Archiv für die Kategorie: Ereignisse

Knapp fünf Jahre nach dem Geltungsbeginn der Datenschutz-Grundverordnung startet heute die zweite europaweite Prüfaktion der europäischen Datenschutzaufsichtsbehörden. Koordiniert durch den Europäischen Datenschutzausschuss widmet sich die Prüfaktion der Stellung und den Aufgaben der Datenschutzbeauftragten. Diese stellen einen der Eckpfeiler des Datenschutzes in Unternehmen und Behörden dar, der sich als zentrale Neuerung mit der Datenschutz-Grundverordnung nun auch in den übrigen Mitgliedstaaten etabliert hat. Michael Will, Präsident des BayLDA erläutert das Ziel der gemeinsamen europaweiten Prüfung: “Für das BayLDA sind die Datenschutzbeauftragten seit jeher mehr als nur die ersten Ansprechpartner:innen der Aufsichtsbehörde. Sie sind die Garanten des Datenschutzes im Alltag, gerade für kleine und mittlere Unternehmen. Sie leisten Tag für Tag einen zentralen Beitrag für das Gelingen datenschutzgerechter Digitalisierung. Mit der Datenschutz-Grundverordnung wurde ihre Stellung im Unternehmen als vorgelagerte Beratungs- und auch Kontrollinstanz nochmals gestärkt. Die gemeinsame Prüfaktion bildet den Rahmen für eine genaue Analyse der heutigen Handlungsbedingungen in der betrieblichen Praxis und den Austausch der Datenschutzbehörden über mögliche Verbesserungen oder auch Abhilfemaßnahmen. Wir werden versuchen, die Ergebnisse unserer Untersuchungen so rasch wie möglich auszuwerten und unsere Schlussfolgerungen damit für alle der mehr als 36.000 bei uns gemeldeten Datenschutzbeauftragten nutzbar zu machen.“

Zum Hintergrund:

Der Europäische Datenschutzausschuss hatte bereits in seiner konstituierenden Sitzung am 25. Mai 2018 Leitlinien in Bezug auf Datenschutzbeauftragte („DSB“) verabschiedet, die gemeinsam mit mehreren aktuellen Entscheidungen des Europäischen Gerichtshofs, u.a. vom 22. Juni 2022 und 27. Oktober 2022, grundlegende Maßstäbe für die gemeinsame Prüfaktion der europäischen Datenschutzaufsichtsbehörden vermitteln. Im Mittelpunkt der Prüfung stehen neben Fragen der Qualifikation und Ressourcenausstattung vor allem mögliche Beeinträchtigungen der unabhängigen und effektiven Aufgabenwahrnehmung. Insbesondere die Ausübung von Zusatzfunktionen kann dabei Interessenkonflikte begründen, wie etwa bei Compliance-Beauftragten, IT-Verantwortlichen bzw. Personalverantwortlichen. Ein besonderes Augenmerk gilt außerdem der Anforderung, dass Datenschutzbeauftragte unmittelbar der höchsten Managementebene des Verantwortlichen oder Auftragsverarbeiters zu berichten haben. Präsident Will erläutert hierzu: „Auf Grundlage unserer Prüfbefugnisse werden wir die Handlungsbedingungen der betrieblichen Datenschutzbeauftragten gezielt in den Blick nehmen und uns sowohl Organigramme als auch Jahresberichte der Datenschutzbeauftragten vorlegen lassen. Wir werden sehr genau hinterfragen, wie Datenschutzbeauftragte, die nur über eine sog. dotted line über verschiedene Hierarchieebenen hinweg an die Unternehmensleitung herantreten können, dem Erfordernis jederzeitiger unmittelbarer Berichtsrechte genügen, um so ein klares Bild zur Situation der Datenschutzorganisation zu vermitteln und Fehlentwicklungen entgegenzutreten.“

https://www.lda.bayern.de/media/pm/pm2023_03.pdf

Rund 29 % aller mittelständischen Unternehmen in Deutschland sind in den Jahren 2018-2020 Opfer von Cyberkriminalität geworden. Die Betroffenheit steigt mit der Breite und Intensität von Digitalisierungsaktivitäten und der Größe der mittelständischen Unternehmen. Wesentlicher Grund hierfür ist eine Kombination aus einer größeren Angriffsfläche dieser Unternehmen und unzureichenden Schutzvorkehrungen. Dies zeigt eine Sonderauswertung des jüngsten repräsentativen KfW-Mittelstandspanels.

Der stark ausgeprägte Zusammenhang zwischen Unternehmensgröße und der Betroffenheit von Cyberkriminalität zeigt sich darin, dass 28 % der kleineren Unternehmen mit weniger als fünf Beschäftigten Cyberkriminellen zum Opfer gefallen sind, aber 49 % der Unternehmen mit 100 oder mehr Beschäftigten. Ein wichtiger Grund hierfür ist, dass Cyberkriminelle vor allem umsatzstärkere Unternehmen im Blick haben. Die Analyse macht zudem deutlich, dass größere mittelständische Unternehmen häufiger zu den digitalen Vorreitern zählen und damit eine größere Angriffsfläche für potenzielle Cyberattacken bieten. Dabei nimmt die Betroffenheit von Cyberangriffen sowohl mit der thematischen Breite als auch mit der Intensität von Digitalisierungsaktivitäten zu. So waren insgesamt 45 % der Unternehmen mit vier oder mehr verschiedenen Projektarten sowie 43 % der Unternehmen mit Digitalisierungsausgaben in Höhe von mindestens 10.000 EUR von Cyberkriminalität betroffen. Unter den Unternehmen mit Digitalisierungsstrategie, welche als Indikator für besonders ambitionierte Digitalisierungsaktivitäten gilt, waren mit 37 % ebenfalls überdurchschnittliche viele Unternehmen Opfer von Cyberattacken. Zwischen einzelnen Wirtschaftszweigen gibt es dagegen kaum Unterschiede. So waren im Untersuchungszeitraum in allen Wirtschaftszweigen zwischen 28 % und 30% der Unternehmen von Cyberkriminalität betroffen. Lediglich Unternehmen des Forschungs- und Entwicklungsintensiven Verarbeitenden Gewerbes waren mit 35 % vergleichsweise häufiger von Angriffen betroffen.

Die Hauptbedrohung im Cyberraum geht von der Erpressung von Löse- oder Schweigegeld aus. Auch die gezielte Überlastung von Internetseiten ist eine weit verbreitete Angriffsmethode. Die Notwendigkeit von Schutzvorkehrungen zur Abwehr solcher Bedrohungen wird dabei insbesondere von kleinen und mittleren Unternehmen verkannt. Oft fehlt es ihnen an Personal mit fachlicher Expertise zum Thema IT-Sicherheit. Folglich bleiben notwendige Investitionen in IT-Sicherheit aus. Mittelständler, welche sich der Bedrohungslage bewusst sind, haben angesichts des Fachkräftemangels bei IT-Experten oftmals große Schwierigkeiten, geeignetes Personal zu rekrutieren oder geeignete externe IT-Dienstleister zu identifizieren.

„Vor allem kleine und mittlere Unternehmen müssen für die Bedrohungen durch Internetkriminalität sensibilisiert und dabei unterstützt werden, Know-how zur IT-Sicherheit aufzubauen“, sagt Dr. Fritzi Köhler-Geib, Chefvolkswirtin der KfW. Eine Bündelung bestehender Informationsplattformen könnte ein Weg sein, um die Transparenz hinsichtlich der von Cyberkriminalität ausgehenden Bedrohungslage zu erhöhen. Darüber hinaus ließen sich viele IT-Sicherheitsvorfälle durch entsprechende Schulungen, Trainings und regelmäßige Auffrischungskurse vermeiden. „Verbesserte Kenntnisse im Bereich IT-Sicherheit in den Unternehmen ermöglichen einen höheren Schutz vor Cyberkriminalität. Gleichzeitig können sie zu einer Stärkung der Digitalisierungsaktivitäten im Mittelstand beitragen. Denn die Anforderungen an Datenschutz und Datensicherheit sind immer noch das am häufigsten genannte Digitalisierungshemmnis im Mittelstand,“ so Dr. Fritzi Köhler-Geib.

Die aktuelle Studie ist abrufbar unter:

www.kfw.de/fokus

Zum Datenhintergrund:
Die Analyse zu Cyberkriminalität im Mittelstand basiert auf einer Auswertung der Hauptbefragung zum KfW-Mittelstandspanel 2021. Zur Grundgesamtheit des KfW-Mittelstandspanels gehören alle privaten Unternehmen sämtlicher Wirtschaftszweige, deren Umsatz die Grenze von 500 Mio. EUR pro Jahr nicht übersteigt. An der Hauptbefragung (Befragungszeitraum: 15.02.2021 bis 25.06.2022) haben sich 11.403 mittelständische Unternehmen beteiligt.

Ein effektives Datenschutzmanagement erfordert vom Verantwortlichen sich nicht nur, sich Gedanken um die Zulässigkeit der Datenerhebung zu machen. Der datenschutzkonforme Umgang muss sich auf den gesamten Lebenszyklus von personenbezogenen Daten erstrecken und damit auch auf den Vorgang des Löschens.
Generell sind personenbezogene Daten zu löschen, wenn ihre Speicherung unzulässig ist oder ihre Kenntnis für die speichernde Stelle „zur Erfüllung ihrer Aufgaben nicht mehr erforderlich ist“. Um sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen.
In der Praxis kann sich die Frage stellen, ob der Verantwortliche durch die Archivierung von personenbezogenen Daten den Datenschutz umsetzen kann oder vielleicht sogar muss (Archivierung als Löschungssurrogat).
Den damit zusammenhängenden Fragen widmet sich ein Arbeitspapier (Löschung oder Archivierung?), das der Bayerische Landesbeauftragte für den Datenschutz als Datenschutz-Aufsichtsbehörde für den bayerischen öffentlichen Sektor und die Generaldirektion der Staatlichen Archive Bayerns als zentrale staatliche Fachbehörde für alle Fragen des Archivwesens gemeinsam erarbeitet haben. Das Arbeitspapier skizziert die wesentlichen Aspekte der archivrechtlichen Aufbewahrungs- und der datenschutzrechtlichen Löschungsregelungen; es behandelt Gemeinsamkeiten, Unterschiede und grundlegende Wertungen, die im Schnittbereich beider Rechtsmaterien auftauchen.
Es charakterisiert die Archivierung als Löschungssurrogat und geht – unter Berücksichtigung der je eigenen Perspektive von Datenschutz- und Archivrecht – auf die Frage der Aufbewahrungsdauer ein. Der Aspekt der datenschutzrechtlichen Informationspflichten bei der Archivierung von Unterlagen bleibt ebenfalls nicht unbeachtet. Damit stellt das Arbeitspapier auch einen guten Ratgeber für die Herausforderungen dar, denen sich Verantwortliche nicht nur aus dem öffentlichen Bereich im Rahmen der Digitalisierung konfrontiert sehen. Damit dürfte das Arbeitspapier auch für Verantwortliche aus dem privatrechtlichen Bereich hilfreiche Anregungen bieten, die die Verarbeitung personenbezogener Daten im Spannungsfeld von Datenschutz- und Archivrecht organisieren müssen.

Der Europäische Datenschutzausschuss (EDSA) ist in seiner gestrigen Sitzung mit der Task Force Cookie-Banner sowie mit seiner koordinierten Maßnahme zu Cloud-Diensten zu Ergebnissen gekommen.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, begrüßt die Fortschritte zu einer einheitlicheren Aufsicht in diesen Bereichen.

Dazu sagte der BfDI: Eine gut gemachte und faire Internetseite benötigt kein Cookie-Banner, weil sie nur technisch notwendige Cookies verwendet. Wenn Webseitenbetreibende aber unbedingt personenbezogene Daten sammeln wollen, dann dürfen sie sich eine Einwilligung dafür nicht mit unfairen oder rechtswidrigen Mitteln holen. Nach den Richtlinien zu trügerischen Designmustern habe ich mich mit meinen Kolleginnen und Kollegen im EDSA jetzt darauf geeinigt, wie wir das in der Aufsicht möglichst einheitlich umsetzen. Die Ergebnisse des Abschlussberichts der Task Force Cookie-Banner entsprechen nun zum größten Teil dem, was wir in Deutschland schon in der Orientierungshilfe Telemedien festgehalten haben.

Der EDSA hat außerdem seine erste koordinierte Durchsetzungsmaßnahme durchgeführt. Dabei haben die EDSA-Mitglieder die Nutzung von Cloud-Diensten bei öffentlichen Einrichtungen untersucht. Professor Kelber sieht sich durch die Ergebnisse der Untersuchung bestärkt: Meine Behörde berät die Bundesregierung beispielsweise zum Thema souveräne Cloud, unter anderen in den Gremien des IT-Rats und des IT-Planungsrats. Wir betonen dabei immer wieder, dass gerade mit Blick auf die Schwierigkeiten internationaler Datentransfers bei Cloud-Projekten der Datenschutz von Anfang an mitgedacht werden muss. Der EDSA sorgt dafür, dass wir auch hier eine europaweit einheitliche Linie haben.

Die Pressemitteilung des EDSA zur Sitzung finden Sie hier.

Quelle: https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2023/02_EDSA-Cookie-Banner-Cloud-Dienste.html?nn=251944

Nach Google Fonts wird jetzt Klaviyo abgemahnt

Im vergangenen Jahr mussten sich Online-Händler mit Massenabmahnungen wegen der Nutzung von Google Fonts herumschlagen. Nun baut sich eine neue Abmahnwelle nach dem gleichen Muster auf. Auch diesmal geht es um die Übermittlung von Daten in die USA.

Massenabmahnungen sind ein regelmäßig auftretendes Problem, mit dem sich viele Online-Händler herumschlagen müssen. Die Absender sind zumeist alte Bekannte, die nach einer Runde nicht in der Versenkung verschwinden, sondern mit einem neuen Abmahngrund weitermachen.

So war es auch bei der letzten großen Welle im vergangenen Jahr, als massenweise DSGVO-Verstöße wegen der dynamischen Einbindung von Google Fonts abgemahnt und Schadensersatzforderungen verschickt wurden.

Einer der Protagonisten: Der Berliner Rechtsanwalt Philipp Brandt und seine Kanzlei brandt.legal. Dieser hatte bereits mit seiner Vorgänger-Kanzlei Baumgarten Brandt jahrelang im Bereich Tauschbörsen-Abmahnungen agiert, wie Christian Solmecke, Partner der Kölner Verbraucherkanzlei WBS, berichtete, der damals zahlreiche Mandanten in Tauschbörsen-Fällen vertreten hatte.

Nun sind die Abmahner von brandt.legal wieder aktiv und verschicken aktuell massenhaft DSGVO-Abmahnung wegen unzulässigen Eingriffs in das allgemeine Persönlichkeitsrecht aufgrund der Nutzung von Klaviyo. So liegen unter anderem dem Händlerbund entsprechende Schreiben vor.

Das Vorgehen wird wie folgt beschrieben. Eine Privatperson meldet sich zunächst für einen Newsletter an und macht danach von ihrem Recht Gebrauch, Auskunft über die personenbezogenen Daten zu erhalten. Wenn das Unternehmen dann darüber informiert, dass die Daten an Klaviyo, ein Marketing-Automation-Unternehmen mit Sitz in den USA, übermittelt wurden, folgt ein Anwaltsschreiben von brandt.legal.

Von ähnlichen Schreiben an seine Mandanten berichtet auch Rechtsanwalt Oliver Eiben von der Kanzlei Rieck & Partner: „Uns liegt ein Schreiben der brandt.legal Rechtsanwälte aus Berlin vor, die für einen Mandanten aus Wien datenschutzrechtliche Abmahnungen versenden. Unserer Mandantschaft wird vorgeworfen einen schweren Datenschutzverstoß aufgrund der Übermittlung von personenbezogenen Daten an das Technologieunternehmen Klaviyo in den USA begangen zu haben und es werden Unterlassungs- und Schadensersatzansprüche geltend gemacht. Der Schadenersatz beläuft sich auf immerhin 5.000 Euro.“ Außerdem werde die Erstattung von Rechtsanwaltsgebühren gefordert – ein zusätzlicher Geldbetrag von 1.728,48 Euro, so Eiben.

Er rät Betroffenen: „Lassen Sie die von den brandt.legal Rechtsanwälten gesetzten Fristen auf keinen Fall untätig verstreichen, aber lassen Sie sich auch nicht durch die hohen Forderungen und die von den Rechtsanwälten dargestellten drohenden Konsequenzen erschrecken. Geben Sie unter keinen Umständen übereilt eine Unterlassungserklärung ab, jedenfalls nicht ohne vorherige Prüfung des Sachverhalts durch einen Rechtanwalt. Zahlen Sie den geforderten Betrag keinesfalls, ohne die Abmahnung vorab gründlich anwaltlich prüfen zu lassen.“

Nicht selten konnte in der Vergangenheit in ähnlich gelagerten Fällen festgestellt werden, dass geltend gemachten Ansprüche nicht oder nicht in voller Höhe bestehen. Betroffene sollten zudem den Umfang des geforderten Unterlassungsversprechens sorgfältig prüfen lassen. Anderenfalls könne es passieren, dass Sie sich zu weitreichend verpflichten, obwohl bereits im Vornherein keine Ansprüche des Abmahners bestehen.