Archiv für die Kategorie: Ereignisse

Die Umsetzung von Datenschutzregelungen in diesem Jahr stellt Unternehmen vor große Herausforderungen. Problematisch: Den meisten Firmen fehlt es an Fachkräften, um die häufig zeitaufwändigen Aufgaben zu bewältigen.

Mehr als jedes zweite Unternehmen (56 Prozent) in Deutschland hat weniger als eine Vollzeitstelle für Mitarbeiter eingeplant, die sich hauptsächlich mit Datenschutzthemen befassen. Zu diesem Ergebnis kommt eine repräsentative Bitkom-Umfrage. Die Zeit drängt, denn mit der ab 25. Mai 2018 gültigen Datenschutzgrundverordnung (DSGVO) ergeben sich viele neue Pflichten für die Firmen. »Der Arbeitsaufwand bei der Umsetzung der Datenschutzgrundverordnung ist enorm, gleichzeitig suchen Unternehmen händeringend nach passenden Fachkräften«, sagt Susanne Dehmel, Mitglied der Bitkom-Geschäftsführung für Recht und Sicherheit. In genau eine Vollzeitstelle für Datenschutzangelegenheiten investiert gut jedes vierte Unternehmen (27 Prozent). Mehr als eine Vollzeitstelle für Datenschutz-Fachkräfte gibt es in 14 Prozent der Unternehmen.

Ab Mai müssen alle Firmen die DSGVO beachten. Im Mittelpunkt steht dabei für viele Unternehmen, ein Verarbeitungsverzeichnis für Personendaten zu erstellen. Außerdem müssen sie Prozesse in der Produktentwicklung anpassen, um dem neuen Grundsatz des Privacy by Design gerecht zu werden. Darüber hinaus haben die Firmen zahlreiche Informationspflichten gegenüber ihren Kunden.

E-Privacy-Verordnung steht vor der Tür

Voraussichtlich in der zweiten Jahreshälfte 2018 will die EU über die sogenannte E-Privacy-Verordnung entscheiden. Ziel dieser Verordnung ist es zum einen, die Vertraulichkeit der Kommunikation zu schützen. Zum anderen formuliert die E-Privacy-Verordnung zusätzliche Datenschutzvorschriften, die besonders im Bereich der Verarbeitungs- und Speicherfunktion in Endgeräten wie PCs, Tablets oder Smartphones über die Datenschutzgrundverordnung hinausgehen. »Künftige Innovationen werden durch die E-Privacy-Verordnung bedroht«, kritisiert Dehmel den aktuellen Gesetzentwurf der EU-Kommission zur E-Privacy-Verordnung. So werde die bereits gefundene Balance zwischen dem Schutz der Privatsphäre einerseits und neuen Technologien andererseits wieder zerschlagen.

»Was die Datenschutzgrundverordnung erlaubt, darf die E-Privacy-Verordnung nicht wieder zurückdrehen«, fordert Dehmel. Bislang stellt die E-Privacy-Verordnung in mehreren Bereichen eine nach DSGVO erlaubte Datenverarbeitung entweder unter den Vorbehalt einer strengeren Form der Einwilligung oder untersagt sie sogar vollständig. Zudem würden durch den Kommissionsentwurf auch Vorgänge erfasst werden, bei denen die Verarbeitung von personenbezogenen Daten keine Rolle spielt.

Link zur BITKOM Pressemeldung

F-Secure weist auf eine Sicherheitslücke in der Active Management Technology (AMT) von Intel hin, über die ein Angreifer mit Zugang zum Gerät sich binnen weniger Sekunden eine Hintertür einrichten kann.

Als hätte Intel mit »Meltdown« und »Spectre« aktuell nicht genug zu tun, lauert auf vielen Systemen mit Intel-Chips ein weiteres Sicherheitsproblem. Wie F-Secure vermeldet, ist die BIOS-Erweiterung für AMT – eine Fernwartungstechnologie, die von vielen Firmen genutzt wird – durch ein gesetztes BIOS-Passwort nicht geschützt. Ein Angreifer, der Zugang einem Gerät hat, kann es daher schnell booten und auf die AMT-Funktion zugreifen, etwa um den Rechner für einen späteren Fernzugriff zu konfigurieren. Dafür muss während der Boot-Sequenz nur [STRG] + [P] gedrückt werden. Anschließend kann man sich fast immer mit dem Standardpasswort »admin« bei der »Intel Management Engine BIOS Extension« (MEBx) anmelden, da die wenigsten Unternehmen dieses ändern. Nach dem Login ist es dann für den Angreifer möglich, ein neues Passwort zu vergeben, den Remote-Zugriff zu aktivieren und Funktionen wie »AMT User Opt-In« zu deaktivieren.

Das alles lässt sich F-Secure zufolge in weniger als 30 Sekunden durchführen. Die Empfehlung des Security-Herstellers an End User lautet daher auch, Notebooks in der Öffentlichkeit nicht einmal für kurze Zeit unbeaufsichtigt zu lassen – am besten nicht mal in Hotelzimmern. Harry Sintonen, der als Senior Security Consultant bei F-Secure das Sicherheitsproblem untersucht hat, bezeichnet einen derart durchgeführten Angriff als »fast schon lächerlich einfach«. Es stecke ein »enorm destruktives Potenzial« in der Schwachstelle: »In der Praxis gibt sie einem Angreifer die komplette Kontrolle über Arbeitslaptops, selbst wenn eigentlich umfangreiche Sicherheitsmaßnahmen eingerichtet wurden«, erklärt er.

In der Regel kann der Angreifer nach der Manipulation nur auf den Rechner zugreifen, wenn er sich im gleichen LAN befindet. In einigen Fällen sei es jedoch möglich, einen eigenen CIRA-Server (Client Initiated Remote Access) einzutragen, so F-Secure. Damit wäre dann sogar ein Zugriff von außerhalb des lokalen Netzwerks möglich.

F-Secure rät Unternehmen, starke Passwörter für AMT zu vergeben oder die Funktion zu deaktivieren, so sie nicht benötigt wird. Intel sah lange vor allem die Gerätehersteller in der Pflicht. Weil jedoch nur wenige der Anweisung des Chipproduzenten folgten, eine Aktivierung von AMT nur nach Eingabe des BIOS-Passworts zu ermöglichen, hatte das Unternehmen im vergangenen Dezember eigene Best Practices für Kunden zu dem Thema veröffentlicht (PDF).

70 Prozent der Anwender würden Firmen nach einem Datenschutzproblem durch Aufkündigung der Geschäftsbeziehung abstrafen. Das zeigen die Ergebnisse einer im Auftrag von Gemalto durchgeführten Umfrage unter rund 10.000 Anwendern weltweit, unter anderem auch aus Deutschland. Sieben von zehn der Befragten (69 Prozent) sind der Ansicht, dass Unternehmen die Sicherheit von Kundendaten nicht sehr ernst nehmen.

Trotz dieser Bedenken zeigen sich die meisten Anwender sehr sorglos in Bezug auf die Datensicherheit. Mehr als die Hälfte (56 Prozent) verwendet immer noch dasselbe Passwort für mehrere Online-Konten. Selbst wenn Unternehmen robuste Sicherheitslösungen wie die Zwei-Faktor-Authentifizierung anbieten, werden sie von deren Kunden offenbar häufig nicht genutzt. So geben 41 Prozent der Anwender zu, die Technologie nicht für die Sicherung von Konten in den sozialen Netzwerken zu verwenden, so dass sie dort anfällig für Datenschutzverletzungen sind.

62 Prozent der Befragten finden, dass die Unternehmen die Verantwortung für die Sicherheit der Daten tragen sollten. »Die Verbraucher geben offenbar gerne die Verantwortung für den Schutz ihrer Daten an ein Unternehmen ab, erwarten aber, dass diese ohne jeglichen Aufwand sicher aufbewahrt werden«, sagt Jason Hart, CTO im Bereich Identity and Data Protection bei Gemalto. Angesichts kommender Rechtsanpassungen, wie zum Beispiel der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union müssen die Firmen den Anwendern die richtigen Sicherheitsmechanismen vorgeben, um die Datensicherheit zu gewährleisten. »Es genügt nicht mehr, diese Lösungen als Option anzubieten. Diese Protokolle müssen von Anfang an obligatorisch sein – ansonsten drohen den Unternehmen nicht nur finanzielle Folgen, sondern auch rechtliche Schritte seitens der Verbraucher«, ist Hart überzeugt.

Trotz ihres Verhaltens sind die Sicherheitsbedenken der Kunden hoch. Zwei Drittel (67 Prozent) befürchten, dass sie in naher Zukunft Opfer einer Datenschutzverletzung werden. Die Verantwortung dafür liegt nach Ansicht der Nutzer beim Unternehmen. Wenn ihre Daten gestohlen würden, würde die Mehrheit (93 Prozent) der Verbraucher rechtliche Schritte gegen die kompromittierte Firma einleiten oder erwägen.

Der BvD befasst sich seit langem mit der Entwicklung der Funktion des Datenschutzbeauftragten in der DS-GVO.

Während der Entwicklung der neuen Verordnung hat es viele Termine und Gespräche gegeben, um die Stellung und Rolle des Datenschutzbeauftragen möglichst klar herauszuarbeiten. Durch die zahlreichen Kompromisse in der DS-GVO ist nun aber noch viel Interpretationsbedarf geblieben, der auch durch das BDSG neu nur begrenzt geregelt wird. Aus diesem Grund hat der BvD-Vorstand einen Fragenkatalog entwickelt, der die wesentlichen Fragen und den wichtigsten Klärungsbedarf zum DSB beleuchten sollte – insbesondere um die vieldiskutierten Haftungsfragen zu klären.

Dieser Fragenkatalog war die Grundlage für das Gutachten der Experten von Derra, Meyer & Partner. Die Spezialisten aus den Bereichen Arbeits-, Straf-, und Haftungsrecht haben diese Punkte beleuchtet und versucht, dazu die richtungsweisenden Aussagen zusammenzufassen bzw. auch zu entwickeln. Die Entstehung des Gutachtens wurde durch den BvD-Vorstand eng begleitet, so dass Fragen zur betrieblichen Praxis schnell geklärt werden konnten. Trotzdem haben sich während der Bearbeitung neue Fragen und Aspekte ergeben, die der weiteren Untersuchung bedürfen. Diese werden insbesondere durch den Ausschuss Berufsbild aber auch durch den Vorstand einer weiteren Diskussion und Klärung zugeführt. Insbesondere wird geprüft, welche Mustervorlagen zur Benennung und für die vertragliche Klärung des DSB bereitgestellt werden können.

Hierzu werden wir weiterhin informieren.

Download Gutachten

Hat der Arbeitgeber vor der Einrichtung des Gruppenkalenders in Outlook den Betriebsrat nicht gemäß § 87 Abs. 1 Nr. 6 BetrVG beteiligt, ist eine Weisung, den Gruppenkalender zu benutzen, unwirksam. Eine entsprechende Abmahnung ist aus der Personalakte zu entfernen. So das Urteil des Landesarbeitsgerichts Nürnberg (LArbG Nürnberg, Urteil v. 21.02.2017 – 7 Sa 441/16).

Eine Beteiligung des Betriebsrats lag im Vorfeld der Einführung des Outlook-Gruppenkalenders nicht vor. Auf die Weigerung eines Arbeitnehmers den Gruppenkalender zu nutzen, reagierte der Arbeitgeber mit einer Abmahnung. Dieser klagte auf Entfernung der Abmahnung aus der Personalakte – und bekam Recht.

Im Rahmen seiner Entscheidung ging das Gericht davon aus, dass dem Betriebsrat nach § 87 Absatz 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen zusteht, wenn diese Einrichtung dazu bestimmt ist, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Zur Überwachung »bestimmt« sind technische Einrichtungen dann, wenn sie objektiv geeignet sind, Verhaltens- oder Leistungsinformationen der Arbeitnehmer zu erheben und aufzuzeichnen; auf die subjektive Überwachungsabsicht des Arbeitgebers kommt es nicht an (Bundesarbeitsgericht – Beschluss vom 10.12.2013 – 1 ABR 43/12).

Der Gruppenkalender ermöglicht es der Beklagten, eine Auswertung der Leistungen des Klägers im Hinblick auf die Koordination seiner Termine oder der Termindichte vorzunehmen. Insbesondere ist ihr dies möglich, ohne dass der Kläger hiervon Kenntnis erhält.

Der Betriebsrat ist vor der Einrichtung des Gruppenkalenders nicht beteiligt worden. Insbesondere stellt die Betriebsvereinbarung zum Umgang mit Informations- und Kommunikationsanlagen vom 01.11.2013 keine (vorweggenommene) Zustimmung des Betriebsrats zum Gruppenkalender dar.

Die fehlende Beteiligung des Betriebsrats führt zur Unwirksamkeit der Abmahnung. Abgemahnt werden können nur Verstöße gegen arbeitsvertragliche Pflichten. Da der Betriebsrat bei der Einführung des Gruppenkalenders nicht beteiligt wurde, war der Kläger berechtigt, der Anordnung der Beklagten, den Gruppenkalender zu nutzen, nicht Folge zu leisten.

Im Ergebnis kam das Gericht daher zu der Schlussfolgerung, dass die Abmahnung unberechtigt war, und diese somit aus der Personalakte entfernt werden musste.

Quelle: Landesarbeitsgericht Nürnberg