Zum Inhalt springen

DSB

Irr­tü­mer im Daten­schutz (Teil 1): Daten­schutz betrifft mein Unter­neh­men nicht

Irr­tü­mer im Datenschutz

Will­kom­men zum ers­ten Teil unse­rer Serie “Irr­tü­mer im Daten­schutz”. Daten­schutz ist in aller Mun­de, doch kaum jemand kennt das dahin­ter­ste­hen­de Bun­des­da­ten­schutz­ge­setz (BDSG). Dabei ist das Daten­schutz­ge­setz auf Bun­des­ebe­ne nicht mehr das Jüngs­te, exis­tiert es doch bereits seit 1977.

Erstaun­li­cher­wei­se herrscht über das The­ma Daten­schutz in der Pra­xis meist ein risi­ko­rei­ches Halb­wis­sen. Die Exis­tenz oder die Inhal­te des BDSG sind sel­ten kon­kret bekannt, Auf­klä­rung sei­tens des Gesetz­ge­bers zu die­sem The­ma erfolgt bedau­er­li­cher­wei­se eben­falls kei­ne. Unter­neh­men und Unter­neh­mer sind auf sich allei­ne gestellt, wenn es um die recht­li­che Aus­ein­an­der­set­zung mit dem The­ma Daten­schutz und des­sen kon­kre­te (vor­ge­schrie­be­nen) Maß­nah­men im Betrieb geht. Was Wun­der, wenn Daten­schutz im Tages­ge­schäft einen gerin­gen Stel­len­wert einnimmt.

Es kann teu­er werden

Im Jahr 2009  hat der Gesetz­ge­ber die Stra­fen und Sank­tio­nen für Nicht­ein­hal­tung der gesetz­li­chen Daten­schutz­vor­schrif­ten durch Unter­neh­men ver­schärft. Kon­kret wer­den die­se in § 43 BDSG Buß­geld­vor­schrif­ten und § 44 BDSG Straf­vor­schrif­ten ähn­lich dem aus der Stra­ßen­ver­kehrs­ord­nung bekann­ten Buß­geld­ka­ta­log auf­ge­lis­tet. Neben Auf­la­gen durch die Lan­des­da­ten­schutz­be­hör­den kön­nen Unter­neh­mer und Unter­neh­men schnell einem Buß­geld­ri­si­ko von bis zu 300.000 Euro aus­ge­setzt sein — und das sogar ganz ohne Daten­pan­ne. Unwis­sen­heit schützt auch hier vor Stra­fe nicht.

“Daten­schutz und Daten­schutz­ge­setz betref­fen mein Unter­neh­men über­haupt nicht”

Weit gefehlt, denn in jedem Unter­neh­men wird für gewöhn­lich mit per­so­nen­be­zo­ge­ne Daten han­tiert (der Gesetz­ge­ber spricht von Erhe­ben, Ver­ar­bei­ten und Nut­zen). Sind es nicht die Daten von Kun­den und Geschäfts­part­nern, so exis­tie­ren doch zumeist noch Mit­ar­bei­ter­da­ten im Unter­neh­men — und die­se gel­ten recht­lich als “sen­si­tiv” und damit beson­ders schüt­zens­wert. Doch schau­en wir auf das Bundesdatenschutzgesetz:

Bereits § 1 BDSG Zweck und Anwen­dungs­be­reich des Geset­zes macht klar, was das Daten­schutz­ge­setz schützt und wen es betrifft.

(1) Zweck die­ses Geset­zes ist es, den Ein­zel­nen davor zu schüt­zen, dass er durch den Umgang mit sei­nen per­so­nen­be­zo­ge­nen Daten in sei­nem Per­sön­lich­keits­recht beein­träch­tigt wird.

(2) Die­ses Gesetz gilt für die Erhe­bung, Ver­ar­bei­tung und Nut­zung per­so­nen­be­zo­ge­ner Daten durch

3. nicht-öffent­li­che Stel­len, soweit sie die Daten unter Ein­satz von Daten­ver­ar­bei­tungs­an­la­gen ver­ar­bei­ten, nut­zen oder dafür erhe­ben oder die Daten in oder aus nicht auto­ma­ti­sier­ten Datei­en ver­ar­bei­ten, nut­zen oder dafür erhe­ben, es sei denn, die Erhe­bung, Ver­ar­bei­tung oder Nut­zung der Daten erfolgt aus­schließ­lich für per­sön­li­che oder fami­liä­re Tätigkeiten.

Betrach­ten wir die Defi­ni­ti­on nicht-öffent­li­cher Stellen:

§ 2 Öffent­li­che und nicht-öffent­li­che Stellen

(4) Nicht-öffent­li­che Stel­len sind natür­li­che und juris­ti­sche Per­so­nen, Gesell­schaf­ten und ande­re Per­so­nen­ver­ei­ni­gun­gen des pri­va­ten Rechts, soweit sie nicht unter die Absät­ze 1 bis 3 fal­len. Nimmt eine nicht-öffent­li­che Stel­le hoheit­li­che Auf­ga­ben der öffent­li­chen Ver­wal­tung wahr, ist sie inso­weit öffent­li­che Stel­le im Sin­ne die­ses Gesetzes.

Somit ist klar, die Annah­me “Daten­schutz und Daten­schutz­ge­setz betref­fen mein Unter­neh­men über­haupt nicht” gehört ins Reich der Mythen und Irr­tü­mer! Soll­ten Sie bis­her mit Ihrem Unter­neh­men (auch als Ein-Mann-Betrieb) nach die­ser Fehl­ein­schät­zung agiert haben, lohnt ein Blick in § 43 ff BDSG zwecks Iden­ti­fi­ka­ti­on der Buß­geld­ri­si­ken, denen Sie sich und Ihrem Unter­neh­men aus­ge­setzt haben.

Licht am Horizont

Bevor Sie sich nun selbst in die juris­ti­schen Untie­fen des Bun­des­da­ten­schutz­ge­set­zes stür­zen und Akti­vi­tä­ten ent­wi­ckeln, fra­gen Sie ein­fach den Fach­mann — a.s.k. Daten­schutz. Mit­tels stan­dar­di­sier­ter Prüf- und Audi­tie­rungs­ver­fah­ren iden­ti­fi­zie­ren wir gemein­sam mit Ihnen schnell, unbü­ro­kra­tisch und zuver­läs­sig die not­wen­di­gen Maß­nah­men, die für eine geset­zes­kon­for­me Umset­zung des Daten­schut­zes in Ihrem Unter­neh­men sor­gen. Selbst­ver­ständ­lich unter­stüt­zen wir Sie eben­falls aktiv bei der inter­nen Umset­zung und betreu­en Sie im Anschluß als sog. exter­ner Daten­schutz­be­auf­trag­ter, wenn die Über­prü­fung das Vor­lie­gen einer Bestell­pflicht ergibt.

Ver­trau­en Sie lang­jäh­ri­ger Erfah­rung aus der bun­des­wei­ten Bera­tung und Betreu­ung klei­ner und gro­ßer Unter­neh­men aus den unter­schied­lichs­ten Bran­chen und pro­fi­tie­ren Sie von die­sem über­grei­fen­den Know-How.

Nut­zen Sie ein­fach unse­ren Rück­ruf-Ser­vice, wir mel­den uns garan­tiert! Oder for­dern Sie doch gleich Ihr unver­bind­li­ches Ange­bot für einen exter­nen Daten­schutz­be­auf­trag­ten an.


Lesen Sie hier die ande­ren Tei­le der Serie “Irr­tü­mer im Datenschutz”:

 

 

Bild­nach­weis: about​pi​xel​.de /​ Dead End © Nacht­schreck

Kein Daten­schutz aus Kos­ten­grün­den? Das muss nicht sein

Ein Exper­te der IHK Regens­burg für Oberpfalz/​Kelheim äußert sich aktu­ell fol­gen­der­ma­ßen: „Gera­de für klei­ne­re Betrie­be ist es ver­mut­lich schwie­rig, auch die ent­spre­chen­den finan­zi­el­len Mit­tel für den Daten­schutz auf­zu­brin­gen, um immer alle Bestim­mun­gen ein­zu­hal­ten.“  Der Daten­schutz­be­auf­trag­te der IHK für Nie­der­bay­ern in Pas­sau schiebt nach: „Bei vie­len Unter­neh­men besteht eine erheb­li­che Rechts­un­si­cher­heit, wie sie mit den Daten ihrer Kun­den umge­hen sollen.“

Kein Daten­schutz aus Kos­ten­grün­den oder Unsi­cher­heit? Das muss nicht sein!

Der Gesetz­ge­ber unterstützt

Mit § 4f BDSG (Bun­des­da­ten­schutz­ge­setz) schreibt der Gesetz­ge­ber die Vor­aus­set­zun­gen für die gesetz­li­che Bestell­pflicht eines Daten­schutz­be­auf­trag­ten vor. Wohl wis­send, dass ein inter­ner Daten­schutz­be­auf­trag­ter für vie­le mit­tel­stän­di­sche Betrie­be kei­ne Ide­al­lö­sung ist (erwei­ter­ter Kün­di­gungs­schutz, man­geln­de Kos­ten­trans­pa­renz und Kon­trol­le, sie­he die­sen Bei­trag), bie­tet das BDSG auch gleich in Absatz 2 die pas­sen­de Lösung an — “Zum Beauf­trag­ten für den Daten­schutz kann auch eine Per­son außer­halb der ver­ant­wort­li­chen Stel­le bestellt werden.”

Vie­le Vor­tei­le spre­chen für Outsourcing

Wer die Vor- und Nach­tei­le des Ein­sat­zes eines inter­nen oder exter­nen Daten­schutz­be­auf­trag­ten gegen­über­stellt, wird die unter­neh­me­ri­schen und zahl­rei­chen Vor­tei­le der exter­nen Bestell­mög­lich­keit für einen Daten­schutz­be­auf­trag­ten klar erken­nen. Bei­spiel­haft sei­en hier kurz angeführt

  • Vol­le Kos­ten­kon­trol­le und Transparenz
  • Weg­fall des erwei­ter­ten Kündigungsschutzes
  • Über­grei­fen­des, inter­dis­zi­pli­nä­res Bran­chen-Know-How des exter­nen Spezialisten
  • Weg­fall der inter­nen Kos­ten für Grund­aus­bil­dung, Fort- und Wei­ter­bil­dung, Lite­ra­tur, Mate­ri­al und Räumlichkeiten
  • Wei­te­re Vor­tei­le kön­nen Sie in die­sem Bei­trag kennenlernen

„Bei vie­len Betrie­ben gibt es den Daten­schutz­be­auf­trag­ten nur auf dem Papier. Beson­ders für klei­ne­re Betrie­be kann es ein Pro­blem sein, Mit­ar­bei­ter in den eige­nen Rei­hen zu fin­den, die die nöti­ge Qua­li­fi­ka­ti­on, Zeit und Erfah­rung für die­se Auf­ga­be haben“, ver­mu­tet Bern­hard Matu­la, Daten­schutz­be­auf­trag­ter der Hand­werks­kam­mer Niederbayern/​Oberpfalz.

Ver­mei­den Sie Buß­gel­der und Auflagen

Doch weder die eige­ne Unsi­cher­heit im Umgang mit die­sem The­ma noch die Kos­ten gel­ten als Aus­re­de, soll­te die Nicht­be­stel­lung eines Daten­schutz­be­auf­trag­ten bei vor­lie­gen­der Bestell­pflicht akten­kun­dig wer­den. Emp­find­li­che Buß­gel­der dro­hen, die es zu ver­mei­den gilt. Wie Sie das machen? For­dern Sie doch ein­fach noch heu­te ihr unver­bind­li­ches Ange­bot für einen exter­nen Daten­schutz­be­auf­trag­ten an.

Ich freue mich auf Sie
Sascha Kuhrau

 

Hilf­rei­che Links

  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sende Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gige Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­nare.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

 

Alle reden von der Cloud …

.. aber oft­mals ist gar nicht so klar, was damit eigent­lich gemeint ist. Ein Unter­neh­men spricht in Wer­be­kam­pa­gnen mas­siv Pri­vat­kun­den an, per­sön­li­che Daten und Doku­men­te doch ein­fach in der Cloud zu spei­chern, um “in”, “hip” und “tren­dy” zu sein. Ande­re Anbie­ter rich­ten sich mit etwas geziel­te­ren Infor­ma­tio­nen und Leis­tungs­be­schrei­bun­gen an Unter­neh­men und Unternehmer.

Neben der gan­zen Ver­wir­rung um die Defi­ni­ti­on beflü­geln wei­te­re Ver­kaufs­ar­gu­men­te wie Über­all-Zugriff und Kos­ten­ein­spar­po­ten­tia­le die Phan­ta­sie. Dar­über gera­ten die daten­schutz­recht­li­chen Aspek­te und Not­wen­dig­kei­ten einer sol­chen Out­sour­cing-Lösung schnell außer Acht.

Denn oft­mals wird ver­ges­sen: Cloud Com­pu­ting ist nach deut­schem Daten­schutz­recht klas­si­sche Auf­trags­da­ten­ver­ar­bei­tung nach § 11 BDSG. Und die­se bedarf eini­ger Vor­aus­set­zun­gen, die vor Inbe­trieb­nah­me umzu­set­zen und ein­zu­hal­ten sind. Zuwi­der­hand­lun­gen kön­nen nach § 43 BDSG mit Buß­gel­dern bis 50.000 EUR belegt wer­den. Da ist die Kos­ten­ein­spa­rung schnell wie­der aufgezehrt.

Drei Arti­kel kann ich zur ver­tie­fen­den Lek­tü­re wärms­tens empfehlen:

Sie wol­len mit Ihrem Unter­neh­men selbst in die Cloud? Dann bin­den Sie Ihren Daten­schutz­be­auf­trag­ten früh­zei­tig ein. Sie haben noch kei­nen Daten­schutz­be­auf­trag­ten? Dann wird es Zeit, spre­chen Sie mich an.

Hilf­rei­che Links
  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sende Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gige Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­nare.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Daten­schutz-Stu­die des LfD Rhein­land-Pfalz ver­öf­fent­licht — Pro­ble­me wer­den von den Unter­neh­men unterschätzt

Der Lan­des­be­auf­trag­te für Daten­schutz von Rhein­land-Pfalz, Edgar Wag­ner ver­öf­fent­lich­te die Ergeb­nis­se sei­ner Daten­schutz-Umfra­ge bei rhein­land-pfäl­zi­schen Unter­neh­men. Die 1.500 größ­ten Unter­neh­men (> 50 Mit­ar­bei­ter) des Bun­des­lan­des soll­ten seit Mai 2011 Rede und Ant­wort zu The­men rund um den Daten­schutz und die Daten­si­cher­heit ste­hen.  Ant­wor­te­ten bereits 957 auf das ers­te Anschrei­ben, so erhöh­te sich die Zahl nach einer Erin­ne­rung im August 2011 auf 1.369 Rück­läu­fer. Knapp 7% der befrag­ten Unter­neh­men reagier­ten gar nicht.

Die Ergeb­nis­se in Kürze:

  • 8% der befrag­ten Unter­neh­men haben trotz Bestell­pflicht kei­nen Daten­schutz­be­auf­trag­ten bestellt
  • 12,5% aller Bestel­lun­gen sind nicht im Ein­klang mit dem Bun­des­da­ten­schutz­ge­setz (die Tätig­keit wird durch nicht unab­hän­gi­ge Per­so­nen wie die Geschäfts­füh­rung oder IT-Lei­tung ausgeübt)
  • Bei wei­te­ren 19,5% der Bestel­lun­gen sind Inter­es­sens­kon­flik­te zu vermuten
  • Ca. 20% der bestell­ten Daten­schutz­be­auf­trag­ten (DSB) weist aku­te fach­li­che Män­gel auf
  • Das Zeit­bud­get von zwei Drit­teln der DSB ist zu knapp bemessen
  • In 50% aller Fäl­le wer­den die not­wen­di­gen Kon­trol­len zur Auf­trags­da­ten­ver­ar­bei­tung nicht durchgeführt
Wag­ner zeig­te sich sehr erstaunt, dass 97,5% der befrag­ten Unter­neh­men kei­nen Bera­tungs­be­darf durch das LfD in Sachen Daten­si­cher­heit sehen. Da 2011 auf­grund der Vor­fäl­le wie um Sony oder den Deut­schen Zoll als das “Jahr der Hacker” in die Geschich­te ein­ge­hen wer­de, sehen hier nur 2,5% ent­spre­chen­den Unter­stüt­zungs­be­darf.  “Ent­we­der haben die Betrie­be die Befürch­tung, bei einer Bera­tung durch den LfD kon­trol­liert zu wer­den, oder sie unter­schät­zen die Daten­si­cher­heits­pro­ble­me”, fol­gert Wagner.
Apro­pos Bestell­pflicht: Ver­fügt Ihr Unter­neh­men bereits über einen Daten­schutz­be­auf­trag­ten? Wenn nein, wird es mög­li­cher­wei­se höchs­te Zeit auf­grund einer gesetz­li­chen Bestell­pflicht. Nicht sicher? Dann spre­chen Sie mich an und ver­mei­den Sie emp­find­li­che Buss­gel­der.
Quel­len
  • Pres­se­mel­dung des LfD
  • Foli­en-Prä­sen­ta­ti­on des LfD
Hilf­rei­che Links
  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sende Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gige Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­nare.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Quo vadis Arbeit­neh­mer­da­ten­schutz? (Update)

Für eini­ges Auf­se­hen sorg­te im August letz­ten Jah­res der Ent­wurf der Bun­des­re­gie­rung für ein neu­es  Arbeit­neh­mer­da­ten­schutz­ge­setz. Der Name soll­te nicht irre­füh­ren, es wird wohl kein eigen­stän­di­ges Gesetz geben. Es ist viel­mehr beab­sich­tigt, die ergän­zen­den Rege­lun­gen in das Bun­des­da­ten­schutz­ge­setz (BDSG) zu inte­grie­ren. Ziel ist es, die­se noch vor Som­mer 2011 in Kraft tre­ten zu lassen.

Bei aller Eupho­rie um die not­wen­di­gen Rege­lun­gen sorg­te der Ent­wurf jedoch auch für kri­ti­sche Stim­men. Im Novem­ber 2010 nahm der Bun­des­rat zu den geplan­ten Aus­ge­stal­tun­gen Stel­lung und bemän­gel­te unter ande­rem feh­len­de Rege­lun­gen für einen mög­li­chen Kon­zern­da­ten­schutz, die schwe­re Les- und Nach­voll­zieh­bar­keit der aus­for­mu­lier­ten Rege­lun­gen (gera­de für juris­ti­sche Lai­en) oder auch die Ver­ein­bar­keit mit ande­ren gesetz­li­chen Regelungen.

Der Tages­spie­gel bringt es am 30.01.2011 auf den Punkt: es ist für alle Betei­lig­ten zu früh, sich gegen­sei­tig auf die Schul­ter zu klop­fen. Ein zitier­tes Gut­ach­ten stellt fest, die geplan­ten Rege­lun­gen schüt­zen nicht die Arbeit­neh­mer bes­ser in Sachen Daten­schutz. Im Gegen­teil, die­se sind ein Kata­log an Erlaub­nis­tat­be­stän­den für Arbeit­ge­ber, umfas­send Daten über ihre Mit­ar­bei­ter zu erheben.

Es bleibt spannend!

Sind in Ihrem Unter­neh­men die bereits gel­ten­den Aspek­te des Arbeit­neh­mer­da­ten­schutz regel­kon­form umge­setzt? Die­se Fra­ge beant­wor­tet Ihnen ihr betrieb­li­cher Daten­schutz­be­auf­trag­ter. Sie haben noch kei­nen? Dann spre­chen Sie mich an.

Update vom 18.02.2011:

Gui­do Strunck schreibt in sei­nem Blog zur IT-Sicher­heit nicht ganz unbe­grün­det von einem Arbeit­neh­mer­da­ten­nutz­ge­setz. Lesen Sie mehr.

Update vom 12.10.2011:

Wie das Han­dels­blatt in sei­ner aktu­el­len Mitt­wochs­aus­ga­be berich­tet, for­miert sich wei­te­rer Wider­stand gegen das geplan­te Arbeit­neh­mer­da­ten­schutz­ge­setz. Über 3.000 Per­so­nal- und Betriebs­rä­te haben sich deutsch­land­weit zu einer Initia­ti­ve zusam­men­ge­schlos­sen. “Statt nach den Daten­schutz­skan­da­len wie ange­kün­digt die Beschäf­tig­ten bes­ser zu schüt­zen, wer­den Bespit­ze­lun­gen mit dem vor­lie­gen­den Gesetz­ent­wurf auch noch lega­li­siert”, sag­te der DGB-Vor­sit­zen­de Micha­el Som­mer dem “Han­dels­blatt”. Lesen Sie mehr.

Jeder darf mit­ma­chen — nun auch Daten­pan­ne bei Sega

Die Geis­ter, die ich rief

Nur böse Zun­gen behaup­ten, PwC hät­te mit der vor­ge­leg­ten Stu­die zum Daten­schutz in Unter­neh­men (“Nichts dazu­ge­lernt? Unter­neh­men pfei­fen auf Daten­schutz”) die bösen Geis­ter geru­fen, die nun dazu füh­ren, daß rei­hen­wei­se bekann­te und teil­wei­se glo­ba­le Mar­ken­un­ter­neh­men mit Daten­pan­nen in den Medi­en landen.

Man muß kein Insi­der sein, um zu erken­nen, daß ein Gemisch aus laxem Umgang mit dem The­ma Daten­schutz, teil­wei­se ver­al­te­ten IT-Sicher­heits­me­cha­nis­men und dem Fak­tor Mensch die Ursa­che ist.

Der Nächs­te bitte

Nach Sony, Apple, Face­book, Necker­mann, Acer, o2, citi­bank war nun laut meh­re­ren Medi­en­be­rich­ten Sega an der Rei­he. Deren Online-Netz­werk Sega-Pass sei ange­grif­fen und Kun­den­da­ten ent­wen­det wor­den. Betrof­fen sol­len Per­so­nen­da­ten sowie die ver­schlüs­sel­ten Pass­wör­ter sein. Zah­lungs­da­ten wären wohl nicht betroffen.

Reden ist Sil­ber, Schwei­gen ist Gold

Sega hat das Pass-Sys­tem der­weil vom Netz genom­men, angeb­lich um neue Funk­tio­nen ein­zu­pfle­gen. Eine offi­zi­el­le Stel­lung­nah­me zu dem mög­li­chen Vor­fall ist nicht zu finden.

Die Hin­ter­män­ner

Unklar ist zur Zeit noch, wer hin­ter der Atta­cke ste­cken könn­te. Die Hacker­grup­pe Lulz­Sec, die sich zu dem Angriff auf Sony bekann­te, weist jede Ver­ant­wor­tung von sich. Iro­ni­scher­wei­se bie­tet sie Sega bei Twit­ter nun Hil­fe an, die Schul­di­gen aufzuspüren:

Lulz­Sec: “@Sega — cont­act us. We want to help you des­troy the hackers that atta­cked you. We love the Dream­cast, the­se peo­p­le are going down.”

Vor­beu­gen ist besser

Früh­zei­ti­ge Ein­bin­dung des Daten­schutz­be­auf­trag­ten in (IT-) Pro­jek­te, regel­mä­ßi­ges Moni­to­ring der inter­nen IT-Sicher­heits­maß­nah­men, Aktua­li­sie­rung der IT-Sys­te­me (z.B. Sicher­heits­patches), grund­le­gen­de Model­lie­rung nach dem BSI Grund­schutz­ka­ta­log sowie fort­lau­fen­de Sen­si­bi­li­sie­rung der Mit­ar­bei­ter und Unter­neh­mens­lei­tung zum The­ma Daten­schutz und Daten­si­cher­heit schlie­ßen zwar sol­che Daten­pan­nen nicht aus, redu­zie­ren aber das Risi­ko deut­lich. Ein guter Daten­schutz­be­auf­trag­ter hält als Kri­sen­ma­na­ger für den hof­fent­lich nicht ein­tre­ten­den Fall einer Daten­pan­ne eine fest­ge­leg­te Ver­fah­rens­wei­se parat, wel­che den offe­nen Umgang mit dem Vor­fall im Zusam­men­spiel mit den Daten­schutz­be­hör­den und den Betrof­fe­nen vorsieht.

Sie haben gar kei­nen Daten­schutz­be­auf­trag­ten im Unter­neh­men? Dann ver­sto­ßen Sie mög­li­cher­wei­se bereits ganz ohne Daten­pan­ne gegen das Bun­des­da­ten­schutz­ge­setz und set­zen Ihr Unter­neh­men unnö­tig einem Buß­geld­ri­si­ko bis 50.000 EUR aus. Im Zwei­fel nut­zen Sie unse­ren Online-Fra­ge­bo­gen und erhal­ten Klar­heit in Ver­bin­dung mit einem trans­pa­ren­ten und nach­voll­zieh­ba­ren Ange­bot zu dar­stell­ba­ren Preisen.

Nichts dazu­ge­lernt? Unter­neh­men pfei­fen auf Datenschutz

Sony, Face­book und jetzt Necker­mann — bekann­te Mar­ken kämp­fen mit Daten­pan­nen. Par­al­lel dazu lie­fert eine Umfra­ge von TNS-Emnid im Auf­trag von PwC ein umso erstaun­li­che­res Ergeb­nis: Deut­sche Unter­neh­men pfei­fen auf Daten­schutz.

Ver­zerr­te Eigenwahrnehmung

Jeder vier­te Daten­schutz­be­auf­trag­te der 1.000 größ­ten deut­schen Unter­neh­men wur­de im Rah­men der Stu­die befragt. Zwei Drit­tel der Befrag­ten ant­wor­ten, Daten­schutz wür­de in ihrem Unter­neh­men als wich­tig wenn nicht sogar sehr wich­tig betrach­tet. Die Mei­nungs­for­scher schau­ten genau­er hin: so wird ledig­lich in 4 von 10 Unter­neh­men ein regel­mä­ßi­ger Daten­schutz­be­richt ange­for­dert. 25% der Befrag­ten erstel­len den Bericht unre­gel­mä­ßig und in 35% der Unter­neh­men wird die­ser erst gar nicht erstellt.

Kos­ten sparen

Das ist das vor­herr­schen­de Mot­to in den Unter­neh­men laut den Mei­nungs­for­schern, auch beim The­ma Daten­schutz. Feh­len­de per­so­nel­le Res­sour­cen des Daten­schutz­be­auf­trag­ten gepaart mit man­geln­der Ein­bin­dung in inter­ne Kom­mu­ni­ka­ti­on und Pla­nun­gen machen den Stel­len­wert des The­mas deut­lich. So wer­den bei­spiels­wei­se bei der Ein­füh­rung neu­er Daten­ver­ar­bei­tungs­sys­te­me nur in maxi­mal 60% der Unter­neh­men die Daten­schutz­be­auf­trag­ten in die wich­ti­ge Pla­nungs­pha­se mit eingebunden.

Die Hoff­nung stirbt zuletzt

Bleibt der Trost, daß in 2 von 3 Fäl­len einer Daten­schutz­ver­let­zung Unacht­sam­keit die Ursa­che war. Bei vier von zehn Vor­fäl­len war den Betei­lig­ten nicht mal bewußt, daß gegen bestehen­de Daten­schutz­ge­set­ze ver­sto­ßen wird.

Risi­ko für Unternehmen

Man­geln­der Daten­schutz birgt jedoch für Unter­neh­men ein nicht unbe­deu­ten­des Risi­ko, Buß­gel­der und Stra­fen sei­tens der Lan­des­da­ten­schutz­be­hör­den auf­er­legt zu bekom­men. Durch die Novel­lie­rung des Buß­geld­ka­ta­logs im Bun­des­da­ten­schutz­ge­setz in 2009 ste­hen kon­kre­te Buß­geld­ri­si­ken für jedes Unter­neh­men und jeden Unter­neh­mer im Raum — und das nicht erst, wenn es zu einer Daten­pan­ne gekom­men ist. Untä­tig­keit, feh­ler­haf­te oder feh­len­de Rege­lun­gen in der sog. Auf­trags­da­ten­ver­ar­bei­tung (Out­sour­cing), feh­len­de oder zu spä­te oder pro for­ma Bestel­lung eines Daten­schutz­be­auf­trag­ten sind nur eini­ge Punk­te, die ganz ohne Daten­pan­ne zu einem Buß­geld führen.

Und wer glaubt, Geld zu spa­ren, bis es das Unter­neh­men im Rah­men einer Stich­pro­be, einer Beschwer­de oder im schlimms­ten Fall einer Daten­pan­ne erwischt und meint, sich dann erst des The­mas anneh­men zu müs­sen, für den hält § 43 BDSG Absatz 3 eine klei­ne Über­ra­schung parat: “Die Geld­bu­ße soll den wirt­schaft­li­chen Vor­teil, den der Täter aus der Ord­nungs­wid­rig­keit gezo­gen hat, über­stei­gen. Rei­chen die in Satz 1 genann­ten Beträ­ge hier­für nicht aus, so kön­nen sie über­schrit­ten wer­den.” Die Rech­nung kann also nicht aufgehen.

Chan­cen nutzen

Dabei kann Daten­schutz viel mehr sein, als die rei­ne Ver­mei­dung von Buß­gel­dern und Auf­la­gen. Moder­ne Unter­neh­men nut­zen die Chan­ce, um sich durch kon­se­quen­ten Daten­schutz vom Wett­be­werb abzu­he­ben. Sie set­zen nicht nur das gesetz­lich vor­ge­schrie­be­ne Min­dest­maß um, son­dern nut­zen Daten­schutz — oft in Ver­bin­dung mit Qua­li­täts­ma­nage­ment­pro­gram­men -, um kon­se­quent bes­ser zu wer­den und Vor­tei­le für sich zu nut­zen. Und die Vor­tei­le sind weit gefä­chert: begin­nend vom Qua­li­täts­merk­mal, um sich von Wett­be­wer­bern posi­tiv zu unter­schei­den, über Daten­schutz als Kun­den­bin­dungs­in­stru­ment bis hin zu den mög­li­chen Kos­ten­sen­kungs­po­ten­tia­len bei IT-Ausfällen.

Was kön­nen Sie tun?

Prü­fen Sie, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht vor­liegt! Wenn ja, dann holen Sie sich ein Ange­bot ein, um die wei­te­re Vor­ge­hens­wei­se und mög­li­che Kos­ten abzu­stim­men. Wenn nein, dann leh­nen Sie sich nicht zurück. Jetzt müs­sen Sie als Geschäfts­füh­rer /​ Unter­neh­mer selbst ran, um die gesetz­li­che vor­ge­schrie­be­nen Maß­nah­men zum Daten­schutz in Ihrem Unter­neh­men sicher­zu­stel­len. Feh­len Ihnen das Know-How und die Zeit? Auch dann ste­he ich Ihnen als Bera­ter mit mei­nen Leis­tun­gen zur Sei­te — ganz ohne Bestel­lung zum Daten­schutz­be­auf­trag­ten. Spre­chen Sie mich an. Die schlech­tes­te Alter­na­ti­ve: nichts tun und abwar­ten — das wird teuer!

Daten­si­cher­heit in Unter­neh­men oft­mals noch ver­nach­läs­sig­tes Thema

Online-Umfra­ge von “Deutsch­land sicher im Netz e.V.” (DsiN) ent­hüllt Schwachstellen

600 klei­ne und mit­tel­stän­di­sche Unter­neh­men betei­lig­ten sich an der aktu­el­len anony­men Online-Umfra­ge von DsiN. Das Ergeb­nis ist wenig schmei­chel­haft für die Ver­ant­wort­li­chen in den Unter­neh­men: ledig­lich ein Drit­tel der Befrag­ten gibt an, über eine Com­pli­ance-Stra­te­gie zu ver­fü­gen. Vor dem Hin­ter­grund dro­hen­der Buß­gel­der bei Nicht­ein­hal­tung von Daten­schutz- und Daten­si­cher­heits­re­geln — gera­de im Umgang mit per­so­nen­be­zo­ge­nen Daten — schwer nachvollziehbar.

Erfreu­lich zumin­dest die Aus­sa­ge, daß fast 70% immer­hin mit der Umset­zung von Ein­zel­maß­nah­men außer­halb eines Stra­te­gie­kon­zepts begon­nen haben. Aller­dings sind ledig­lich in 26,7% aller befrag­ten Unter­neh­men die Mit­ar­bei­ter durch regel­mä­ßi­ge Schu­lun­gen zum The­ma Daten­schutz und Daten­si­cher­heit sensibilisiert.

Gefah­ren lau­ern im (Büro-) Alltag

Spre­che ich mit Ver­ant­wort­li­chen in Unter­neh­men, so höre ich beim The­ma Daten­si­cher­heit oft ein­an­der ähneln­de Aus­sa­gen wie “Wir haben alles tech­nisch mög­li­che gegen Hacker­an­grif­fe unter­nom­men”, “Unse­re Back­up- und Reco­very-Stra­te­gie wird immer wie­der geprüft” oder auch “Unse­re IT ist in ein Rechen­zen­trum out­ges­ourct und daher voll­kom­men sicher”. In der Sum­me sicher der rich­ti­ge Ansatz, als häu­fig iso­liert umge­setz­te Ein­zel­maß­nah­men im Sin­ne einer Com­pli­ance-Stra­te­gie unzureichend.

Dabei wird oft­mals über­se­hen, daß die Gefah­ren für die Daten im Unter­neh­men nicht unbe­dingt von außen dro­hen, son­dern im ganz nor­ma­len Büro-All­tag auftreten:

  • USB-Sticks /​ Mobi­le Spei­cher­me­di­en: hier lau­ert gleich dop­pel­te Gefahr. Einer­seits durch den Ver­lust die­ser oft­mals nur noch dau­men­na­gel­gro­ßen Gerä­te mit eige­nen sen­si­blen und /​ oder per­so­nen­be­zo­ge­nen Daten. Ande­rer­seits das Risi­ko, unbe­merkt und unbe­wußt Schad­rou­ti­nen durch das unge­schütz­te Ein­ste­cken oder Ein­le­gen in das inter­ne Fir­men­netz einzuschleusen.
  • Mobi­le Gerä­te /​ Lap­tops /​ Smart­phones: Pro­ble­me tre­ten hier bei Ver­lust schnell zuta­ge durch feh­len­de Ver­schlüs­se­lung, lokal gespei­cher­te Infor­ma­tio­nen oder unzu­rei­chend gesi­cher­te VPN-Zugän­ge, meist zuguns­ten eines höhe­ren Bedien­kom­forts (in einer Stu­die von 2008 steht Kom­fort für knapp ein Vier­tel der IT-Ver­ant­wort­li­chen vor Datensicherheit).
  • Mul­ti­funk­ti­ons­ge­rä­te (MFG) /​ Kopie­rer: in einer immer mehr ver­netz­ten Welt kom­mu­ni­zie­ren die­se Gerä­te mitt­ler­wei­le über das Inter­net und sind somit von außen angreif­bar. Inter­ne Zwi­schen­spei­cher kön­nen bei Repa­ra­tur oder Aus­tausch durch exter­ne Dienst­leis­ter eben­falls Internas nach außen tragen.
  • VoIP (Voice over IP): meist kom­for­ta­bler und preis­güns­ti­ger als Tele­fon­an­la­gen birgt die Tech­nik jedoch auch Gefah­ren. Wie jede IP-Tech­no­lo­gie ist sie von außen angreif­bar und im Zwei­fel auf­grund unzu­rei­chen­der Schutz­maß­neh­men abhörbar.
  • Cloud Com­pu­ting: der gro­ße Hype aus 2010 setzt sich in 2011 fort — alle wol­len “in die Cloud”. Kos­ten­druck und Über­all-Ver­füg­bar­keit hin oder her soll­ten nicht davon ablen­ken, daß hier Fir­men­in­ter­na und per­so­nen­be­zo­ge­ne Daten in “öffent­li­che” Berei­che außer­halb des Unter­neh­mens aus­ge­la­gert und in die Ver­ant­wor­tung exter­ner Anbie­ter über­ge­ben werden.
  • Mit­ar­bei­ter: man­geln­der Kennt­nis­stand und feh­len­de Sen­si­bi­li­sie­rung Ihrer Mit­ar­bei­ter stell­ten mit die größ­ten Bedro­hungs­po­ten­tia­le für Ihre Unter­neh­mens­da­ten dar. Gesel­len sich noch Frust oder Vor­satz hin­zu, dann ist Ihr Unter­neh­men fast chancenlos.

Wie begeg­nen Sie die­sen Gefahren?

Eine schlüs­si­ge Com­pli­ance-Stra­te­gie bewer­tet die­se bei­spiel­haft genann­ten Gefah­ren­punk­te ent­spre­chend und sieht dafür — neben IT-gestütz­ten Mecha­nis­men — bewähr­te Ver­fah­rens­wei­sen vor:

  • Erstel­len und Umset­zen geeig­ne­ter, unter­neh­mens­wei­ter Benut­zer­richt­li­ni­en für den Umgang mit Tech­no­lo­gien mit Gefährdungspotential
  • Regel­mä­ßi­ge Schu­lun­gen und Sen­si­bi­li­sie­run­gen der Mit­ar­bei­ter z.B. im Rah­men der obli­ga­to­ri­schen Ver­pflich­tung auf das Datengeheimnis
  • Fort­lau­fen­de Infor­ma­ti­on der Unter­neh­mens­füh­rung und Mit­ar­bei­ter über neue Bedro­hungs­sze­na­ri­en auf­grund tech­ni­scher Weiterentwicklungen

Ihr Daten­schutz­be­auf­trag­ter ist gefordert

Die­se fort­wäh­ren­de Tätig­keit in Abstim­mung mit Unter­neh­mens­füh­rung und IT-Lei­tung ist ein klas­si­sches Tätig­keits­feld für Ihren Daten­schutz­be­auf­trag­ten. Sie haben kei­nen Daten­schutz­be­auf­trag­ten? Dann spre­chen Sie mich an. Even­tu­ell sind Sie in Ihrem Unter­neh­men gesetz­lich zur Bestel­lung ver­pflich­tet. Ver­mei­den Sie unnö­ti­ge Bußgelder.

  • DsiN Sicher­heits­check online: Prü­fen Sie, wie fit Ihr Unter­neh­men in punk­to Daten­si­cher­heit ist

Der Baye­ri­sche Lan­des­da­ten­schutz­be­auf­trag­te Tho­mas Petri legt Tätig­keits­be­richt für 2010 vor

Auf den Web­sei­ten des baye­ri­schen Lan­des­da­ten­schutz­be­auf­trag­ten steht der Tätig­keits­be­richt für 2010 zur Ver­fü­gung. Dar­in moniert Tho­mas Petri das mitt­ler­wei­le in die Jah­re gekom­me­ne Lan­des­da­ten­schutz­ge­setz. Gera­de im Hin­blick auf den Umgang mit per­so­nen­be­zo­ge­nen Daten im Inter­net bestün­de Aktua­li­sie­rungs­be­darf. Wei­ter­hin betrach­tet er die Bün­de­lung der IT-Res­sour­cen des Frei­staats an weni­gen zen­tra­li­sier­ten Stel­len kri­tisch unter Daten­schutz­ge­sichts­punk­ten. Bei dem The­ma Cloud-Com­pu­ting für Behör­den mahnt er Zurück­hal­tung an.

Der voll­stän­di­ge Bericht kann auf www​.daten​schutz​-bay​ern​.de online ein­ge­se­hen oder als PDF abge­ru­fen werden.

Video­über­wa­chung — umsich­tig ein­set­zen, Kon­flik­te vermeiden

Ges­tern ver­laut­bar­te der News­ti­cker von hei­se online Bean­stan­dun­gen des Ham­bur­ger Daten­schutz­be­auf­trag­ten Johan­nes Cas­par an der Pra­xis zur Video­über­wa­chung der eben­falls in Ham­burg ansäs­si­gen ECE-Grup­pe. Die­se betreibt 93 Shop­ping Cen­ter in Deutsch­land. Aus­lö­ser war eine Kon­trol­le des Als­ter­tal-Hau­ses, einem ECE-Shop­ping-Cen­ter in Ham­burg. Cas­par monier­te eine zu umfäng­li­che Video­über­wa­chung, unter ande­rem in Ein­gangs­be­rei­chen zu Toi­let­ten und Umklei­de­räu­men, aber auch von Roll­trep­pen und Auf­ent­halts­räu­men wie Cafés, in denen sich die Besu­cher in Shop­ping-Pau­sen niederlassen.

Cas­pars Behör­de for­der­te dar­auf­hin den Abbau von 24 der 75 instal­lier­ten Kame­ras. ECE zieht sich auf die Posi­ti­on zurück, es sei aus­drück­li­cher Kun­den­wunsch nach Sicher­heit und man wür­de Auf­zeich­nun­gen nur im Fal­le von Straf­ta­ten an die Sicher­heits­be­hör­den wei­ter­lei­ten. Ein Abbau käme daher nur in Ein­zel­fäl­len in Fra­ge. Der Streit liegt nun zur Ent­schei­dung beim zustän­di­gen Ham­bur­ger Ver­wal­tungs­ge­richt. Vom Urteil erhofft sich Cas­par eine Signal­wir­kung auch für ande­re Bun­des­län­der, deren Daten­schutz­be­auf­trag­te die Vor­ge­hens­wei­se begrü­ßen und mittragen.

Das Bun­des­da­te­schutz­ge­setz (BDSG) regelt in § 6b, § 32 und § 38 den Ein­satz von Video­über­wa­chung in öffent­li­chen und nicht-öffent­li­chen Berei­chen. Berei­che wie Bahn­hö­fe, Ban­ken, Fuß­gän­ger­zo­nen, aber auch Ein­kauf­zen­tren dür­fen mit­tels Video­ka­me­ras über­wacht wer­den. Aller­dings gem. § 6b BDSG nur unter bestimm­ten Bedin­gun­gen wie zur Auf­ga­ben­er­fül­lung öffent­li­cher Stel­len, zur Wahr­neh­mung des Haus­rechts oder zur Wahr­neh­mung berech­tig­ter Inter­es­sen, wenn der Zweck kon­kret fest­ge­legt ist und kei­ne schutz­wür­di­gen Inter­es­sen der Betrof­fe­nen entgegenstehen.

Doch selbst wenn das BDSG den Ein­satz der Video­über­wa­chung legi­ti­miert, so gilt salopp gesagt ein­fach Kame­ra auf­hän­gen is’ nich’. Das BDSG sieht viel­mehr eine Rei­he an Maß­nah­men vor, die eine Video­übewa­chung beglei­ten müs­sen. Das beginnt mit einer aus­rei­chen­den Signa­li­sie­rung und hört mit ver­bind­li­chen Rege­lun­gen und Ver­ein­ba­run­gen zwi­schen Arbeit­ge­ber und Arbeit­neh­mer — für den Fall einer Mit­ar­bei­ter­über­wa­chung — nicht auf.

Genug Mög­lich­kei­ten für Unter­neh­men, das pro­ba­te Mit­tel Video­über­wa­chung rechts­wid­rig ein­zu­set­zen und sich den Unmut von Kun­den, Mit­ar­bei­tern und der Lan­des­da­ten­schutz­be­hör­den zuzu­zie­hen. Abhil­fe gibt es. Fra­gen Sie Ihren Daten­schutz­be­auf­trag­ten. Sie haben noch kei­nen? Dann spre­chen Sie mich an.

Die mobile Version verlassen