DsiN-Praxisreport zeigt eklatante IT-Sicherheitsmängel in kleineren Unternehmen 

/in /von

Besonders kleinere Unternehmen in Deutschland schützen sich nicht ausreichend vor IT-Risiken, stellt der aktuelle Praxisreport der Initiative Deutschland sicher im Netz (DsiN) fest. Da erscheint es wenig verwunderlich, dass auch der Anteil folgenreicher IT-Angriffe auf mittelständische Unternehmen merklich gestiegen sei. Laut DsiN führten mehr als drei Viertel aller Angriffe zu spürbaren Auswirkungen (76 Prozent), bei jedem achten Unternehmen wurden sie als erheblich, bei vier Prozent sogar als existenzgefährdend angegeben. Zwar bewertete jedes dritte Unternehmen die unzureichende Absicherung der eigenen IT als Risiko, allerdings seien die Defizite bei Standardmaßnahmen des Cyberschutzes „besonders auffällig“: So verfügen 64 Prozent der Unternehmen über keine Maßnahmen der Angriffsangriffserkennung, mehr als ein Drittel verzichte auf IT-Notfallpläne (34 Prozent), 43 Prozent seien nachlässig im Umgang mit Software- und Sicherheitsupdates.

Weitere Informationen zum DsiN-Praxisreport: https://www.sicher-im-netz.de/dsin-praxisreport-42-prozent-im-mittelstand-melden-it-angriffe

BvD begrüßt „Privacy Shield“-Nachfolgeabkommen, mahnt aber vor überzogenen Erwartungen

/in /von

Brüssel und Washington haben eine grundsätzliche Einigung über ein überarbeitetes Nachfolgeabkommen zu „Privacy Shield“ erzielt, gaben Präsidentin der Europäischen Kommission Ursula von der Leyen und US-Präsident Joe Biden heute im Rahmen von Bidens Besuch in Brüssel bekannt.

Seit der Europäische Gerichtshof das „Privacy-Shield“-Abkommen im Juli 2020 gekippt hat, weil es befürchtete, dass die Daten nach der Übermittlung über den Atlantik nicht vor dem Zugriff amerikanischer Behörden sicher seien, arbeiten die Unterhändler an einem Abkommen, das den Transfer personenbezogener Daten von Europäern in die Vereinigten Staaten ermöglicht.

„Die Datenschutzbeauftragten in Deutschland begrüßen, dass die EU und die USA eine grundsätzliche Einigung über einen neuen Rahmen für den transatlantischen Datenverkehr erzielt haben“, so Thomas Spaeing, Vorstandsvorsitzender des Berufsverbands der Datenschutzbeauftragten Deutschlands (BvD) e.V. „Die Ankündigung ist zunächst sicherlich ein Hoffnungsschimmer für unzählige Datenschutzbeauftragte, die sich in ihrer Beratung mit zunehmender Rechtsunsicherheit konfrontiert sehen, wenn es darum geht, Daten in die USA zu übermitteln.“

Der Verband sieht in der bisherigen Rechtsprechung des Europäischen Gerichtshof zu früheren transatlantischen Abkommen eine Bestätigung des durch die europäische Datenschutz-Grundverordnung begründeten sehr hohen Schutzniveaus für personenbezogene Daten und die Rechte sowie Freiheiten betroffener Personen. Gleichzeitig habe dies massive praktische Auswirkungen, da Transfers personenbezogener Daten zwischen den USA und der EU eine wichtige Grundlage darstellen für den globalen Handel und die unbeschränkte Nutzung von Onlinediensten, die nach wie vor im Schwerpunkt aus den USA heraus angeboten werden.

Beamte auf beiden Seiten des Atlantiks hatten darum gekämpft, eine Sackgasse zu überbrücken, was es bedeutet, den Europäern einen wirksamen Rechtsbehelf gegen die Überwachung durch US-Behörden zu geben. Nicht alle diese Fragen konnten gelöst werden, obwohl von der Leyens Kommentare darauf hindeuten, dass technische Lösungen in Reichweite sind. „Insofern. bleibt abzuwarten, inwiefern dieses neue Abkommen vor Gericht Bestand haben wird. Ich denke, man sollte hier keine allzu hohen Erwartungen hegen, bis Details zu dem Abkommen bekannt sind“.

DSK äußert sich zu Facebook Fanpages

/in /von

Die DSK hat beschlossen, die ihren Aufsichten unterstehenden obersten Bundes- und Landesbehörden über das Kurzgutachten der DSK-TaskForce zu Facebook Fanpages zu informieren. Sie möchte erreichen, dass die Behörden ihre Fanpages deaktivieren, sofern die Verantwortlichen die datenschutzrechtliche Konformität nicht nachweisen können. Dazu sagte Professor Kelber: „Facebook Fanpages lassen sich aktuell nicht datenschutzkonform betreiben. Zu diesem Ergebnis kam auch die von der DSK eingesetzte TaskForce. Behörden haben hier eine besondere Verantwortung und eine Vorbildfunktion für die Bürgerinnen und Bürger.“

Die Dokumente zur DSK und das Kurzgutachten der TaskForce Fanpages finden Sie in Kürze auf der Homepage der Datenschutzkonferenz:

www.datenschutzkonferenz-online.de

Kontakt:
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
Graurheindorfer Straße 153
53117 Bonn
E-Mail: pressestelle@bfdi.bund.de

3G-Nachweis und Kontaktdaten – einfach zerreißen reicht nicht!

/in /von

Pressemitteilung der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen vom 23.03.2022.

Mit der Änderung des Infektionsschutzgesetztes vom 20. März 2022 entfällt die Verpflichtung zum Nachweis der Impfung, der Genesung oder der Negativ-Testung (3G-Nachweis) am Arbeitsplatz. „Die aktuellen Lockerungen im Rahmen des Infektionsschutzgesetzes des Bundes nehme ich zum Anlass, um auf Fristen für die Löschung der gesammelten Daten hinzuweisen: Die von den Arbeitgeber*innen erhobenen Daten müssen spätestens sechs Monate nach Erhebung vernichtet oder gelöscht werden. Da die Rechtsgrundlage entfallen ist, gehen wir davon aus, dass die Speicherung regelmäßig nicht mehr erforderlich ist und die Daten schon jetzt gelöscht werden sollten“, erklärt Bettina Gayk, Landesbeauftrage für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen.

Angesichts steigender Corona-Zahlen gewann für Unternehmen die Erfassung von Gesundheitsdaten der Beschäftigten an Bedeutung, um den Betrieb trotz der Risiken durch SARS-CoV-2 aufrechtzuhalten. Dabei wurden die Arbeitgeber*innen verpflichtet zu überwachen, ob die Beschäftigten geimpft, genesen oder getestet sind. Dazu sollte eine tägliche Nachweiskontrolle durchgeführt und dokumentiert werden. Geregelt wurde das durch das Infektionsschutzgesetz des Bundes (§ 28b Abs. 3 Satz 1 IfSG a.F.). „In Einzelfällen haben Arbeitgeber*innen Impf- oder Testnachweise sogar kopiert oder gescannt. Das ist nicht zulässig gewesen, und selbstverständlich müssen diese Kopien und Scans umgehend fachgerecht entsorgt werden“, macht Gayk deutlich.

Dass im Zuge der Pandemie gesammelte Daten wieder gelöscht oder vernichtet werden müssen, ist nicht neu. So ist bereits die Pflicht zur Kontaktdatenerhebung für bestimmte Wirtschaftsbereiche – zum Beispiel in der Gastronomie – entfallen, als am 20. August 2021 die „Verordnung zum Schutz vor Neuinfizierungen mit dem Coronavirus SARS-CoV-2“ (Corona-Schutzverordnung) der NRW-Landesregierung geändert wurde. Allerdings kann sie seitdem noch weiterhin durch die Städte und Gemeinden als örtliche Ordnungsbehörden angeordnet werden.

Gayk: „Inzwischen geht es darum, die erhobenen Daten rechtskonform zu entsorgen. Das bedeutet: Die Gesundheitsdaten von Beschäftigten und – sofern noch vorhanden – Daten zur Kontaktnachverfolgung müssen gelöscht, also vollständig und unwiderruflich vernichtet werden. Bei Daten, die in Papierform erhoben wurden, sollte ein geeigneter Aktenvernichter verwendet werden.“ Ein Zerreißen von Hand sei nicht ausreichend. Wie Datenträger datenschutzkonform vernichtet werden können, regelt unter anderem die DIN 66399. Für das Löschen personenbezogener Daten durch Aktenvernichter sind Geräte der Sicherheitsstufe 4 oder höher gemäß dieser DIN geeignet.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestr. 2-4, 40213 Düsseldorf
Tel.: 0211-38424 – 158
Fax: 0211-38424 – 999
E-Mail: pressestelle@ldi.nrw.de
Internet: www.ldi.nrw.de

BSI warnt vor dem Einsatz von Kaspersky-Virenschutzprodukten

/in /von

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nach §7 BSI-Gesetz vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky. Das BSI empfiehlt, Anwendungen aus dem Portfolio von Virenschutzsoftware des Unternehmens Kaspersky durch alternative Produkte zu ersetzen.

Antivirensoftware, einschließlich der damit verbundenen echtzeitfähigen Clouddienste, verfügt über weitreichende Systemberechtigungen und muss systembedingt (zumindest für Aktualisierungen) eine dauerhafte, verschlüsselte und nicht prüfbare Verbindung zu Servern des Herstellers unterhalten. Daher ist Vertrauen in die Zuverlässigkeit und den Eigenschutz eines Herstellers sowie seiner authentischen Handlungsfähigkeit entscheidend für den sicheren Einsatz solcher Systeme. Wenn Zweifel an der Zuverlässigkeit des Herstellers bestehen, birgt Virenschutzsoftware ein besonderes Risiko für eine zu schützende IT-Infrastruktur.

Das Vorgehen militärischer und/oder nachrichtendienstlicher Kräfte in Russland sowie die im Zuge des aktuellen kriegerischen Konflikts von russischer Seite ausgesprochenen Drohungen gegen die EU, die NATO und die Bundesrepublik Deutschland sind mit einem erheblichen Risiko eines erfolgreichen IT-Angriffs verbunden. Ein russischer IT-Hersteller kann selbst offensive Operationen durchführen, gegen seinen Willen gezwungen werden, Zielsysteme anzugreifen, oder selbst als Opfer einer Cyber-Operation ohne seine Kenntnis ausspioniert oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werden.

Alle Nutzerinnen und Nutzer der Virenschutzsoftware können von solchen Operationen betroffen sein. Unternehmen und Behörden mit besonderen Sicherheitsinteressen und Betreiber Kritischer Infrastrukturen sind in besonderem Maße gefährdet. Sie haben die Möglichkeit, sich vom BSI oder von den zuständigen Verfassungsschutzbehörden beraten zu lassen.

Unternehmen und andere Organisationen sollten den Austausch wesentlicher Bestandteile ihrer IT-Sicherheitsinfrastruktur sorgfältig planen und umsetzen. Würden IT-Sicherheitsprodukte und insbesondere Virenschutzsoftware ohne Vorbereitung abgeschaltet, wäre man Angriffen aus dem Internet möglicherweise schutzlos ausgeliefert. Der Umstieg auf andere Produkte ist mit vorübergehenden Komfort-, Funktions- und Sicherheitseinbußen verbunden. Das BSI empfiehlt, eine individuelle Bewertung und Abwägung der aktuellen Situation vorzunehmen und dazu gegebenenfalls vom BSI zertifizierte IT-Sicherheitsdienstleister hinzuzuziehen.


Weitere Informationen sind in den FAQ zusammengefasst.

LfDI BW: Öffentliche Stellen: Raus aus Facebook, Twitter, TikTok!“

/in /von

„Stefan Brink und Clarissa Henning appellieren: Öffentliche Stellen sollten aus den vermeintlich Sozialen Medien aussteigen. Warum die nicht sozial sind, was Polizei, Kommunen und Co. stattdessen tun sollten und was das mit dem Vertrauen in mündige Bürger zu tun hat, kommentieren sie in ihrem Gastbeitrag.“ Vom 15.3.22.

Zum Beitrag: https://netzpolitik.org/

LfDI Bremen: LfDI verhängt gegen die BREBAU GmbH Geldbuße

/in /von

Am heutigen Tage hat die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) als datenschutzrechtliche Aufsichtsbehörde die BREBAU GmbH mit einer Geldbuße nach Artikel 83 Datenschutzgrundverordnung (DSGVO) belegt.

Die BREBAU GmbH hat mehr als 9.500 Daten über Mietinteressent:innen verarbeitet, ohne dass es hierfür eine Rechtsgrundlage gab. Beispielsweise Informationen über Haarfrisuren, den Körpergeruch und das persönliche Auftreten sind für den Abschluss von Mietverhältnissen nicht erforderlich. Bei mehr als der Hälfte der Fälle handelte es sich darüber hinaus um Daten, die nach der DSGVO besonders geschützt sind. Rechtswidrig verarbeitet wurden auch Informationen über die Hautfarbe, die ethnische Herkunft, die Religionszugehörigkeit, die sexuelle Orientierung und über den Gesundheitszustand. Auch hat die BREBAU GmbH Anträge Betroffener auf Transparenz über die Verarbeitung ihrer Daten bewusst konterkariert.

Die nach Artikel 83 DSGVO verhängte Geldbuße beläuft sich auf rund 1,9 Millionen Euro. Der außerordentlichen Tiefe der Verletzung des Grundrechts auf Datenschutz wäre eine deutlich höhere Geldbuße angemessen gewesen. Weil die BREBAU GmbH im datenschutzrechtlichen Aufsichtsverfahren umfassend kooperierte, sich um Schadensminderung, eigene Aufklärung des Sachverhalts und darum bemühte, dass entsprechende Verstöße sich nicht wiederholen, konnte die Höhe der Geldbuße erheblich reduziert werden.

Anlässlich dieses Aufsichtsverfahrens äußerte die Landesbeauftragte für Datenschutz und Informationsfreiheit, Dr. Imke Sommer: „Im Zusammenhang mit der öffentlichen Diskussion über den Fall, der diesem datenschutzrechtlichen Aufsichtsverfahren zugrunde liegt, bin ich häufig gefragt worden, ob die DSGVO Diskriminierungen verbietet. Die Antwort auf diese Frage ist kompliziert, weil die DSGVO in spezifischer Weise auf Sachverhalte schaut. Nach der DSGVO ist es nur in wenigen Ausnahmefällen überhaupt erlaubt, Daten über Hautfarbe, ethnische Herkunft, Religionszugehörigkeit, sexuelle Orientierung und über den Gesundheitszustand zu verarbeiten. Damit sorgt die DSGVO dafür, dass diese besonders geschützten Daten in den allermeisten Fällen gar nicht erst erhoben und gespeichert werden dürfen. Nicht erhobene Daten können nicht missbraucht werden. In diesem Sinne schützt die DSGVO auch vor Diskriminierungen.“

Die Webseite der bremischen Landesbeauftragten für Datenschutz und Informationsfreiheit kann hier abgerufen werden.

Bitkom: IT Sicherheitsmaßnahmen vor Konfliktaustragungen im Cyberraum

/in /von

Konflikte werden heutzutage auch im digitalen Raum ausgetragen. Zwar ist die Situation in der Ukraine in diesem Sinne noch nicht hierzulande angekommen, doch sollten Unternehmen ihre IT-Sicherheit für einen Ernstfall prüfen. Der Bitkom nennt fünf Maßnahmen, die Unternehmen jetzt ergreifen sollten.

Die Offensive Russlands begann im digitalen Raum bereits einige Zeit vor dem Einmarsch in die Ukraine. „Während Cyberangriffe auf militärische Zielsysteme, Behörden und Institutionen bereits seit längerem stattfinden, spielte der digitale Raum in den ersten Tagen des russischen Angriffskriegs nur eine nachgelagerte Rolle. Mit zunehmender Kriegsdauer könnte sich dies wieder ändern, und das kann unmittelbare Konsequenzen für Deutschland und seine Wirtschaft haben. Denn die Distanzen im digitalen Raum sind kurz und die Grenzen nicht so klar, wie sie sein müssten“, erklärt Bitkom-Sicherheitsexperte Sebastian Artz. „Es gibt keinen Grund zur Panik, aber mit dem Angriffskrieg Russlands ist auch im deutschen Cyberraum volle Aufmerksamkeit und größtmögliche Wachsamkeit aller Unternehmen, Organisationen und staatlichen Stellen geboten.“

Der Digitalverband Bitkom gibt deshalb fünf konkrete Hinweise, welche Vorbereitungen und Vorsichtsmaßnahmen insbesondere kleine und mittelständische Unternehmen jetzt für ihre IT-Sicherheit treffen sollten:

1. Risiken und Auswirkungen von Cyberangriffen minimieren

Unternehmen sollten ihre Schutzmaßnahmen insgesamt verstärken. Betriebssysteme und Software müssen auf dem aktuellen Stand sein, Sicherheitsupdates sind zügig einzuspielen. Sichere – also komplexe und für jedes System unterschiedliche – Passwörter können signifikant das Schutzniveau erhöhen bei. Möglichst alle Logins mit Außenanbindung sollten über eine Multi-Faktor-Authentifizierung geschützt werden. Privilegien und Administrationsrechte sollten für einzelne NutzerInnen eingeschränkt werden und die Komplexität von verwendeten Diensten insgesamt verringert werden. Eine solche Härtung der Systeme ist ratsam, obwohl sie nicht nutzungsfreundlich ist und die Produktivität einschränkt, denn sie schützt die eigene Infrastruktur und unternehmenssensible Daten. Zudem ist die unternehmenseigene Back-up-Strategie zu prüfen und nachzuziehen, sodass alle relevanten Unternehmensdaten gesichert sind und zusätzlich Sicherheitskopien offline auf einem externen Datenträger existieren.

2. Verantwortlichkeiten klar definieren

Unternehmen müssen in einem Angriffsfall reaktionsfähig sein. Verantwortlichkeiten im Sicherheitsbereich müssen klar definiert sein und entsprechende Anlaufstellen eingerichtet werden – sowohl intern als auch bei externen Dienstleistern. Es gilt sicherzustellen, dass zu jeder Zeit ausreichend Personal einsatzfähig ist. Urlaubszeiten oder Vertretungen bei Krankheit müssen dabei einkalkuliert werden. Außerdem ist es sinnvoll sich darauf vorzubereiten, auch ohne die Hilfe externer Dienstleister kurzfristig reagieren zu können – bei großflächigen Cyberangriffen könnten Externe an Kapazitätsgrenzen stoßen.

3. Beschäftigte sensibilisieren

Alle Erfahrungen zeigen: Der Mensch bleibt eines der größten Sicherheitsrisiken, ist aber auch Schutzgarant eines Unternehmens. Alle Beschäftigten sollten zielgruppengerecht für das erhöhte Risiko von Cyberangriffen sensibilisiert werden. Dazu gehört, potenzielle Gefahren verständlich zu erklären und Schritt-für-Schritt-Anleitungen bereitzustellen, wie sich Beschäftigte im Falle eines Angriffs verhält und an wen sie sich wenden müssen. Gegebenenfalls können kurzfristige Sicherheitsschulungen sinnvoll sein. Ziel ist es, die Wachsamkeit in der Belegschaft zu erhöhen. Besonders für den E-Mail-Verkehr gilt, Hyperlinks und Anhänge nicht vorschnell zu öffnen und ungewöhnliche Anweisungen mit Skepsis zu betrachten. An Unternehmen werden auch sehr gezielte und gut gemachte Phishing-Mails geschickt, wodurch der Fake nur anhand weniger Details wie etwa eines falsch geschriebenen Namens oder einer falschen Durchwahl in der Signatur entdeckt werden kann.

4. Notfallplan erstellen

Für den Fall eines Angriffs sollte im Unternehmen ein Notfallplan bereitliegen, der das weitere Vorgehen dokumentiert. Neben den technischen Schritten, die eingeleitet werden müssen, sollte der Plan auch organisatorische Punkte wie die Kontaktdaten relevanter Ansprechpersonen im Unternehmen sowie die Notfallkontakte der offiziellen Anlaufstellen beinhalten. Auch rechtliche Aspekte wie Meldepflichten bei Datenschutzverletzungen müssen berücksichtigt werden. Des Weiteren gehört eine vorbereitete Krisenkommunikation dazu, um schnell alle relevanten Stakeholder wie Kunden, Partner sowie die Öffentlichkeit zu informieren.

5. Informationen offizieller Stellen beobachten

Die Sicherheitslage ist hochdynamisch und kann sich von Tag zu Tag ändern. Unternehmen sollten daher die Meldungen von Behörden wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie der Allianz für Cybersicherheit (ACS) stets beobachten.

Foto ohne Einwilligung – Beschäftigte erhält 5.000 Euro Schadensersatz

/in /von

ArbG Münster, Urt. v. 25.03.2021 – 3 Ca 391/20
Mit einem Urteil vom 25.03.2021 (3 Ca 391/20) hat das Arbeitsgericht (ArbG) Münster entschieden, dass einer Beschäftigten einer Hochschule eine Entschädigung in Höhe von 5.000 Euro zusteht, da die Universität ein Foto von der Mitarbeiterin zu Marketingzwecken verwendet hat, ohne die erforderliche Einwilligung eingeholt zu haben.

Was war geschehen?
Folgender Sachverhalt liegt der Entscheidung zugrunde: Die Mitarbeiterin einer Universität wehrte sich in einem arbeitsrechtlichen Verfahren gegen die Verwendung ihres Fotos. Das Foto der Beschäftigten wurde aufgrund ihrer Ethnie und Hautfarbe als Ausweis für die Internationalisierung der Universität genutzt. Die Klägerin arbeitet jedoch als Postdoc und hat somit originär nichts mit der Internationalisierung der Hochschule zu tun. Bei der Erstellung von Foto-Aufnahmen der Universität hat sie aktiv teilgenommen, jedoch keine Einwilligung erteilt. Die Klägerin ließ lediglich mündlich offen, dass sie möglicherweise zustimmen würde, wenn die Fotos für ihre Tätigkeit verwendet würden. Nach Veröffentlichung der Fotos und Kenntnisnahme der Klägerin teilte diese mit, dass sie mit der Art der Verwendung ihrer Bilder nicht einverstanden ist. Die Universität erklärte daraufhin, dass ihr Foto gelöscht worden sei, aber es nicht möglich sei, die bereits gedruckten Broschüren zurückzuziehen. Die Klägerin forderte dann Schadensersatz gemäß Art. 82 DS-GVO, aber ebenso auf Grundlage des Kunsturheberrechtsgesetzes (KUG) und § 823 Bürgerliches Gesetzbuch (BGB).

Klage gegen Arbeitgeber hat Erfolg
Das ArbG Münster entschied, dass der Klägerin ein immaterieller Schadensersatz in Höhe von 5.000 Euro zusteht. Diese Zahlung wird gerne auch als Schmerzensgeld bezeichnet, stellt aber im Sinne der DS-GVO einen immateriellen Schadensersatz und nach Logik des deutschen Schuldrechts eine billige Entschädigung in Geld dar. Bemerkenswert ist, dass die immaterielle Schadenshöhe hier ihrem monatlichen Bruttolohn entspricht. Bei der richterlichen Schadensbemessung wurde ausdrücklich auch die Bedeutung der ethnischen Herkunft und der Hautfarbe der Mitarbeiterin für die Veröffentlichung des Fotos gewürdigt.

Die Entscheidung des Arbeitsgerichts Münster hat die Folgen einer rechtswidrigen Datenverarbeitung noch einmal klargestellt: Wer Bildnisse ohne Zustimmung der betroffenen Person nutzt, muss mit einer nicht unerheblichen Summe für die Entschädigung nach Art. 82 DS-GVO rechnen.

DSK: neue Orientierungshilfe für Anbieter:innen von Telemedien veröffentlicht

/in /von

Pressemitteilung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 20.12.2021

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat heute eine neue Fassung der Orientierungshilfe für Anbieter:innen von Telemedien veröffentlicht. Das Papier bietet Betreiber:innen von Webseiten, Apps oder Smarthome-Anwendungen konkrete Hilfestellungen bei der Umsetzung der neuen Vorschriften des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG). Zudem vermittelt die Orientierungshilfe betroffenen Bürger:innen ein besseres Bild der rechtlichen Rahmenbedingungen.

Mit der Veröffentlichung der überarbeiteten Orientierungshilfe reagieren die Aufsichtsbehörden auf die veränderte Rechtslage. Seit dem 1. Dezember 2021 regelt das TTDSG unter anderem den Schutz der Privatsphäre bei der Nutzung von Endgeräten. Daraus ergeben sich insbesondere praxisrelevante Auswirkungen auf den Einsatz von Cookies und ähnlichen Technologien. Mit dem TTDSG hat der Bundesgesetzgeber nach über einem Jahrzehnt Verzögerung nunmehr die Vorgaben der europäischen e-Privacy-Richtlinie in nationales Recht umgesetzt.

Das TTDSG wurde nah am Wortlaut der europäischen Vorgaben formuliert und fordert grundsätzlich eine Einwilligung der Nutzer:innen, wenn Informationen auf deren Endeinrichtungen gespeichert werden oder auf diese zugegriffen wird. Ausnahmen von diesem Einwilligungserfordernis sind eng begrenzt auf Fälle, in denen das Speichern und Auslesen der Informationen unbedingt erforderlich ist, damit ein ausdrücklich von Nutzer:innen gewünschter Telemediendienst zur Verfügung gestellt werden kann. In der Orientierungshilfe finden sich maßgebliche Kriterien, wie der entsprechende Nutzerwunsch festgestellt und sodann realisiert werden kann.

Bei der Prüfung, ob ausnahmsweise eine Einwilligung entbehrlich ist, ist zu beachten, dass die Voraussetzungen sich wesentlich vom Kriterium des berechtigten Interesses in der Datenschutz-Grundverordnung (DS-GVO) unterscheiden. Bis zum 30. November 2021 wurde das berechtigte Interesse von den Aufsichtsbehörden unter engen Voraussetzungen als mögliche Rechtsgrundlage angesehen. Eine bisherige Interessenabwägung nach der DS-GVO erfüllt jedoch nicht automatisch die engen Voraussetzungen des TTDSG. Zur Umsetzung der neuen Rechtslage ist es daher beispielsweise nicht ausreichend, wenn lediglich die Bezeichnungen der Rechtsgrundlagen in einer Datenschutzerklärung ausgetauscht werden.

Seit dem 1. Dezember 2021 finden für das Speichern und Auslesen von Informationen auf bzw. aus Endgeräten die strengeren Vorschriften des TTDSG Anwendung. Für die Weiterverarbeitung der so erhobenen personenbezogenen Daten gelten weiterhin die Vorschriften der DS-GVO. Auch hierzu finden sich einige Hinweise in der neuen Orientierungshilfe.

Betreiber:innen von Webseiten, Apps und anderen Telemedien sollten die Verwendung von Cookies und anderen Technologien dringend überprüfen. Insbesondere sind die genaue Ausgestaltung der Technologien und deren Notwendigkeit einer Revision zu unterziehen. Zeitpunkt, Art und Dauer der Speicherung sowie die nachgelagerte Datenverarbeitung müssen den Anforderungen des TTDSG bzw. der DS-GVO entsprechen. Dabei soll die nun vorliegende Orientierungshilfe eine Hilfestellung geben.

Das Dokument ersetzt in weiten Teilen die bisherige Fassung aus dem Jahr 2019 und wurde auf der Homepage der DSK veröffentlicht. Es ist geplant, zeitnah auch eine englische Fassung der Orientierungshilfe zur Verfügung zu stellen.

Des Weiteren wird ein öffentliches Konsultationsverfahren zur neuen Fassung der Orientierungshilfe durchgeführt werden. Details hinsichtlich der zeitlichen Planung und des Ablaufs werden im Januar 2022 bekannt gegeben.

Weitere Informationen zur DSK: www.datenschutzkonferenz-online.de