Die Rettung aus der Anonymisierungskrise

Regelmäßig beschwören in einem ersten Schritt Unternehmen und Behörden, dass die durch sie genutzten Daten anonym seien – sie können auf keinen Fall konkreten Personen zugeordnet werden, zudem interessiere man sich für konkrete Personen ohnehin nicht. In einem zweiten Schritt berichten dann Medien, meist unter Hinzuziehung technisch Versierter, dass irgendwie dann doch ein Personenbezug hergestellt werden kann. Gibt es also etwas wie Anonymisierung überhaupt und könnten synthetische Daten eine Alternative sein?

Zu diesem Thema haben wir einen Beitrag in das kes Special B Datenschutz 3/2020 gestellt, dass im Juni erschienen ist.

Lesen Sie hier weiter:

/von

MS Office 365 und der Datenschutz – es hat sich etwas getan

Lange Zeit stand Microsoft Office 365 in der Kritik der Datenschützer. Nach den Erkenntnissen einer Datenschutz-Folgenabschätzung, die im Auftrag des niederländischen Ministeriums für Justiz und Sicherheit angefertigt wurde und der Eingabe der niederländischen Aufsichtsbehörde, hat sich inzwischen seitens Microsoft einiges getan.

  • Ende April 2019 hat Microsoft die Datenschutzeinstellungen in Office 365 geändert, sodass diese nun der Datenschutz-Grundverordnung (DSGVO) entsprechen. Die Nutzer haben seitdem die Möglichkeit, die Telemetrie- und Diagnosedaten sowohl einzusehen als auch die Datenübermittlung zu deaktivieren und somit blockieren zu können.
  • Microsoft musste DSGVO-konforme Anpassungen bezüglich der Zweckgebundenheit, das Recht auf Korrektur und Löschen sowie der expliziten Einverständniserklärung der betreffenden Personen für die Verarbeitung ihrer Daten vornehmen.
  • Zum Jahreswechsel 2019/2020 hat Microsoft zudem auch seine Online Service Terms (OST) für Firmenkunden geändert. Diese „Cloud-Verträge“ enthalten nun die Änderungen, die mit der niederländischen Regierung ausgehandelt wurden und gelten weltweit für alle öffentlichen Organisationen und Firmenkunden. Dabei hat sich Microsoft auch explizit dazu bekannt, die Rolle des Datenverantwortlichen zu übernehmen.

Die niederländische Aufsichtsbehörde kam zu dem Ergebnis, dass die aktualisierte Office 365 ProPlus Version 1905 nun DSGVO konform genutzt werden kann. Voraussetzung dafür ist allerdings eine im Vorwege vorgenommene Datenschutzfolgeabschätzung nach Art. 35 DSGVO sowie eine Auseinandersetzung mit den datenschutzfreundlichen Einstellungen des Tools.

Hier einige Empfehlungen für den DSGVO-konformen Betrieb der Office 365 ProPlus Version 1905:

Windows Einstellung

Stellen sie die Telemetrie- und Diagnosedatenübermittlung von Windows 10 Enterprise auf „Sicher“. Die Nutzeraktivitäten dürfen nicht mit der Zeitachsen-Funktion von Windows 10 synchronisiert werden.

Programm zur Verbesserung der Benutzerfreundlichkeit

Deaktivieren Sie die Funktion zur Datenübermittlung an das Microsoft-Programm zur Verbesserung der Benutzerfreundlichkeit.

Beschränkung der Diagnosedaten

Die Übermittlung der Diagnosedaten muss auf die geringste Stufe „Keine“ eingestellt werden.

Connected Experiences

Optional verbundene Dienste sollten deaktiviert werden.

Abschluss eines Auftragsverarbeitungsvertrags

Dies gilt insbesondere für die Nutzung von „Teams“. Hier wäre zudem eine Aufnahme in die eigene Datenschutzerklärung notwendig.

Linked-In-Integration

Eine Integration von Linked-In Accounts der Mitarbeiter ist nicht zulässig.

Workplace Analytics, Activity Reports, Delve

Diese Funktionen sollten nur genutzt werden, wenn diese vom Datenschutzbeauftragten geprüft wurden, da hier Leistungsdaten ausgewertet werden. Zudem wäre dann ggf. auch der Betriebsrat mit einzubeziehen.

Kunden-Lockbox

Bearbeiten Sie sensible Dokumente mit Office 365 sollte die Nutzung der Kunden-Lockbox-Funktion von Microsoft in Betracht gezogen werden. Somit wäre eine kundenseitige Verschlüsselung der Dokumente sichergestellt.

Office-Online und Office-Mobile

Die Verwendung der Office 365 Webanwendung und der Office Apps erfüllte derzeit nicht das notwendige Schutzniveau. Eine Nutzung sollte daher vorerst nicht erfolgen.

EU-Standardvertragsklauseln

Vorbehaltlich der rechtlichen Überprüfung durch den EuGH, müssen die in den Online Service Terms enthaltenen EU-Standardvertragsklauseln abgeschlossen werden.

Eine dauerhafte Garantie zum datenschutzkonformen Einsatz von Office 365 kann derzeit niemand geben. Die rechtlichen und behördlichen Entwicklungen müssen weiter beobachtet werden. Hier ist insbesondere das Ergebnis aus dem Verfahren Schremms II vor dem EUGH relevant. Bis jetzt ist ein Datentransfer auf Server in den USA aufgrund der Zertifizierung nach EU-US Privacy Shield rechtlich (noch) zulässig.

/von
,

Corona-Pandemie – Datenschutzkonformes Arbeiten im Home Office

Von Hans-Christian Schellhase, ANMATHO AG

Deutschland steht in Zeiten von COVID-19 (fast) still, im öffentlichen Raum bewegen sich nur Wenige. Schaut man jedoch in die Häuser und Wohnungen, finden sich dort momentan improvisierte Schulen, Spielplätze, Toilettenpapier-Lager, Fitness-Studios aber auch Büros, denn viele Beschäftigte arbeiten momentan im Home-Office. Diese Art der Arbeit ist allerdings eine, die datenschutzspezifische Herausforderungen mit sich bringt. Was sollte also hinsichtlich der Arbeit im Home-Office in Sachen  Datenschutz beachtet werden?

Was sollten Beschäftigte im Home-Office beachten?

Arbeitet ein Beschäftigter im sog. Home-Office, also flexibel von Zuhause aus, ist er dabei regelmäßig dem gleichen datenschutzrechtlichen Regelwerk unterworfen wie auch bei der Arbeit im Büro:

  • Werden personenbezogene Daten also auch im Home-Office verarbeitet, dies ist regelmäßig der Fall, muss der Beschäftigte darauf achten, dass diese Daten nicht von Dritten – insbesondere Familienmitgliedern – eingesehen oder sonst wahrgenommen werden können. Dokumente sollten etwa nicht für alle einsehbar auf dem Küchentisch oder im Wohnzimmer ausgebreitet und Bildschirme so gedreht werden, dass Dritte ihre Inhalte nicht erkennen können. Auch Telefonate sollten möglichst nicht in Anwesenheit anderer geführt werden. Schaffen Sie sich gerne Zuhause – soweit möglich – einen eigenen Bereich zum Arbeiten.
  • Optimal wäre es nach Möglichkeit in einem separaten, abschließbaren Raum zu arbeiten. Ist dies nicht möglich, sollte zumindest die Aufbewahrung aller personenbezogenen Daten, vornehmlich aller betrieblichen Unterlagen, in einem abschließbaren Schrank erfolgen.
  • Die vom Arbeitgeber für die Tätigkeit im Home-Office bereitgestellten technischen Geräte, vornehmlich Smartphones und Laptops, sollten zudem nicht privat genutzt werden, soweit für eine private Nutzung keine entsprechenden Vereinbarungen mit dem Arbeitgeber bestehen. Kinder dürfen diese Geräte also nicht für Hausaufgaben, das Surfen im Internet oder Computerspiele verwenden. Zudem sollte das jeweilige Geräte gesperrt werden, wenn es – ggf. auch nur kurzzeitig – nicht genutzt wird.
  • Berufliche E-Mails dürfen auch im Home-Office nicht zu ihrer Bearbeitung an private E-Mail-Postfächer der Beschäftigten weitergeleitet werden. Darüber hinaus dürfen – wie im Büro – auch keine Clouddienste über den privaten Account des Beschäftigten genutzt werden, um etwa betriebliche Dokumente oder andere Daten mit anderen Beschäftigten oder Dritten auszutauschen, dies gilt ebenso für private USB-Sticks oder Festplatten, die ebenso nicht für die berufliche Tätigkeit verwandt werden dürfen. Jeder Beschäftigte darf auch im Home-Office regelmäßig nur die Arbeitsmittel einsetzten, die ihm vom Arbeitgeber zur Verfügung gestellt wurden, hierdurch soll etwa auch ein Datendiebstahl durch Dritte verhindert werden.
  • Private Telefone oder Smartphones, die auch für die Arbeit im Büro nicht genutzt werden dürfen, dürfen auch im Home-Office nicht zur Erledigung der beruflichen Tätigkeit genutzt werden. Alle Beschäftigten müssen daher insbesondere auf Telefonate oder das Schreiben von Nachrichten mit den privaten Geräten zur Erledigung der beruflichen Tätigkeit verzichten, soweit es keine Bring-Your-Own-Device-Regelungen mit dem Arbeitgeber gibt.
  • Müssen Ausdrucke oder andere Papierdokumente vernichtet werden, sollte dies auch im Home-Office datenschutzkonform erfolgen. Ausdrucke von personenbezogenen Daten und anderen sensiblen Inhalten sollten somit nur mit Hilfe eines Schredders vernichtet oder zumindest mit einer gewissen Sorgfalt in kleine Stücke zerrissen werden.

Was muss der Arbeitgeber hinsichtlich einer Tätigkeit der Beschäftigten im Home-Office beachten?

Damit auch im Home-Office der Datenschutz nicht zu kurz kommt, treffen auch den Arbeitgeber gewisse Pflichten:

  • Der Arbeitgeber muss alle Beschäftigten zunächst auf die Problematik des Datenschutzes im Home-Office ausführlich hinweisen und sollte dies auch dokumentieren. Im Rahmen dieser Sensibilisierung sollte der Arbeitgeber wenigstens die oben erläuterten Punkte aufgreifen.
  • Der Arbeitgeber muss zudem den im Home-Office arbeitenden Beschäftigen eine IT-Ausstattung zur Verfügung stellen, mit der die datenschutzkonforme Arbeit auch möglich ist. Werden Laptops ausgegeben, sollte deren Festplatte etwa verschlüsselt werden. Das gilt auch für die vom Arbeitgeber ausgegebenen USB-Sticks oder andere Speichermedien. Auch Smartphones, samt Speichermedien wie SD-Karten, sind zu verschlüsseln.
  • Der Arbeitgeber sollte zudem alle Bildschirme von betrieblichen Geräten für das Home-Office mit entsprechenden Sichtschutzfolien ausstatten, damit deren Inhalte nur schwer eingesehen werden können, solche gibt es auch für Smartphones.
  • Der Zugriff auf das jeweilige Betriebssystem und auch alle anderen vom Arbeitgeber bereitgestellten elektronischen Endgeräte muss zudem mit einem Kennwort oder einer PIN versehen werden.
  • Die elektronische Datenübermittlung – etwa E-Mail – muss nach dem Stand der Technik verschlüsselt sein, Zugriffe auf die Systeme des Arbeitgebers sollten lediglich über VPN, SSL bzw. TLS möglich sein. Die eingesetzten Verschlüsselungen sollten darüber hinaus auf ihre Belastbarkeit getestet werden, bevor Beschäftigte sie in großer Zahl nutzen.
  • Es sollte weiter ein Konzept zum Umgang sowie hinsichtlich der Vernichtung von sensiblen Unterlagen und Ausdrucken aber auch zu den anderen bereits oben betrachteten Punkten erarbeitet werden. Hier wäre ebenfalls zu prüfen, ob der Arbeitgeber auch für das Home-Office Drucker, Scanner, Kopierer oder Schredder – zumindest zeitweise – zur Verfügung stellt.

 Die Bazooka für den Home-Office-Datenschutz: Die Home-Office-Richtlinie

Sofern zeitlich noch oder wieder möglich, sollte die Arbeit der Beschäftigten im Home-Office in einer Richtlinie geregelt werden, wobei bei der Formulierung einer solchen Richtlinie der Datenschutzbeauftragte sowie ggf. auch der Betriebsrat miteinzubeziehen sind.

Bleiben Sie tapfer und gesund!

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

ANMATHO-FORUM 2019

Wie jedes Jahr haben wir auch 2019 mit unserem ANMATHO-Forum gemeinsam mit unseren Kunden das Geschäftsjahr ausklingen lassen.

In weihnachtlichem Ambiente haben wir mit einem Live Hacking von Sebastian Schreiber von der SySS GmbH und mit mentaler Magie mit dem Mentalisten Thorsten Dankworth auf unterhaltsame Weise die Gefahren in unserer digitalen Welt aufgezeigt. Es wurde wieder einmal deutlich, wie wichtig die richtige Awareness, ein gutes Informationssicherheits-Management sowie Fortbildung in den Bereichen Informationssicherheit und Datenschutz ist.

Unter dem Motto „Neue Räume -neue Aufgaben“ haben wir unser neues Seminarprogramm 2020 vorgestellt, das mit unserem Umzug in unsere neuen Räumlichkeiten entstanden ist, um unsere Kunden bei der Sicherstellung ihrer Unternehmenswerte noch besser unterstützen zu können. Im Anschluss an die Vorträge hatten alle Teilnehmer die Möglichkeit, sich Einblicke in einzelne Seminarthemen zu verschaffen, einen Blick auf 1 ½ Jahre Datenschutz zu werfen oder an interaktiven Stationen Awareness-Tools zu testen. Gute Gespräche, ein konstruktiver Erfahrungsaustausch und ein reichhaltiges Buffet rundeten diesen Tag für alle ab.

Wir sagen noch einmal Danke an die Referenten und alle Teilnehmer, die diesen Tag auch für uns zu einem besonderen Ereignis gemacht haben.

/von

DS-GVO – Datenschutz-Grundverordnung

Wie sahen Ihre Gesichtszüge aus, als Sie diese Überschrift gelesen haben? Genervt, wütend oder verzweifelt? Das ist schade, denn Hysterie oder Resignation rund um die Buchstaben „DS-GVO“ helfen niemandem weiter.

Datenschutz und Datenschutzgesetze gab es bereits vor dem 25. Mai 2018 und vor allem in Deutschland hat sich weit weniger geändert, als uns so mancher glauben lassen will. Glauben Sie mir gerne, wenn ich Ihnen verrate, dass ich mich bereits 2010 mit dem Thema Datenschutz in meinem Jurastudium beschäftigt habe. Auch damals gab es etwa ein Bundesdatenschutzgesetz (BDSG) sowie Abschnitte im Telekommunikationsgesetz (TKG) und im Telemediengesetz (TMG), die sich ganz intensiv mit dem Thema Datenschutz auseinandersetzten.

Um es vorwegzunehmen: Einen sinnvollen Datenschutz braucht es! Aber vielleicht sollten eher die „großen Player“ und ihre Dienstleistungen, die häufig alles andere als datenschutzkonform gestaltet sind, unter die Lupe genommen werden. Wenn Kitas im Namen des Datenschutzes sämtliche Gesichter der betreuten Kinder schwärzen, man für die öffentliche Bekanntgabe einer Beerdigung mindestens einen Monat im Voraus eine Einwilligung im Pfarrbüro abgeben soll, Tischreservierungen nicht mehr namentlich erfolgen dürfen und sich Ihr Friseur nicht mehr traut Sie namentlich zu begrüßen, führt das zu Recht zu Unverständnis.

Also, lassen Sie sich gerne von Ihrem Arzt mit Ihrem vollen Nachnamen laut aufrufen und behalten Sie bitte im Auge: Der Datenschutz soll den Menschen dienen, nicht anders herum. Bleiben Sie tapfer!

Autor: Christian Schellhase ANMATHO AG

/von

Ist Ihr Unternehmen DS-GVO-konform?

Die DS-GVO gilt seit dem 25. Mai 2018 und die meisten Unternehmen haben bisher viel Zeit sowie Geld aufgewendet, um die neuen datenschutzrechtlichen Anforderungen umzusetzen. Aber ist Ihr Unternehmen jetzt schon datenschutzkonform?

Nachdem nun die Umsetzungshektik verflogen ist, sollte man sich die Zeit nehmen und das bisher Geschaffene erneut einer kritischen Prüfung unterziehen, bemühen Sie hier gerne den „kontinuierlichen Verbesserungsprozess“. Möglicherweise liegt die Erarbeitung der einen oder anderen Sache auch bereits geraume Zeit zurück und sie ist nicht mehr ganz aktuell? Nur so wird man nicht überrascht, wenn sich ein Betroffener beschwert oder gar die Aufsichtsbehörde prüft.

Sehr hilfreich bei dieser Prüfung ist, dass die Aufsichtsbehörden diejenigen Fragen veröffentlicht haben, die sie regelmäßig im Zusammenhang mit Prüfungen stellen. So hat etwa die Landesbeauftragte für den Datenschutz Niedersachsen einen „Kriterienkatalog zur Querschnittsprüfung in der Wirtschaft 2018/19“ veröffentlicht, den Sie hier finden: https://lfd.niedersachsen.de/startseite/datenschutzreform/ds_gvo/kriterien-querschnittspruefung-179455.html. In diesem Kriterienkatalog sind jedoch nicht nur „Standardfragen“ zu „prominenten“ Themen wie etwa dem Verzeichnis von Verarbeitungstätigkeiten oder den Betroffenenrechten enthalten, die hier aufgeführten Fragen gehen durchaus in die Tiefe und können auch mal „weh tun“.

Beim technischen Datenschutz werden der risikobasierte Ansatz und der damit einhergehende Abwägungsprozess „abgeklopft“. Mit Blick auf die Datenschutzfolgenabschätzung werden zudem nicht nur die vorhandenen Datenschutzfolgenabschätzungen geprüft, die Untersuchung setzt bereits eine Stufe höher an und prüft den Entscheidungsprozess, ob Verarbeitungen einer Datenschutzfolgenabschätzung unterzogen werden müssen oder nicht.

Auch das bayerische Landesamt für Datenschutzaufsicht hat bereits verstärkt mit der Prüfung bei kleinen und mittelständischen Unternehmen begonnen. Den hier bemühten Fragenkatalog finden Sie etwa hier: https://www.lda.bayern.de/media/pruefungen/201811_kmu_fragebogen.pdf.

Was müssen Sie jetzt tun?

Prüfen Sie bitte die Umsetzung des nunmehr geltenden Datenschutzrechtes in Ihrem Unternehmen anhand der veröffentlichten Fragenkataloge. Sollten Sie hierzu Fragen haben oder Unterstützung benötigen, kommen Sie jederzeit gerne auf uns zu.

Was Sie auch interessieren könnte:

Seminar:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von

Die Messenger-App “Briar” kurz vorgestellt

In Sachen Anonymität schlägt „Briar“ alle anderen uns bekannten Messenger. „Briar“-Nutzer kommunizieren über das Anonymisierungsnetzwerk Tor, ohne dass Metadaten anfallen, zudem bleibt selbst die richtige IP-Adresse verborgen. Noch ist der Messenger allerdings sehr spartanisch.

Überblick

Die Messenger-App „Briar“ legt den Fokus vor allem auf Anonymität und setzt dabei auf innovative Wege bei der Übermittlung von Nachrichten. Die App gibt es allerdings auf absehbare Zeit nur für Android. Sie lässt sich im Play-Store von Google sowie im alternativen App-Store F-Droid herunterladen, wobei der Quellcode von „Briar“ öffentlich verfügbar und somit durch jedermann überprüfbar ist.

Nutzer kommunizieren mit „Briar“ direkt miteinander, keine zentrale Datenbank speichert die jeweiligen Nachrichten zwischen, somit fallen keine Metadaten an. Neben dem üblichen Austausch von Nachrichten erlaubt „Briar“ aber auch Gruppenchats. Der Messenger sieht für den Austausch von Nachrichten im Einzel- oder Mehrpersonenverhältnis dabei drei wechselnde Kommunikationskanäle vor: das Anonymisierungsnetzwerk Tor, WLAN oder Bluetooth.

Die Nachteile von Briar: Der Messenger hat bisher keine Telefonie-Funktion und verbraucht relativ viel Akkuleistung.

Sicherer Kommunikationsraum für jedermann

Erst seit Mai 2018 ist die erste, voll funktionsfähige Version von „Briar“ verfügbar. Gefördert wird das junge Projekt dabei unter anderem vom Bundesministerium für Bildung und Forschung sowie der Organisation „Open Knowledge Foundation Deutschland“.

„Unser Ziel ist es, Menschen aus allen Herkunftsländern einen sicheren Raum zur Verfügung zu stellen, wo sie jedes Thema diskutieren, Veranstaltungen planen und soziale Bewegungen organisieren können“, erklärt das Briar Project auf seiner Website.

Wie kommuniziert „Briar“?

Sobald sich Kommunikationspartner nicht innerhalb desselben Bluetooth- oder WLAN-Netzes befinden, nutzt der Messenger das Anonymisierungsnetzwerk Tor für den Datenaustausch. Tor ermöglicht es dabei miteinander zu kommunizieren, ohne die eigene IP-Adresse preiszugeben. Die IP-Adresse funktioniert ähnlich wie die Postadresse im nicht-digitalen Raum und identifiziert jeden Internetanschluss in der Regel eindeutig. Befinden sich Nutzer dagegen in räumlicher Nähe zueinander, kann „Briar“ Nachrichten auch über WLAN oder Bluetooth austauschen.

Hinzufügen von Nutzern

Es gibt zwei Möglichkeiten in „Briar“ Kontakte hinzuzufügen.

Erste Möglichkeit: Beide Kommunikationspartner treffen sich und fotografieren jeweils einen QR-Code, der auf dem Smartphone des anderen erscheint.

Zweite Möglichkeit: Zwei Nutzer haben einen gemeinsamen „Briar“-Kontakt, der sie über eine Vorschlagsfunktion miteinander verbindet, so wird ausgeschlossen, dass sich Fremde als Freunde ausgeben.

Beim oben beschriebenen Abgleich der QR-Codes kommunizieren die Geräte dabei per Bluetooth miteinander. Dies scheitert allerdings regelmäßig, wenn auf beiden Geräte Android 8 oder höher installiert ist, da Google den Datenaustausch per Bluetooth ab Android 8 eingeschränkt hat. Nutzer müssen stattdessen dafür Sorge tragen, dass sich beide Geräte im gleichen WLAN befinden, dann wechselt „Briar“ für einen entsprechenden Abgleich vom Bluetooth- auf den WLAN-Kanal.

Verzicht auf Google-Dienste kostet Akkuleistung

Um zu verhindern, dass „Briar“ von einem Google-Dienst abhängig ist und unnötig Daten anfallen, verzichtet die App auf Googles „Push Notifications“. Bei dieser Funktion „weckt“ der Google-Dienst Apps, beispielsweise wenn eine neue Nachricht eingegangen ist. Damit Nutzer dennoch ohne Verzögerung kommunizieren können, prüft „Briar“ in regelmäßigen Abständen für jeden Kontakt, ob die Kanäle Tor, Bluetooth und WLAN verfügbar sind. Das permanente Prüfen von Kanälen ist dafür verantwortlich, dass „Briar“ viel Akkuleistung in Anspruch nimmt.

Die Vor- und Nachteile von „Briar“ im Überblick

Vorteile:
• „Briar“ ist absolut kostenlos;
• standardmäßige Ende-zu-Ende-Verschlüsselung bei jeglicher Kommunikation;
• Schutz der App selbst durch ein Passwort;
• Nutzung ohne Zugriff aufs Adressbuch möglich;
• keine Speicherung von Nachrichten und Metadaten;
• Quellcode ist offen einsehbar (Open Source).

Nachteile:
• keine Telefonie möglich;
• keine Sprachnachrichten möglich;
• keine Backup-Funktion;
• keine zeitversetzte Kommunikation möglich;
• keine iOS-Version verfügbar;
• keine Desktop-Version verfügbar.

Ergebnis

Im Ergebnis ist „Briar“, im Verhältnis zu anderen Messengern, momentan noch recht spartanisch, mit Blick auf die Sicherheit und Anonymität jedoch unschlagbar.

Autor: Christian Schellhase ANMATHO AG

/von

Kurzbeitrag: Änderung zur Bestellung eines Datenschutzbeauftragten

Der Bundestag hat die Schwelle zur Bestellung eines Datenschutzbeauftragten von 10 auf 20 Personen angehoben. Damit sollen Kleinbetriebe entlastet werden.

Seit dem 28.06.2019 hat der Bundestag einen Gesetzentwurf verabschiedet, der die Schwelle von 10 auf 20 Personen, die mit personenbezogenen Daten im Unternehmen arbeiten, zur Bestellung eines Datenschutzbeauftragten anhebt. Ziel ist es, damit die Bürokratie für Kleinbetriebe zu verringern. Da die gesetzlichen Anforderungen zum Datenschutz weiter bestehen, nimmt man diesen Betrieben eine Beratung, die bei der Umsetzung unterstützt und für eine gewisse Sicherheit sorgt.

Diese Neuregelung gehört zu einem Gesetzespaket, mit dem mehr als 150 Einzelgesetze an die DS-GVO angepasst werden sollen. Da dabei die Pflichten nicht verringert werden, steigt das Haftungsrisiko und die Wahrung des hohen Datenschutzniveaus wird schwieriger. Ob uns die Gesetzgebung damit wirklich einen Gefallen tut, ist umstritten.

Das Gesetz wurde am 20. September 2019 vom Bundesrat verabschiedet.

/von

Neues EUGH-Urteil zu Facebook Social-Media-Plugins

Am 29.07.2019 urteilte das EuGH zum Thema Facebook Plugin, nach dem die Verbraucherzentrale Nordrhein-Westfalen eine Unterlassungsklage eingereicht hatte.

Geklagt wurde aufgrund des „Gefällt mir-Buttons“ auf einer Webseite. Der Grund dafür ist, dass bereits beim Laden der Teilen-Knöpfe der Browser persönliche Daten wie die IP-Adresse oder lokal abgelegte Cookies an die sozialen Dienste sendet. Das passiert auch dann, wenn ein Webseitenbesucher gar kein Konto bei Facebook, Google und Twitter hat oder die Teilen-Funktion nicht nutzen möchte.

Laut der Verbraucherschutzzentrale sollten solche Buttons nur verwendet werden dürfen, wenn der Webseitenbesucher vorab informiert wurde und zugestimmt hat. Das Oberlandesgericht Düsseldorf hat das Verfahren ausgesetzt, um vom EuGH klären zu lassen, ob der Webseitenbetreiber bezüglich der Social-Media-Plugins überhaupt als Verantwortlicher Datenschützer zu sehen ist.

Mit dem jetzigen Urteil wird der Webseitenbetreiber als Mitverantwortlicher gesehen. Das heißt, dass er bevor das Plugin aktiviert wird, den Besucher in ausreichender Art und Weise informieren muss. Weiterhin müssen die gemeinsam Verantwortlichen in einer Vereinbarung festlegen wer welche Verpflichtungen übernimmt. Von Facebook sollte demnächst eine solche Vereinbarung zur Verfügung gestellt werden. Diese Vereinbarung ist mit in die Datenschutzdokumentation aufzunehmen. Die Plugins müssen zukünftig solange deaktiviert sein, bis der Nutzer sie aktiviert und damit seine Zustimmung erteilt hat. Dies ist zum Beispiel über die Shariff-Lösung möglich. Zu guter Letzt ist die Datenschutzerklärung entsprechend anzupassen.

Die Umsetzung sollte zeitig geschehen, da die Aufsichtsbehörden bereits angekündigt haben, die Einhaltung besonders was die Information und Einwilligung angeht zu prüfen.

/von
, ,

Geschäftsgeheimnisgesetz: Das müssen Unternehmen jetzt tun!

Nach monatelangen Verhandlungen hat der Bundestag am 21.03.2019 das Geschäftsgeheimnisgesetz (GeschGehG) beschlossen, das bereits in Kraft getreten ist. Es ist also höchste Zeit für Unternehmen sich damit auseinanderzusetzen, was das neue GeschGehG für den Schutz ihrer Geschäftsgeheimnisse bedeutet und welcher Handlungsbedarf besteht.

Der Begriff des Geschäftsgeheimnisses

Bisher existierte in der Europäischen Union kein einheitliches Recht, was dem Schutz von Geschäftsgeheimnissen diente. In Deutschland waren Geschäftsgeheimnisse vor allem nach § 17 UWG geschützt. Nach der Rechtsprechung des Bundesgerichtshofs (BGH) galt als Geschäfts- oder Betriebsgeheimnis jede im Zusammenhang mit einem Geschäftsbetrieb stehende Tatsache, die nicht offenkundig sondern nur einem begrenzten Personenkreis bekannt war und nach dem bekundeten, auf wirtschaftlichen Interessen beruhenden Willen des Betriebsinhabers geheim gehalten werden sollte.

Nach der Definition in § 2 Nr. 1 GeschGehG ist hingegen ein Geschäftsgeheimnis eine Information,

  • die geheim ist (nicht allgemein bekannt bei Kreisen, die üblicherweise mit solchen Informationen umgehen, und nicht ohne weiteres zugänglich),
  • die von wirtschaftlichem Wert ist (geschützt wird nur ein wirtschaftliches und kein privates Geheimhaltungsinteresse),
  • die mit angemessenen Geheimhaltungsmaßnahmen geschützt wird und
  • bei der ein berechtigtes Interesse an der Geheimhaltung besteht.

Maßnahmen, die der Geheimhaltung dienen, sind daher nach momentan geltendem Recht nicht mehr nur notwendig, um tatsächlich dem Verlust von Geschäftsgeheimnissen entgegenzuwirken, vielmehr gilt jetzt: Werden keine angemessenen Geheimhaltungsmaßnahmen getroffen, liegt schon gar kein Geschäftsgeheimnis vor und der Schutz des GeschGehG greift nicht.

Wie sehen angemessene Geheimhaltungsmaßnahmen aus?

Wann Geheimhaltungsmaßnahmen den Umständen nach angemessen im Sinne des § 2 Nr. 1 GeschGehG sind, ist eine Frage des Einzelfalls. Die wirtschaftliche Bedeutung ist hierbei das wichtigste Kriterium für ein Geschäftsgeheimnis des Unternehmens. Handelt es sich vorliegend um die „Kronjuwelen“, deren Offenlegung oder Nutzung durch Wettbewerber existenzbedrohend sein könnte? Oder geht es um Geheimnisse, die zwar wichtig für das Unternehmen sind, aber in ihrer Gesamtheit doch eher untergeordnete wirtschaftliche Bedeutung haben? Je wichtiger ein Geschäftsgeheimnis für das Unternehmen ist, desto striktere Schutzmaßnahmen müssen ergriffen werden, damit diese als angemessen gelten können. Im Übrigen ist es wohl verfehlt, alle geheimhaltungsbedürftigen Informationen mit der höchsten Geheimhaltungsstufe zu versehen und mit besonderen Sicherungsmaßnahmen zu schützen. Insbesondere müssen die Geheimhaltungsmaßnahmen und der damit einhergehende Aufwand in einem angemessenen Verhältnis zur wirtschaftlichen Bedeutung des Geschäftsgeheimnisses stehen. Von einem Konzern könnten zudem möglicherweise striktere Geheimhaltungsmaßnahmen verlangt werden, als von einem mittleren oder kleineren Unternehmen. Was genau „angemessener Schutz“ bedeutet, wird daher noch durch die Rechtsprechung zu konkretisie-ren sein.

Wie verhält es sich jetzt mit dem Reengineering?

Ein Reengineering – mithin der Nachbau eines Produktes – um ein Nachvollziehen von Geheimnissen oder vielmehr deren Entschlüsselung zu ermöglichen, wird nach momentaner Rechtslage in Zukunft – zumindest teilweise – zulässig sein!

Welche rechtlichen Möglichkeiten habe ich nun bei Geheimnisverletzungen?

Der Inhaber eines verletzten Geschäftsgeheimnisses hat nach der neuen Gesetzeslage dieselben Ansprüche wie etwa der Inhaber eines verletzten Patents. Konnte bisher vom Verletzenden lediglich Schadensersatz, Unterlassung und Auskunft verlangt werden, wird der „juristische Werkzeugkasten“ nun etwa auch um Ansprüche auf Vernichtung verletzender Produkte, Herausgabe, Rückruf sowie dauerhafte Entfernung der verletzenden Produkte aus dem Markt erweitert. Dies ist eine erhebliche Besserstellung von Inhabern verletzter Geheimnisse.

Wie steht es nun um das „Whistleblowing“?

Der Schutz von sog. Whistleblowern und Journalisten, die Geschäftsgeheimnisse im Rahmen ihrer Veröffentlichung von Missständen in Unternehmen offenlegen, war einer der wesentlichen Gründe für komplexe Diskussionen im Rahmen des Gesetzgebungsverfahrens in Deutschland. Im Ergebnis einigte man sich auf einen hohen Whistleblower-Schutz.

Solange sich die Offenlegung des Geschäftsgeheimnisses durch den Whistleblower zum Schutz des öffentlichen Interesses eignet, macht er sich im Falle eines Geschäftsgeheimnisverrats nicht strafbar. Was auch dies im Einzelnen bedeutet, bleibt weiter – insbesondere mit Blick auf die Rechtsprechung – abzuwarten.

Was müssen Unternehmen jetzt tun?

Der Schutz von Geschäftsgeheimnissen nach dem GeschGehG ist nicht verpflichtend, anders als etwa die Vorgaben der DS-GVO umzusetzen. Dennoch müssen Unternehmen handeln, um ihre Geschäftsgeheimnisse zu schützen und sich im Streitfall auch durchsetzen zu können.

Wir empfehlen ein 3-stufiges Konzept:

Zunächst sollten alle Geschäftsgeheimnisse im gesamten Unternehmen identifiziert werden. Anschließend sollten in einem zweiten Schritt alle Geheimnisse bewertet und kategorisiert werden.

Je nach Wichtigkeit des Geschäftsgeheimnisses sind in einem dritten Schritt entsprechende Schutzmaßnahmen zu treffen. Schutzmaßnahmen sind jedoch keinesfalls nur rechtlicher Natur. Neben vertraglichen Vereinbarungen, Compliance-Maßnahmen und Arbeitsanweisungen sind auch technische und organisatorische Maßnahmen zu treffen, vor allem sollte hier eine Mitarbeiter-Sensibilisierung sowie die Verbesserung der IT- und Werkssicherheit stattfinden. Dies ist – wie bei der Umsetzung des Datenschutzes oder der Informationssicherheit im Unternehmen – nur unter Einbeziehung verschiedenster Abteilungen sowie Fachrichtungen im Unternehmen umsetzbar. Entscheidende Werkzeuge für den Erfolg einer Umsetzung können hier wiederum ein Datenschutz- oder Informationssicherheitsmanagementsystem sein.

Ergebnis

Sie müssen jetzt handeln! Unternehmen, die ihre Geheimnisse auch zukünftig schützen möchten und vor allem entsprechende Ansprüche durchsetzen wollen, sind jetzt gefordert, angemessene Schutzmaßnahmen zu ergreifen und zu dokumentieren!

/von

ANMATHO AG

Beratungsunternehmen für
Informationssicherheit & Datenschutz

Winterhuder Weg 82
22085 Hamburg

Tel: +49(0)4022947190
E-Mail: info@anmatho.de

Wir sind Mitglied im:

© ANMATHO AG

Impressum

Datenschutzhinweise

Veranstaltungsbedingungen