de­run­gen der DSGVO an eine infor­mier­te und frei­wil­li­ge Ein­wil­li­gung zu beachten.

“Hah, doch der Daten­schutz schuld.” — “Nö.”

Denn in den meis­ten Fäl­len schei­tert es bereits an den Anfor­de­run­gen des UWG, bevor in zwei­ter Stu­fe mög­li­che Anfor­de­run­gen aus Sicht des Daten­schut­zes zum Tra­gen kom­men. Lei­der wie­der nix mit “Der Daten­schutz ist schuld! Not sorry!”

“Und nein, da hat sich durch die DSGVO auch nix geän­dert. Ja, isso!”

Neben den zuvor genann­ten Cle­ver­les gibt es aber auch noch die Schlau­mis. Die rufen mit unter­drück­ter Ruf­num­mer an. Mensch, wie­so ist da nicht schon mal vor­her jemand dar­auf gekom­men? Denn dabei sieht der Ange­ru­fe­ne nicht, wel­che Ruf­num­mer ver­wen­det wur­de. So ist man ganz toll ver­steckt und nie­mand kommt dem unzu­läs­si­gen Wer­be­an­ru­fer auf die Schli­che. Für die tech­nisch weni­ger Ver­sier­ten: Doch. Denn in den Ver­mitt­lungs­stel­len wird die Num­mer des anru­fen­den Anschluss­ses doch pro­to­kol­liert. Nur die Anzei­ge am End­ge­rät des Ange­ru­fe­nen wird damit unter­drückt. Man ist dann durch­aus mit einem Ord­nungs­geld bis zu 300.000 Euro dabei. Okay, auch da gibt es noch wei­te­re Tricks, aber dazu braucht man schon eine gewis­se Por­ti­on an kri­mi­nel­ler Energie.

“Again what learned”.

Ok, wenn Brief­post erlaubt ist, dann mach ich halt Email-Mar­ke­ting. Da wird ja wohl das sel­be gelten.

Oder anders aus­ge­drückt: “Wir haben ein Bin­go”. Nur lei­der nicht in der vom Wer­be­trei­ben­den gewünsch­ten Art. Denn laut dem jetzt schon mehr­fach zitier­ten Gesetz gegen unlau­te­ren Wett­be­werb darf Wer­bung per Email nur dem­je­ni­gen geschickt wer­den, der dazu aus­drück­lich sei­ne Ein­wil­li­gung erteilt hat. Und die­se Ein­wil­li­gung muss den sel­ben Anfor­de­run­gen genü­gen, wie schon zuvor beschrie­ben. Und dazu jeder­zeit beleg­bar sein.

“Na toll, da hat uns die DSGVO ja ganz schön was ein­ge­brockt.” — “Mit­nich­ten. Das regel­te das UWG schon zu Zei­ten wei­ter vor der DSGVO so.”

Aber eine klei­ne Erleich­te­rung gibt es auch hier. Die­se Ein­wil­li­gung kann gemäß § 7 Absatz 3 UWG ent­fal­len, wenn

  • der Wer­be­trei­ben­de die Email-Adres­se im Zusam­men­hang mit dem Ver­kauf einer Ware oder Dienst­leis­tung von dem Kun­den erhal­ten hat UND
  • er spä­ter nur für eige­ne, ähn­li­che Waren oder Dienst­leis­tun­gen wirbt UND
  • der Kun­de der Ver­wen­dung nicht wider­spro­chen hat UND
  • er den Kun­den schon bei der ers­ten Erhe­bung der Adres­se und auch bei jeder Ver­wen­dung klar und deut­lich dar­auf hin­ge­wie­sen hat, dass er der Ver­wen­dung jeder­zeit für die Zukunft wider­spre­chen kann, ohne dass hier­für ande­re als die Über­mitt­lungs­kos­ten nach den Basis­ta­ri­fen entstehen.”

Die­ses UND kann ganz schön ner­ven, ist aber in dem Zusam­men­hang echt wich­tig. Es müs­sen näm­lich wirk­lich alle 4 Bedi­nun­gen erfüllt sein und nicht nur 1, 2 oder 3 (Grü­ße von Micha­el Schan­ze).

Life hacks

Sinn­vol­ler­wei­se schafft man die Vor­aus­set­zun­gen für spä­te­re Wer­be­ak­tio­nen bereits zum Zeit­punkt des Erst­kon­takts. Das lässt sich zwar für Alt­da­ten nur schwer rechts­kon­form nach­ho­len, aber für die Zukunft kann man es ja bes­ser machen. Stich­wort ler­nen­de Orga­ni­sa­ti­on.

Auch die­se “Wie zufrie­den waren Sie mit uns?”-Mails wur­den bereits mehr­fach gericht­lich als Wer­bung ein­ge­stuft. Char­man­te Idee. Aber dün­nes Eis, die­se als Auf­hän­ger zu nehmen.

“Dann machen wir halt Berech­tig­tes Inter­es­se nach Art. 6 Abs. 1 Buch­sta­be f DSGVO” rufen die cle­ve­ren Ober­schlau­mis. “Steht ja schließ­lich so auch in der Ori­en­tie­rungs­hil­fe Direkt­mar­ke­ting der DSK!” Ja, da steht aber auch dabei, dass dies nur für pos­ta­li­sche Wer­bung grei­fen kann. 😉

Wenn auch aus 2020, so fin­den Sie in der Prä­sen­ta­ti­on der Kanz­lei Dr. Bahr eine leicht ver­ständ­li­che Dar­stel­lung rele­van­ter Urtei­le und deren prak­ti­schen Aus­wir­kun­gen für Wer­be­maß­nah­men. Auch die DSK (Daten­schutz­kon­fe­renz) hat sich zum The­ma Direkt­mar­ke­ting und auch  zu den Anfor­de­run­gen an Wer­be­ein­wil­li­gun­gen im Daten­schutz-Kon­text geäu­ßert. Als Ori­en­tie­rungs­hil­fe erst mal nicht verkehrt

Nur weil Sie mal mit jeman­dem per Email Kon­takt hat­ten, stellt das noch kei­ne wirk­sa­me Ein­wil­li­gung in die Auf­nah­me Ihres News­let­ters dar. “Nein?!” — “Doch” — “Oh”.

Übri­gens ist auch die Reak­ti­on eines Auto­re­spon­ders in der Art “Ich bin dann mal bis zum xx.xx.xxxx nicht im Büro” auf die Fra­ge “Dür­fen wir Sie in unse­ren Email-Ver­tei­ler auf­neh­men?” kei­ne Zustim­mung /​ Ein­wil­li­gung 🙂 Alles schon vor­ge­kom­men und im Zwei­fel gericht­lich geklärt.

“Und das alles nur wegen der DSGVO, super!” -> Wir emp­feh­len, den Arti­kel noch mal von vor­ne zu lesen 🙂

Mal in ein paar Urtei­len stöbern?

Der geschätz­te Mar­tin Rät­ze hat hier ein Urteil des BGH aus 2009 vor­ge­stellt. Eine ein­zi­ge Wer­be­mail reicht schon aus für Unge­mach. Und wie Chris­ti­an Sol­me­cke von WBS Law aus­führt, hat im sel­ben Jahr eben­falls der BGH klar­ge­stellt, dass eine Email im Impres­sum kei­ne Wer­be­ein­wil­li­gung dar­stellt. Wie­so man bei News­let­ter-Anmel­dun­gen nicht mehr als die Mail-Adres­se zum Pflicht­feld machen soll­te, erklärt Dr. Mar­tin Schirm­ba­cher in die­sem Bei­trag. Die Such­ma­schi­nen sind voll von wei­te­ren Urtei­len rund um das The­ma Wer­bung. Viel Spaß beim Stöbern.

Kur­zes Fazit

Rechts­kon­for­me Wer­bung ist mach­bar. Aber mög­li­cher­wei­se ist das nicht ganz so tri­vi­al, wie der eine oder ande­re mög­li­cher­wei­se annimmt. Vie­les mag einem als Wer­be­trei­ben­den auch unge­recht erschei­nen. In dem Fall soll­te man sich bei all denen bedan­ken, die es bis­her bei Wer­bung ein­fach über­trie­ben haben. Irgend­wann reagie­ren sowohl der Gesetz­ge­ber als auch Gerich­te und zie­hen die Dau­men­schrau­ben enger an. Die viel­fäl­ti­gen Wer­be-Mög­lich­kei­ten und Kanä­le las­sen sich auch nicht immer 1:1 abbil­den. Dazu gibt es zahl­rei­che Spe­zi­al­fäl­le, Aus­nah­men und Beson­der­hei­ten. Und ab und zu über­holt sich auch der eine oder ande­re Aspekt schnel­ler, als man es nie­der­schrei­ben kann. Von daher wen­den Sie sich bit­te immer an Ihren juris­ti­schen Bei­stand für Wer­be­an­ge­le­gen­hei­ten. Fire and for­get ist im Kon­text von Wer­bung nicht immer der bes­te Ansatz, außer Sie haben die Kos­ten für Abmah­nun­gen etc. bereits von vorn­her­ein ein­ge­plant und sind sich sicher, dass die aus der Wer­bung gene­rier­ten Zusatz­ein­nah­men höher sein wer­den. Damit wird Ihre Wer­be­maß­nah­me aber nicht rechts­kon­form, nur “bezahlt” 😉

Und übri­gens: Der Daten­schutz ist nicht schuld 🙂 Sor­ry, das muss­te sein.

Save the date: BVS ISB Boot Camp Gun­zen­hau­sen 28.–29.03.2023

Nicht nur für akti­ve Infor­ma­ti­ons­si­cher­heits­be­auf­trag­te inter­es­sant. Und nach­dem es die Pan­de­mie-Umstän­de zulas­sen, die­ses Jahr wie­der als 2‑tägige Vor-Ort-Veranstaltung:

ISB Boot Camp 2023 in Gun­zen­hau­sen am 28.03. und 29.03.2023

Infor­ma­ti­ons­si­cher­heits­be­auf­trag­te, IT-Sicher­heits­be­auf­trag­te, aber auch Daten­schutz­be­auf­trag­te und IT-Lei­ter tref­fen sich zum Erfah­rungs­aus­tausch und Netz­wer­ken rund um aktu­el­le The­men der Infor­ma­ti­ons­si­cher­heit, der IT-Sicher­heit und des Daten­schut­zes. Dabei geht es nicht nur um aktu­el­le Bedro­hungs­la­gen, son­dern auch Lösun­gen aus der Pra­xis, um die­sen best­mög­lich zu begeg­nen. Tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men, sowie prag­ma­ti­sche Lösungs­an­sät­ze, die sich im All­tag bewährt haben, ste­hen im Vor­der­grund der Ple­nums­bei­trä­ge und zahl­rei­chen Work­shops. Als Refe­ren­ten konn­ten zahl­rei­che akti­ve Infor­ma­ti­ons­si­cher­heits­be­auf­trag­te aus Kom­mu­nal­ver­wal­tun­gen und Unter­neh­men gewon­nen wer­den, die ger­ne ihre Erfah­run­gen tei­len und sich freu­en, mit den Teil­neh­mern in inter­es­san­te Dis­kus­sio­nen einzutreten.

Auch das Lan­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik Bay­ern, kurz LSI ist wie­der mit von der Par­tie im dies­jäh­ri­gen ISB Boot Camp und stellt inter­es­san­te The­men vor. Dane­ben besteht natür­lich auch die Mög­lich­keit des direk­ten Aus­tauschs mit Mit­ar­bei­tern des LSI wäh­rend der gan­zen Veranstaltung.

Durch aus­rei­chen­de Pau­sen und auch im Zuge des Abend­pro­gramms am 28.02. steht allen Teil­neh­mern aus­rei­chend Zeit und Mög­lich­keit zum Erfah­rungs­austauch und Netz­wer­ken zur Verfügung.

Natür­lich dreht sich viel um tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men im All­tag der Infor­ma­ti­ons­si­cher­heit und des Daten­schut­zes. Aber auch stra­te­gi­sche The­men mit Blick nach vor­ne kom­men nicht zu kurz (Aus­zug):

  • ISMS — Wo geht die (bay­ri­sche) Rei­se hin?
  • Aus der Pra­xis eines Infor­ma­ti­ons­si­cher­heits­be­auf­trag­ten von 60 Kleinorganisationen
  • Tech­ni­sches Know-How für Infor­ma­ti­ons­si­cher­heits- und Datenschutzbeauftragte
  • Das ISMS /​ die TOM über­prü­fen — Per­mis­si­on rights reviews, Pene­tra­ti­ontests, inter­ne Audits, Flo­or­walks, wei­te­re Kennzahlen
  • ChatGPT und mög­li­che Aus­wir­kun­gen auf die Informationssicherheit
  • Win­dows Sup­port Anru­fe — wie ein Social Engi­neer in die Fal­le gelockt wurde
  • Schwach­stel­len­ma­nage­ment mit Tools in der Praxis
  • Low bud­get Phishingkampagne
  • Aktu­el­le Bedrohungslage
  • und immer wie­der ver­blüf­fend: Live Hacking

Die Agen­da des ISB Boot Camp füllt sich der­zeit noch mit wei­te­ren The­men und Beiträgen.

Durch­ge­führt wird das ISB Boot Camp — wie gehabt — von der Baye­ri­schen Ver­wal­tungs­schu­le. Wei­te­re Orga­ni­sa­to­ren sind die Stadt Gun­zen­hau­sen, das LSI und wir von der a.s.k. Daten­schutz. Es rich­tet sich jedoch nicht aus­schließ­lich an Mit­ar­bei­ter der Kommunalverwaltung.

Inter­es­se? Dann geht es hier zur Anmel­dung.

 

 

Arti­kel 32 DSGVO — Sicher­heit der Verarbeitung

Es dürf­te sich rum­ge­spro­chen haben: Per­so­nen­be­zo­ge­ne Daten sind zu schüt­zen. Das es dabei nur sekun­där um die per­so­nen­be­zo­ge­nen Daten an sich geht, son­dern pri­mär die Per­son vor Scha­den bewahrt wer­den soll, auf die sich die­se Daten bezie­hen (der sog. “Betrof­fe­ne”), wird den meis­ten Anwen­dern der DSGVO eben­falls klar sein. Doch was will der Gesetz­ge­ber hier eigent­lich von den sog. “Ver­ant­wort­li­chen”, also all den Unter­neh­men, Ver­ei­nen, Bun­des- und Lan­des­be­hör­den sowie Kom­mu­nal­ver­wal­tun­gen? Wer­fen wir mal einen Blick auf Arti­kel 32 DSGVO.

So steht es in Arti­kel 32 DSGVO

  1. Unter Berück­sich­ti­gung des Stands der Tech­nik, der Imple­men­tie­rungs­kos­ten und der Art, des Umfangs, der Umstän­de und der Zwe­cke der Ver­ar­bei­tung sowie der unter­schied­li­chen Ein­tritts­wahr­schein­lich­keit und Schwe­re des Risi­kos für die Rech­te und Frei­hei­ten natür­li­cher Per­so­nen tref­fen der Ver­ant­wort­li­che und der Auf­trags­ver­ar­bei­ter geeig­ne­te tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men, um ein dem Risi­ko ange­mes­se­nes Schutz­ni­veau zu gewähr­leis­ten; die­se Maß­nah­men schlie­ßen gege­be­nen­falls unter ande­rem Fol­gen­des ein: a) die Pseud­ony­mi­sie­rung und Ver­schlüs­se­lung per­so­nen­be­zo­ge­ner Daten; b) die Fähig­keit, die Ver­trau­lich­keit, Inte­gri­tät, Ver­füg­bar­keit und Belast­bar­keit der Sys­te­me und Diens­te im Zusam­men­hang mit der Ver­ar­bei­tung auf Dau­er sicher­zu­stel­len; c) die Fähig­keit, die Ver­füg­bar­keit der per­so­nen­be­zo­ge­nen Daten und den Zugang zu ihnen bei einem phy­si­schen oder tech­ni­schen Zwi­schen­fall rasch wie­der­her­zu­stel­len; d) ein Ver­fah­ren zur regel­mä­ßi­gen Über­prü­fung, Bewer­tung und Eva­lu­ie­rung der Wirk­sam­keit der tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men zur Gewähr­leis­tung der Sicher­heit der Verarbeitung.

  2. Bei der Beur­tei­lung des ange­mes­se­nen Schutz­ni­veaus sind ins­be­son­de­re die Risi­ken zu berück­sich­ti­gen, die mit der Ver­ar­bei­tung ver­bun­den sind, ins­be­son­de­re durch – ob unbe­ab­sich­tigt oder unrecht­mä­ßig – Ver­nich­tung, Ver­lust, Ver­än­de­rung oder unbe­fug­te Offen­le­gung von bezie­hungs­wei­se unbe­fug­ten Zugang zu per­so­nen­be­zo­ge­nen Daten, die über­mit­telt, gespei­chert oder auf ande­re Wei­se ver­ar­bei­tet wurden.

  3. Die Ein­hal­tung geneh­mig­ter Ver­hal­tens­re­geln gemäß Arti­kel 40 oder eines geneh­mig­ten Zer­ti­fi­zie­rungs­ver­fah­rens gemäß Arti­kel 42 kann als Fak­tor her­an­ge­zo­gen wer­den, um die Erfül­lung der in Absatz 1 des vor­lie­gen­den Arti­kels genann­ten Anfor­de­run­gen nachzuweisen.

  4. Der Ver­ant­wort­li­che und der Auf­trags­ver­ar­bei­ter unter­neh­men Schrit­te, um sicher­zu­stel­len, dass ihnen unter­stell­te natür­li­che Per­so­nen, die Zugang zu per­so­nen­be­zo­ge­nen Daten haben, die­se nur auf Anwei­sung des Ver­ant­wort­li­chen ver­ar­bei­ten, es sei denn, sie sind nach dem Recht der Uni­on oder der Mit­glied­staa­ten zur Ver­ar­bei­tung verpflichtet.

Was will Arti­kel 32 DSGVO in der Praxis?

Dreh- und Angel­punkt sind die tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men, auch kurz TOM genannt. Mit­tels einer geeig­ne­ten Aus­wahl und Anwen­dung die­ser Schutz­maß­nah­men (qua­si eine Art Werk­zeug­kas­ten) sol­len per­so­nen­be­zo­ge­ne Daten vor den all­täg­li­chen Risi­ken bei deren Ver­ar­bei­tung (also Erhe­bung, Spei­che­rung, Nut­zung, aber auch beab­sich­tig­ter Löschung und Ver­nich­tung) geschützt wer­den. Dabei soll nicht alles an Schutz­maß­nah­men ergrif­fen wer­den, was irgend­wie geht, son­dern der Gesetz­ge­ber spricht von einer Ange­mes­sen­heit. Die Schutz­maß­nah­men müs­sen also zum Schutz­wert der betrof­fe­nen per­so­nen­be­zo­ge­nen Daten pas­sen. Dabei sol­len dann auch Fak­to­ren wie die Ein­tritts­wahr­schein­lich­keit und das zu erwar­ten­de Scha­dens­aus­maß für den Betrof­fe­nen — ganz wich­tig: nicht für die eige­ne Orga­ni­sa­ti­on — berück­sich­tigt werden.

Inter­es­san­ter­wei­se erfin­det “der Daten­schutz” hier das Rad mal nicht neu.  Wir fin­den Punk­te wie

  • Ver­trau­lich­keit,
  • Inte­gri­tät und
  • Ver­füg­bar­keit,
  • die Sicher­stel­lung der Wie­der­her­stell­bar­keit von Daten z.B. im Rah­men von Busi­ness Con­ti­nui­ty Manage­ment und Not­fall­ma­nage­ment, aber auch
  • Revi­si­ons­zy­klen (PDCA) zur Über­prü­fung der Wirk­sam­keit vor­han­de­ner Schutz­maß­nah­men sowie zur
  • Iden­ti­fi­ka­ti­on von mög­li­cher­wei­se zusätz­li­chen oder anzu­pas­sen­den Schutz­maß­nah­men auf­grund neu­er Risi­ken oder Ver­än­de­run­gen an bestehen­den Risiken.

Und ganz egal, ob man das hören mag oder nicht: Am Ende beschrei­ben die­se Punk­te und Begriff­lich­kei­ten ein klas­si­sches Infor­ma­ti­ons­si­cher­heits­ma­nage­ment­sys­tem, kurz ISMS. Wer sich mit dem The­ma Infor­ma­ti­ons­si­cher­heit schon näher befasst hat, wird fest­stel­len: Per­so­nen­be­zo­ge­ne Daten sind eine Unter­men­ge der schüt­zens­wer­ten Infor­ma­tio­nen einer Orga­ni­sa­ti­on. Na, schau mal einer an.

Schreibt Arti­kel 32 DSGVO nun ein ISMS vor?

Die Begrif­fe Infor­ma­ti­ons­si­cher­heit oder ISMS fal­len zwar nicht wört­lich, aber gera­de die in Arti­kel 32 Absatz 1 DSGVO genann­ten Punk­te, beschrei­ben dem Sinn nach nichts ande­res als ein Infor­ma­ti­ons­si­cher­heits­kon­zept bzw. ISMS. Das bedeu­tet nun nicht, dass man ein sol­ches ISMS zur Ein­hal­tung von Art. 32 DSGVO ein­füh­ren muss, um rechts­kon­form unter­wegs zu sein. Aber es wird halt müh­se­lig. Gut, es gibt immer Men­schen und Orga­ni­sa­tio­nen, die mögen es umständlich 🙂

Was liegt also näher, als sich die­sen Anfor­de­run­gen sys­te­ma­tisch zu nähern, statt ein­fach wild ein paar mög­li­cher­wei­se geeig­ne­te Schutz­maß­nah­men zusam­men­zu­schus­tern? Und sobald man ein Infor­ma­ti­ons­si­cher­heits­kon­zept ein­ge­führt hat, geht es ja nicht nur den per­so­nen­be­zo­ge­nen Daten gut. Auch alle ande­ren “Kron­ju­we­len” einer Orga­ni­sa­ti­on füh­len sich behü­tet und beschützt. Also gleich meh­re­re Flie­gen mit einer Klap­pe erschla­gen. Grü­ße vom tap­fe­ren Schneiderlein.

Dabei soll­te man jedoch im Hin­ter­kopf behal­ten, dass Infor­ma­ti­ons­si­cher­heit sich im Rah­men der sog. Risi­ko­ana­ly­se vor­ran­gig mit den Aus­wir­kun­gen auf die Orga­ni­sa­ti­on befasst. Die Fra­ge­stel­lung lau­tet zu Beginn: Was für Aus­wir­kun­gen haben die Ver­let­zung der Ver­trau­lich­keit, Inte­gri­tät oder Ver­füg­bar­keit von schüt­zens­wer­ten Infor­ma­tio­nen (und damit sind per­so­nen­be­zo­ge­ne Daten ein­ge­schlo­sen) für mei­ne Orga­ni­sa­ti­on im Hin­blick auf

  • mög­li­che Ver­trags­ver­let­zun­gen und Rechtsverstöße,
  • finan­zi­el­le Schä­den wie Ver­trags­stra­fen, Buß­gel­der oder auch Schadenersatz,
  • nega­ti­ve Aus­wir­kun­gen auf Repu­ta­ti­on /​ Image,
  • mög­li­che Beein­träch­ti­gung der Aufgabenerfüllung,
  • mög­li­che Beein­träch­ti­gun­gen der infor­ma­tio­nel­len Selbst­be­stim­mung (Daten­schutz) und
  • bei einem Side­kick in Rich­tung Not­fall­ma­nage­ment auch Gefahr für Leib und Leben.

Die Risi­ken im Bereich Daten­schutz wer­den zwar schon grob erfasst, aber im Hin­blick auf die Aus­wir­kun­gen für die Orga­ni­sa­ti­on. Der Trick besteht dar­in, mög­li­che Risi­ken für den Betrof­fe­nen wie Iden­ti­täts­dieb­stahl oder Ver­lust sei­ner Betrof­fe­nen­rech­te und noch wei­te­rer Punk­te zu inklu­die­ren. Kein Hexen­werk. Und vor allem muss man das Rad nicht neu erfinden.

Wel­che Sys­te­ma­tik für ein Infor­ma­ti­ons­si­cher­heits­kon­zept darf es denn sein?

Das Schö­ne ist, es gibt auf dem Markt seit Jahr­zehn­ten bewähr­te und kon­ti­nu­ier­lich wei­ter­ent­wi­ckel­te Stan­dards für Infor­ma­ti­ons­si­cher­heit. Und selbst wenn die­se die Aus­wir­kun­gen im Daten­schutz für den Betrof­fe­nen nicht bereits inklu­diert haben, sind die­se in der Risi­ko­be­trach­tung mit weni­gen Hand­grif­fen inte­griert und berück­sich­tigt. “That’s no rocket science!”

Sicher ken­nen vie­le Leser eine ISO 27001 als welt­wei­te Norm für Infor­ma­ti­ons­si­cher­heit oder auch den IT-Grund­schutz des Bun­des­amts für Sicher­heit in der Infor­ma­ti­ons­tech­nik (kurz BSI). Es hält sich das Gerücht hart­nä­ckig, die­se sei­en für klei­ne und kleins­te Orga­ni­sa­tio­nen viel zu groß und auf­wän­dig. Die Pra­xis zeigt, dem ist nicht so. Aber selbst, wenn man die­ser Argu­men­ta­ti­on folgt, so gibt es Alter­na­ti­ven wie (Rei­hen­fol­ge nicht wertend)

  • ISIS12 /​ CISIS12 — ein Infor­ma­ti­ons­si­cher­heits­kon­zept in 12 Schritten
  • SiKo­SH — in 7 Schrit­ten zu einem ISMS
  • VDS 10000 — ehe­mals 3473, ursprüng­lich ein Fra­ge­bo­gen für Risi­ken im Bereich Cybersicherheit
  • TISAX — im Kon­text von Auto­mo­bil­zu­lie­fe­rern weit ver­brei­tet oder
  • das unter dem Titel “Arbeits­hil­fe” bekann­te Kon­zept zu Ein­füh­rung und Betrieb eines ISMS der Inno­va­ti­ons­stif­tung Bay­ri­sche Kommune.

Dar­über­hin­aus gibt es auch noch wei­te­re Sys­te­ma­ti­ken und Vor­ge­hens­wei­sen, aber wir beschrän­ken uns mal auf die oben genann­ten Ver­tre­ter. Unse­re Emp­feh­lung lau­tet stets: Nut­zen Sie eine der vor­han­de­nen Vor­ge­hens­wei­sen und erfin­den Sie das Rad bit­te nicht neu. War­um? Die­se Vor­ge­hens­wei­sen /​ Ver­tre­ter für ein ISMS

  • haben sich über lan­ge Zeit in der Pra­xis bewährt,
  • sind für jede Art von Orga­ni­sa­ti­on anwend­bar, da — welch’ Über­ra­schung — Infor­ma­ti­ons­si­cher­heit uni­ver­sell ist,
  • decken alle­samt stets die Min­dest­an­for­de­run­gen an Infor­ma­ti­ons­si­cher­heit ab,
  • sind ska­lier­bar im Hin­blick auf Orga­ni­sa­ti­ons­grö­ßen aber auch auf das zu errei­chen­de Sicherheitsniveau,
  • spa­ren Ihnen Zeit und Nerven,
  • hel­fen, gern gemach­te Feh­ler bei Ein­füh­rung und Betrieb eines ISMS von vorn­her­ein zu ver­mei­den (RTFM).

Die “Arbeits­hil­fe” — der idea­le Ein­stieg in Arti­kel 32 DSGVO für klei­ne und gro­ße Einrichtungen

Wes­sen Orga­ni­sa­ti­on noch so gar kei­ne Erfah­rung hat mit dem The­ma Infor­ma­ti­ons­si­cher­heit oder die ISO 27001 und dem IT-Grund­schutz für zu wuch­tig hält, steigt idea­ler­wei­se über die “Arbeits­hil­fe” in das The­ma ein. Damit kön­nen grö­ße­re Orga­ni­sa­tio­nen ers­te Erfah­run­gen sam­meln, bevor es danach mit “grö­ße­ren” Stan­dards ans Ein­ge­mach­te geht. Und bei klei­ne­ren Ein­rich­tun­gen kommt man bei kon­se­quen­ter Anwen­dung des Stan­dards “Arbeits­hil­fe” bereits zu einem funk­tio­nie­ren­den ISMS mit dazu­ge­hö­ri­gen PDCA-Zyklus.

Die­ser Stan­dard wur­de 2016 im Auf­trag der Bay­ri­schen Kom­mu­na­len Spit­zen­ver­bän­de von uns für die Inno­va­ti­ons­stif­tung Bay­ri­sche Kom­mu­ne ent­wi­ckelt. Mitt­ler­wei­le ist Ver­si­on 4.0 aktu­ell. Ein Update auf Ver­si­on 5.0 wird vor­aus­sicht­lich in 2023 erschei­nen. Ist der Stan­dard dann über­haupt für Unter­neh­men und Ver­ei­ne geeig­net, wenn er doch aus dem kom­mu­na­len Bereich stammt? Ja klar. Wie zuvor schon geschrie­ben, ist Infor­ma­ti­ons­si­cher­heit eine uni­ver­sel­le Ange­le­gen­heit, die vom anzu­stre­ben­den Schutz­wert für schüt­zens­wer­te Infor­ma­tio­nen aus­geht. Dabei ist es uner­heb­lich, ob eine Fir­ma oder eine Ver­wal­tung Infor­ma­ti­ons­si­cher­heit betreibt. Der ein­zi­ge Knack­punkt bei Nut­zung der Arbeits­hil­fe: Gele­gent­lich muss man Begriff­lich­kei­ten wie Bür­ger­meis­ter, Land­rat oder Ver­wal­tung gegen die Pen­dants aus der frei­en Wirt­schaft tau­schen. Aber das bekom­men Sie hin 🙂

In 9 Kapi­teln führt die “Arbeits­hil­fe” eine Orga­ni­sa­ti­on in die not­wen­di­gen Anfor­de­run­gen für ein ISMS ein und legt die Grund­la­gen für den spä­te­ren Betrieb im Hin­blick auf “ein Ver­fah­ren zur regel­mä­ßi­gen Über­prü­fung, Bewer­tung und Eva­lu­ie­rung der Wirk­sam­keit der tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men zur Gewähr­leis­tung der Sicher­heit der Ver­ar­bei­tung.” Gleich­zei­tig unter­stützt die Sys­te­ma­tik bei der Ent­de­ckung mög­li­cher Schwach­stel­len und zeigt Lösungs­we­ge auf, die­se zeit­nah zu beseitigen.

Die Sys­te­ma­tik, Anlei­tung und Doku­men­te zur Bear­bei­tung der “Arbeits­hil­fe” ste­hen kos­ten­frei zum Down­load zur Ver­fü­gung. Im ers­ten Durch­lauf wer­den auch kei­ne Inves­ti­tio­nen in eine ISMS-Soft­ware not­wen­dig. Im lau­fen­den Betrieb emp­fiehlt sich die­se dann spä­ter jedoch, um die Doku­men­ta­ti­on und regel­mä­ßi­ge Nach­prü­fung, aber auch das Berichts­we­sen zu erleich­tern. Bei Inter­es­se an einer sol­chen Lösung spre­chen Sie uns bit­te an.

Klei­nes Schman­kerl: Je nach Bun­des­land kön­nen För­der­mit­tel aus diver­sen Töp­fen zur Erhö­hung der Infor­ma­ti­ons­si­cher­heit oder IT-Sicher­heit oder Digi­ta­li­sie­rung ange­zapft wer­den. Wenn Sie sich also zur Unter­stüt­zung und Beglei­tung der Ein­füh­rung oder auch für Mit­ar­bei­ter­schu­lun­gen exter­ne Hil­fe her­an­ho­len, kön­nen die Aus­ga­ben hier­für geför­dert werden.

Wei­te­re Infos zur Arbeits­hil­fe fin­den Sie hier auf unse­rem Blog.

Wenn man ein sol­ches ISMS dann auch noch mit einem funk­tio­nie­ren­den Daten­schutz­ma­nage­ment­sys­tem (DSMS) ver­knüpft, dann hat man eini­ge Sor­gen weni­ger bzw. sich unnö­ti­ge Umstän­de und Mühen auf­grund unsys­te­ma­ti­scher Vor­ge­hens­wei­sen erfasst. Gleich­zei­tig hat man, den akti­ven Betrieb bei­der Sys­te­me vor­aus­ge­setzt, auch nicht ban­ge zu sein, soll­te die Lan­des­da­ten­schutz­be­hör­de mal klin­geln. Und das ist viel wert. Das wis­sen zumin­dest die Orga­ni­sa­tio­nen, bei denen das schon der Fall war 😉

 

WLAN Zugangs­da­ten unge­schützt am Fritz!Fon

Gele­gent­lich kann man ein­fach nur den Kopf schüt­teln. Hilft zwar nicht bei der Suche nach einer plau­si­blen Ant­wort, aber irgend­wie geht es einem doch etwas bes­ser. So auch in die­sem Fall. Wie­so wir mit dem Kopf schüt­teln? Nun, die Fra­ge lau­tet: Wer denkt sich so etwas aus? Auf jeden Fall ein typi­sches Bei­spiel für “Kom­fort geht über Sicher­heit”. Und da wis­sen nun eigent­lich (fast) alle, dass dies nicht immer unbe­dingt der bes­te Ansatz ist. Doch was war passiert?

WLAN Zugangs­da­ten im Klar­text im Fritz!Fon einsehbar

Wir trau­ten unse­ren Augen kaum, als wir die Tage mehr zufäl­lig auf den Unter-Menü­punkt WLAN im Menü Heim­netz eines Fritz!Fox gekom­men sind.

Bei Aus­wahl der Opti­on WLAN-Zugangs­da­ten und Gast-Zugangs­da­ten sind die WLAN-Netz­werk­na­men und die dazu­ge­hö­ri­gen Zugangs­pass­wör­ter im Klar­text ein­seh­bar. Über die Funk­tio­nen WLAN-QR-Code und Gast-QR-Code ist via Kame­ra eines Smart­phones oder Tablets mit wenig Hand­grif­fen eine Ver­bin­dung her­ge­stellt. Schutz davor? Keiner!

In geschlos­se­nen Fami­li­en-Bio­to­pen oder in Zei­ten tota­ler Coro­na-Iso­la­ti­on ohne Gäs­te und Besu­cher zuhau­se, mag das eine total coo­le Kom­fort-Funk­ti­on sein. In allen ande­ren Fäl­len dann doch eher einer Schwach­stel­le. Aber auch die ein­fa­che Mög­lich­keit, dar­über das inter­ne WLAN oder Gast-WLAN per Knopf­druck aus­zu­schal­ten, kann für kurz­wei­li­ge Unter­hal­tung sor­gen. Kurz vor dem Ver­ab­schie­den mal eben das WLAN deak­ti­vie­ren, ent­spannt nach Hau­se fah­ren und dabei grin­send über­le­gen, wie der soeben besuch­te Haus­herr oder die Haus­her­rin krampf­haft nach dem Feh­ler im Sys­tem sucht, weil auf ein­mal kei­ner­lei WLAN-Zugrif­fe und Gerä­te mehr funk­tio­nie­ren. Was haben wir gelacht .…

Kein Hin­weis auf die­se Funk­ti­on im Hand­buch der Fritz!Box und des Fritz!Fons

Stand 22.01.2023 fin­den sich in den Hand­bü­chern kei­ner­lei Hin­wei­se auf die­ses mög­li­che Sicher­heits­ri­si­ko. Als Nut­zer die­ser Hard­ware wird man daher wohl mehr zufäl­lig auf die­sen Umstand stoßen.

Abhil­fe über das DECT-Menü in der Fritz!Box

Glück­li­cher­wei­se gibt es die Mög­lich­keit, den Zugriff auf die­ses Menü des Fritz!Fon zu deak­ti­vie­ren. Doch wer dabei im Tele­fon selbst sucht, der wird nicht fün­dig. Hier­zu muss man auf die Ober­flä­che der Fritz!Box selbst wech­seln, sich anmel­den und in das Menü Tele­fo­nie /​ DECT wech­seln. Etwas nach unten scrol­len und dort fin­det sich der Punkt “Zugriffs­schutz”. Hier die Check­box “Zugriffs­schutz für WLAN /​ Gastzgang) akti­vie­ren und eine siche­re PIN (0000, 1234 oder das eige­ne Geburts­da­tum 😉 ) vergeben.

Damit ist der Spuk dann auch auf dem Fritz!Fon been­det, wie man im nächs­ten Screen­shot sehen kann. Sobald man dort nun erneut auf den Menü­punkt Heim­netz /​ WLAN wech­selt, wird man zur Ein­ga­be der zuvor an der Fritz!Box ein­ge­stell­ten PIN aufgefordert.

Wie­so die­ser Zugriffs­schutz nicht von vorn­her­ein akti­viert ist oder es zumin­dest deut­li­che Hin­wei­se auf die­se Funk­ti­on gibt, bleibt ein Rät­sel. Der Her­stel­ler selbst weist auf die Mög­lich­keit des Schut­zes durch eine PIN ledig­lich in der Online-Wis­sens­da­ten­bank hin. Das geht besser.

Gäs­te den­noch kom­for­ta­bel ins WLAN lassen

Dazu wech­selt man in das WLAN Menü der Fritz!Box in den Punkt Funk­netz. Unter den Namen des WLAN und Gäs­te-WLAN fin­det sich rechts ein Ein­trag “Info­blatt dru­cken”. Im Ergeb­nis erhält man ein schi­ckes DIN A4-PDF mit dem QR-Code für das Gäs­te-WLAN sowie dem Namen und Zugangs­pass­wort. Aus­dru­cken, lami­nie­ren und netz­be­dürf­ti­gen Besu­chern zum Ein­log­gen in die Hand drü­cken. Das inter­ne WLAN soll­te für Gäs­te eh tabu sein. Oder?

Anmer­kun­gen zu unse­rer Check­lis­te TOM Auf­trags­ver­ar­bei­tung nach Art. 28 und 32 DSGVO

Wir freu­en uns immer wie­der, dass unse­re kos­ten­freie “Check­lis­te TOM Auf­trags­ver­ar­bei­tung nach Art. 28 + 32 DSGVO — tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men” so tol­len Anklang fin­det. Und wir freu­en uns auch über das regel­mä­ßi­ge Feed­back dazu per Email oder in den Kom­men­ta­ren auf unse­rer Web­sei­te. Wenn Fra­gen und Anmer­kun­gen dazu per Email bei uns auf­schla­gen, sind die­se samt unse­rer Erwi­de­run­gen dazu nicht auf der Web­sei­te für ande­re Nut­zer der Check­lis­te sicht­bar. Daher grei­fen wir hier ein­fach mal ein paar Punk­te auf:

“Die Check­lis­te umfasst gar nicht alle unse­re inter­nen tech­ni­schen und orga­ni­sa­to­ri­schen Schutzmaßnahmen.”

Nun, dafür sind die Frei­fel­der da, in die man wei­te­re vor­han­de­ne Schutz­maß­nah­men ein­tra­gen kann. Auch das am Ende eines jeden Abschnitts befind­li­che Frei­text­feld kann für wei­te­re Auf­zäh­lun­gen oder Beschrei­bun­gen ver­wen­det werden.

“Die Check­lis­te TOM Auf­trags­ver­ar­bei­tung ent­hält eini­ge Maß­nah­men, die es bei uns gar nicht gibt.”

Das ist ja nicht schlimm. Im Zwei­fel las­sen Sie die­se ein­fach leer. Oder noch bes­ser: Da die­se Maß­nah­men sich ja in der Brei­te und ganz unab­hän­gig von den unter­schied­li­chen Orga­ni­sa­ti­ons­for­men bewährt haben, könn­ten Sie ja auch über­le­gen, ob die­se nicht bei Ihnen umge­setzt bzw. ein­ge­führt wer­den soll­ten. Nur so als Idee …

“Wäre es nicht hilf­reich, wenn die genann­ten Schutz­maß­nah­men gleich die kon­kre­ten Bau­stei­ne und Anfor­de­run­gen aus dem IT-Grund­schutz bzw. con­trols und objec­ti­ves aus der ISO 27001 referenzieren?”

Ja. 🙂 Da die Stan­dards jedoch kon­ti­nu­ier­li­chen Anpas­sun­gen unter­lie­gen, müss­te die Check­lis­te regel­mä­ßig auf mög­li­che Ände­run­gen in den ISMS-Stan­dards aktua­li­siert wer­den. Die Idee neh­men wir ger­ne auf, kön­nen aber eine Umset­zung in der Zukunft nicht versprechen.

“Der für uns (eine Behör­de) zustän­di­ge Lan­des­da­ten­schutz­be­auf­trag­te ver­neint die Ver­pflich­tung auf die Ver­trau­lich­keit, da es ja das Dienst­ge­heim­nis gibt! Wie­so steht das dann in der Checkliste?”

A) Weil es dazu auch ande­re Sicht­wei­sen gibt und b) die Check­lis­te sich nicht auf den Ein­satz in Behör­den beschränkt (Grü­ße vom Tellerrand 😉 )

Und selbst wenn man sich die­ser Sicht­wei­se der Auf­sichts­be­hör­de anschließt, könn­te man die schrift­li­che Ver­pflich­tung am Ende eines doku­men­tier­ten und gere­gel­ten Ein­ar­bei­tungs­pro­zess als Beleg für die kor­rek­te Durch­füh­rung des Pro­zes­ses nut­zen. Ein­ar­bei­tungs­pro­zess bedeu­tet übri­gens nicht, dem Mit­ar­bei­ter hun­der­te Sei­ten Richt­li­ni­en und Anwei­sun­gen (alter­na­tiv einen pau­scha­len Ver­weis auf alle vor­han­de­nen Richt­li­ni­en im Intra­net) auf den Tisch zu legen und sich die Kennt­nis­nah­me und Ein­hal­tung im sel­ben Moment bestä­ti­gen zu las­sen 🙂 Dazu sei ange­merkt, dass die Auf­sichts­be­hör­den auch erst mal nur eine Mei­nung ver­tre­ten, die weder Pflicht noch Gesetz ist. Man kann und darf auch ande­rer Mei­nung sein, zumin­dest wenn es gute Grün­de dafür gibt. Und die gibt es durch­aus gar nicht so selten 😉

“Wird die Check­lis­te TOM Auf­trags­ver­ar­bei­tung weiterentwickelt?”

Ja, klar. Wir haben dafür aller­dings kein fes­tes Update-Inter­vall vor­ge­se­hen. Aber allei­ne die aktu­el­le Ver­si­ons­num­mer 3.1 zeigt ja auf, dass die Lis­te “lebt”.

“Kann man die Check­lis­te kaufen?”

Nö. Aber sie steht ja zur Nut­zung im defi­nier­ten Umfang zur Ver­fü­gung. Wenn Sie die­se “bran­den” wol­len, kön­nen Sie uns ger­ne ansprechen.

 

Die mobile Version verlassen