Kategorie: Datenschutz

Händler sind nicht gezwungen, beim Smartphone-Kauf auf Sicherheitslücken oder fehlende Updates hinzuweisen. Dies bestätigte der 6. Zivilsenat des Oberlandesgerichts Köln nach einer Klage der Verbraucherzentrale Nordrhein-Westfalen gegen einen Elektronikmarkt. Die Verbraucherschützer hatte in einem Markt mehrere Smartphones erworben und auf Sicherheitslücken durch das Bundesamts für Sicherheit in der Informationstechnik (BSI) prüfen lassen. Dabei zeigten sich bei einem Gerät zum Beispiel 15 Schwachstellen, die zu einem eklatanten Sicherheitsrisiko für die Käufer führen kann. Das Bundesamt versuchte nach der Überprüfung sich an den Hersteller zu wenden, was allerdings keinen Erfolg brachte.

Daraufhin verlangte die Verbraucherzentrale vom Elektronikmarkt, zumindest die Käufer auf bestehende Sicherheitslücken bei dem Erwerb eines Smartphones hinzuweisen. Dieses Verfahren kann jedoch laut OLG nicht von den Händlern verlangt werden, da dies ein unzumutbarer Aufwand darstelle, sich Informationen über mögliche Sicherheitslücken für jedes einzelne von ihnen angebotene Smartphone-Modell zu verschaffen, begründete die Kammer ihr Urteil.

Mehr zum Thema finden Sie hier:
https://www.channelpartner.de/a/haendler-muss-nicht-auf-sicherheitsluecken-und-fehlende-updates-hinweisen,3336690

Nach Artikel 15 der Datenschutzgrundverordnung (DSGVO) hat jede natürliche Person ein Recht auf Auskunft über die zu seiner Person gespeicherten Daten.

Nach einem Urteil  des Oberlandesgerichts Köln (Urteil vom 26.07.2019 – 20 U 75/18) gegen ein beklagtes Versicherungsunternehmen, bei dem es u.a. auch um einen Auskunftsanspruch ging, umfasst  der Auskunftsanspruch neben der „Aufstellung von Personendaten aus der zentralen Datenverarbeitung“ sowie der „Aufstellung von Personendaten aus dem Lebensversicherungsvertrag“ hinaus auch die Auskunft zu sämtlichen weiteren personenbezogenen Daten, insbesondere auch in Gesprächsnotizen und Telefonvermerke, welche die Beklagte im Hinblick auf den Kläger gespeichert, genutzt und verarbeitet hat.

Diese weiteren Auskünfte waren durch das von diesem Urteil betroffene Versicherungsunternehmen nicht erteilt worden. Diese hatte lediglich Auskunft über „Stammdaten“ erteilt, eine weitergehende Auskunftspflicht aber nicht als gesetzlich gefordert erachtet.

Das Gericht stellte fest, dass es in Zeiten der Informationstechnologie mit umfassenden Verarbeitungs- und Verknüpfungsmöglichkeiten keine belanglosen Daten mehr gäbe und es sich auch bei Gesprächsvermerken oder Telefonnotizen um personenbezogene Daten handelt, die dementsprechend nach Art 15 DSGVO zu beauskunften sind.

Auch der Einwand des Versicherungsunternehmens, dass es für sie als Großunternehmen mit umfangreichen Datenbestand mit den ihr zur Verfügung stehenden Ressourcen wirtschaftlich unmöglich sei, Dateien auf personenbezogene Daten zu durchsuchen und zu sichern, war nicht erfolgreich. Hier wies das Gericht darauf hin, dass  die Beklagte, die sich der elektronischen Datenverarbeitung bedient, dies im Einklang mit der Rechtsordnung organisieren müsse und insbesondere dafür Sorge zu tragen habe, dass dem Datenschutz und den sich hieraus ergebenden Rechten Dritter Rechnung getragen wird.

Interessant an dem Urteil ist auch, dass der Antrag auf Auskunft mit einem Streitwert in Höhe von immerhin 5.000,00 € bewertet wurde. Inwieweit es sich hierbei zukünftig um einen allgemein akzeptierten Wert handeln wird bleibt abzuwarten. Auskünfte, die nicht oder nicht ordnungsgemäß erteilt werden, könnten im Falle einer berechtigten Mahnung oder Klage durch einen Rechtsanwalt erhebliche Anwaltskosten nach sich ziehen. Darüber hinaus können nach der DSGVO auch Geldbußen seitens einer Landesdatenschutzbehörde verhängt werden.

GINDAT nimmt dieses Urteil noch einmal zum Anlass darauf hinzuweisen, dass Auskünfte möglichst umfassend und unverzüglich, spätestens aber innerhalb eines Monats, erteilt werden sollten. Andernfalls drohen Bußgelder, Abmahnungen oder gar Klagen von betroffenen Personen, was teuer werden kann.

Jörg Conrad, Rechtsanwalt, GINDAT GmbH

Gegen den Immobilienkonzern Deutsche Wohnen hat die Berliner Datenschutzbehörde auf Grund von DSGVO-Verstößen das bisher höchste Bußgeld in Höhe von 14,5 Millionen Euro verhängt. Die Gesellschaft hatte Daten ihrer Mieter gesammelt, ohne zu prüfen, ob diese überhaupt erforderlich sind oder waren. So wurden Informationen über Gehaltsbescheinigungen, Kontoauszüge, Selbstauskünfte, Auszüge aus Arbeitsverträgen sowie Steuer-, Sozial- und Krankenversicherungsdaten in den Datenbanken gespeichert. Außerdem soll das Archivsystem keine Möglichkeit vorsehen, veraltete und damit nicht mehr erforderliche Daten löschen zu können.

Die Aufsichtsbehörden aller Bundesländer sind dazu verpflichtet, die Datenschutzgrundverordnung verhältnismäßig aber auch abschreckend durchzusetzen. Die gesetzlich vorgegebene Bußgeldbemessung in diesem Fall läge, gemessen am ausgewiesenen Jahresumsatz von über einer Milliarde Euro, bei 28 Millionen Euro. Da die Immobiliengesellschaft jedoch einige, wenn auch wenige Schritte zur Verbesserung eingeleitet habe, konnte das Bußgeld abgesenkt werden.

Da die Bußgeldentscheidung bisher nicht rechtskräftig ist, kann die Gesellschaft noch Widerspruch einlegen.

Mehr zum Thema finden Sie hier:
https://www.datenschutz.de/berliner-datenschutzbeauftragte-verhaengt-bussgeld-gegen-immobiliengesellschaft/

Das Landesarbeitsgericht Mecklenburg-Vorpommern hat einen Arbeitgeber zu einer Schadensersatz-Zahlung in Höhe von 2.000 Euro verurteilt.

Wichtiger Anhaltspunkt für die Entschädigung ist das „erhebliche“ Ausmaß der Verletzung des Persönlichkeitsrechts. Dabei hat das LAG insbesondere die Art sowie das Ausmaß der Verfehlung gegen die Vorgaben des Bundesdatenschutzgesetzes gesehen.

Die Rostocker Richter haben in ihrem bereits im Mai 2019 ergangenen Urteil festgestellt, dass die anlasslose Überwachung der Belegschaft zum Schutz vor Schädigungen des Vermögens des Arbeitgebers durch einzelne Beschäftigte, bereits nach §32 BDSG aF verboten war und dass dieses Verbot gemäß BDSG weiterhin Bestand hat. 

Bemerkenswert ist, dass das Gericht nicht nur die Überwachung des unmittelbaren Arbeitsbereichs (Kassenbereich) für unzulässig erklärten, sondern auch die Überwachung an Orten, die die Beschäftigten gezwungenermaßen auch bei Ankunft und Verlassen des Geländes sowie beim Aufsuchen der Toiletten durchqueren mussten. 

Eine Kameraüberwachung ist demnach allenfalls dann anlassbezogen erlaubt, wenn der Arbeitgeber konkrete Anhaltspunkte dafür hat, dass er von einzelnen Beschäftigten geschädigt wird und wenn die Überwachung unter Berücksichtigung der Schutzinteressen der Beschäftigten erforderlich ist, es also keine mildere Alternative zu der Kameraüberwachung gibt.

Bei der Videoüberwachung am Arbeitsplatz sind grundsätzlich insbesondere die Regelungen des Abs. 1, Satz 2 BDSG zu berücksichtigen. Danach dürfen zur Aufdeckung von Straftaten personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn 

1.  zu dokumentierende, tatsächliche Anhaltspunkte den Verdacht begründen,
   dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, 
2.  die Verarbeitung zur Aufdeckung erforderlich ist und 
3.  das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Anderenfalls kann, wie nunmehr vom Landesarbeitsgericht in Mecklenburg-Vorpommern unmissverständlich festgestellt, eine empfindliche Schadensersatzzahlung drohen.
Das Urteil des Landesarbeitsgerichts Mecklenburg-Vorpommern finden Sie hier. 

Der Bundesverband der Verbraucherzentralen bereitet erste Abmahnungen auf Grund unerlaubten Nutzertrackings vor. Dabei stehen acht Medienunternehmen im Fokus des Verbandes gegen Trackingmethoden wie Google Analytics. Hier werden Login-Daten gesammelt als auch das Nutzerverhalten sowie deren Präferenzen aufgezeichnet. Diese Daten dürfen nach neuestem Stand aber nur aufgezeichnet werden, wenn der Nutzer diesem Vorgang aktiv zugestimmt hat. Ein vorausgefüllter Nutzungsbanner ist somit nicht erlaubt. Auch deutsche Datenschutzbehörden werden aktiv und wollen konsequent gegen Verstöße vorgehen. So kündigt die Behörde in Bayern an, dass sie die ersten Bußgeldbescheide gegen Unternehmen erlassen werde. Wie hoch die angekündigten Strafen werden könnten, liegt an der neu erstellten DSGVO Bußgeldbemessung. 

Mehr zum Thema finden Sie hier:
https://www.onlinehaendler-news.de/e-recht/abmahnungen/131904-erste-abmahnungen-wegen-setzen-von-cookies-durch-google-analytics

Der Europäische Gerichtshof (EuGH) fordert eine aktive Zustimmung der Nutzer zum Setzen und Abrufen von Cookies. Damit hat das Gericht im Sinnen des Datenschutzes gehandelt und die Privatsphäre von Internetnutzern deutlich gestärkt. Grund dieses Urteils ist eine Klage des Bundesverbandes der Verbraucherzentralen (vzbv) gegen den Gewinnspielanbieter Planet49. Das Unternehmen hat sich nicht nur durch ihre Nutzungsbedingungen das Recht auf Datenweitergabe zusichern lassen, sondern gleichzeitig das Zustimmungskästchen für Tracking-Cookies vorausgefüllt. Mit diesen Cookies können Website-Anbieter wichtige und umfangreiche Informationen über ihre Besucher sammeln und diese Daten an Partnerunternehmen weiterreichen.

Dieses Urteil des EuGH bedeutet aber nicht das Ende der Cookies, sondern lediglich, dass alle Website-Anbieter keine vorausgefüllten Cookie-Banner mehr verwenden dürfen. Der Nutzer muss aktiv seine Zustimmung zur Nutzung von Cookies geben können.

Mehr zum Thema finden Sie hier:
https://www.golem.de/news/eugh-urteil-jeder-cookie-erfordert-einwilligung-der-nutzer-1910-144187.html

Wer die Daten auf seinen Festplatten – insbesondere auf dem Notebook – schützen will, muss sie verschlüsseln.

Wie das genau funktioniert und warum eine Verschlüsselung so wichtig ist, möchten wir Ihnen in unserem Artikel erklären.

Das Notebook oder MacBook ist aus dem täglichen Arbeitsleben kaum noch wegzudenken – umso schlimmer, wenn es gestohlen wurde oder verloren gegangen ist. Was Sie fein säuberlich in Ordnern, Programmen oder Unterordnern für Ihre Kunden sortiert und gespeichert haben, ist für einen neugierigen Dieb ein reines Daten-Eldorado. Neben Ihren eigenen gespeicherten Daten sind dann ggf. sämtliche Daten Ihrer Kunden betroffen.

Will ein Dieb die Anmeldung am Betriebssystem umgehen, hilft oft der Ausbau der Festplatte und der Anschluss an einen zweiten Rechner. So stehen dem Datenklau Tür und Tor offen. Ist gar ein dienstliches Gerät vom Diebstahl betroffen, läge jetzt sogar eine meldepflichtige Datenpanne vor, welche mit einem Bußgeld belegt werden kann.

Wie schütze ich meine Daten unter Windows?

Microsoft bietet mit BitLocker eine in das Windows-Betriebssystem integrierte Lösung, mit der sich Festplatten, Systemlaufwerke oder Wechseldatenträger sicher verschlüsseln lassen. So bleiben die Daten bei Diebstahl des Endgerätes geschützt, selbst dann, wenn die Festplatte physisch aus dem Rechner entfernt wird. Ist die Festplatte verschlüsselt, sind die Daten ohne den passenden Schlüssel nicht mehr lesbar. Über die Konfigurationseinstellungen des Systems, lässt sich der Rechner so einstellen, dass das System nicht ohne Eingabe des richtigen PINs oder der passenden Schlüsseldatei auf z.B. einem USB-Stick gestartet werden kann.

In moderneren Rechnern ist oftmals eine zusätzliche Hardwarekomponente (TMP) Trusted Platform Module verbaut, die in Kombination mit BitLocker sicherstellt, dass der Rechner auch im Offlinezustand nicht manipulierbar ist. BitLocker kann aber auch ohne dieses Modul genutzt werden. Unterstützte Dateisysteme sind FAT16, FAT32, NTFS und exFAT.

Die BitLocker-Verschlüsselung ist für folgende Windows-Versionen einsetzbar:

• die Ultimate- und Enterprise-Versionen von Windows Vista
• die Pro- und Enterprise-Versionen von Windows 8 und Windows 8.1
• die Pro- und Enterprise-Versionen von Windows 10
• die Windows-Server-Versionen ab Windows Server 2008

Wie schütze ich meine Daten unter macOS?

Apple bietet mit FileVault jedem Mac-Nutzer die Möglichkeit, seine Festplatte zu verschlüsseln. FileVault ist Bestandteil aller aktuellen Mac-OS-X-Versionen. Genau wie bei der Verschlüsselung mit BitLocker unter Windows lassen sich Festplatten mit FileVault unter Mac/OS verschlüsseln. Beim Verschlüsseln der Festplatte wird jede einzelne Datei, die auf die Festplatte geschrieben wird, mit einem kryptografischen Algorithmus verschlüsselt. Ohne den passenden Schlüssel bleiben die Dateien unbrauchbar und für Fremde nutzlos. FileVault legt den gesamten verschlüsselten Festplatteninhalt in einem großen Datencontainer ab. Für einen Angreifer ist es so unmöglich zu sehen, welche oder wie viele Daten auf der Festplatte gespeichert sind. Sichtbar ist lediglich ein großer, verworrener Datenwust.

Der Schlüssel ist bei macOS Systemen an das Benutzerpasswort gekoppelt, daher ist beim Systemstart zwei Mal eine Passworteingabe notwendig. Die erste Eingabe ist zum Entschlüsseln der Festplatte, die zweite Eingabe erfolgt nach dem erfolgreichen Bootvorgang für die Benutzeranmeldung.

Fazit

Zusammenfassend lässt sich sagen, dass eine Verschlüsselung der Festplatten von mobilen Endgeräten sinnvoll und wichtig ist, nicht nur um Ihre eigenen Daten darauf zu schützen – vor allem aber die Ihrer Kunden, denn das kann unter Umständen sehr teuer werden. Denken Sie daran, Datenverlust von unverschlüsselten mobilen Endgeräten ist immer eine meldepflichtige Datenpanne.

Unternehmen sind laut DS-GVO verpflichtet, gespeicherte, personenbezogene Daten auf Verlangen den betroffenen Personen zu übergeben. Dem seit Mai 2018 geltenden Recht zur Auskunft und Datenportabilität müssen alle Unternehmen und Anbieter nachkommen. Doch diese Vorschrift kann offensichtlich ganz einfach zu einem umfangreichen Identitätsdiebstahl genutzt werden. Dies machte ein britischer Student auf der Sicherheitskonferenz „Black Hat“ in Las Vegas deutlich und zeigte, wie unkompliziert es ist, personenbezogene Daten aufgrund des Auskunftsrechts zu erhalten. Dafür benötigte er nur eine Fake-Adresse sowie öffentlich zugängliche Daten einer Person.

Auf seine Anfrage erhielt er bei vier großen Unternehmen, die auch auf dem US-Markt tätig sind, gar keine Auskunft mit der Begründung, dass EU-Bürger nach deren Sicht kein Recht auf Datenauskunft haben. Aber immerhin 72 Prozent der kontaktierten Unternehmen oder Plattformen reagierten auf seine Anfrage. Das katastrophale Ergebnis dieser Studie: Einige verlangten eine einfache, leicht zu umgehende Identitätsprüfung und bei ca. 24 Prozent der Anbieter wurde komplett auf eine Prüfung verzichtet und die Daten ohne weitere Fragen an die Fake-Adresse versendet. 

Mehr zum Thema finden Sie hier:
https://www.golem.de/news/dsgvo-datenschutzauskunft-als-sicherheitsrisiko-1908-143186.html

Es gibt neuen Gegenwind gegen Datenkraken wie Facebook und Co. Nachdem bereits die Datenschutzkonferenz in ihrer jüngsten Orientierungshilfe für Telemediendienste (DSK Orientierungshilfe für Anbieter von Telemedien) eine klare Position für eine Einwilligungslösung bei der Einbindung von Facebook und Co. in die eigene Homepage bezogen hatte, hat der EuGH diese Position nunmehr bestätigt.

Viele der eingebundenen Social-Plugins wie der Facebook-Like- oder Share-Button funktionierten in der Weise, dass bereits bei Aufruf der Webseite, auf der die Tools eingebunden waren, eine Datenverbindung zu Facebook aufgebaut wurde. Hierdurch erhielt Facebook vielerlei Informationen über die Besucher, ohne dass die Besucher hierauf Einfluss gehabt hätten.

In einer Vorlagenanfrage der deutschen Gerichte an den EuGH ging es eben um diese Einbindung solcher Plugins, die bereits bei Aufruf der Webseite Daten an Dritte übertragen. In seinem Urteil vom 29.07.2019 stellte der EuGH klar, dass ein Webseiten-Betreiber, der ein Social-Plugin (Facebook-Like- oder Share-Button und andere) auf seiner Seite eingebunden hat, das eine unmittelbare Verbindung zu Facebook aufbaut, als Verantwortlicher für die Datenverarbeitung anzusehen ist und es für diese Datenübertragung einer ausdrücklichen Einwilligung bedarf.
Ausgangspunkt des Verfahrens war eine Klage der Verbraucherzentrale NRW gegen den Online-Shop Fashion-ID. Streitpunkt war die Einbindung eines Facebook-Plugins. Die Funktionsweise des Plugins ist so aufgebaut, dass Inhalte des fremden Anbieters (Facebook) in die eigene Webseite eingebunden werden, die es zum Abruf dieser Inhalte notwendig machen, die Daten des Webseiten-Besuchers an den Dritten (Facebook) zu übermitteln. Dies geschieht auch, wenn der Besucher nicht bei Facebook angemeldet ist. Er muss dafür noch nicht einmal ein Facebook-Konto besitzen. In dem Falle werden sogenannte Schattenprofile angelegt.

Das OLG Düsseldorf hatte in seinem Vorabentscheidungsersuchen an den EuGH eine Frage aufgenommen, die zumindest die Möglichkeit in Betracht zog, die Einbindung eines Social-Plugins in die eigene Webseite auf ein berechtigtes Interesse als Rechtsgrundlage zu stützen. Überraschend deutlich hat der EuGH die Frage nach dem berechtigten Interesse abgeschmettert mit dem Hinweis, dass es hierauf nicht ankomme, da keine rechtlich notwendige Einwilligung vorläge.
Zum Umfang der Informationspflicht, beziehungsweise zum Grad der Informiertheit der Einwilligung des Webseiten-Besuchers, stellt der EuGH allerdings klar, dass der Webseiten-Betreiber nur über den Teil aufklären muss, der in seinem Herrschaftsbereich liegt, nicht über vor- und nachgelagerte Phasen, die nicht in seinem Verantwortungsbereich liegen. Dies ist insofern beruhigend, da eine umfassende Information über die Verarbeitung bei Facebook schlicht nicht vorliegt und somit nicht möglich ist. Die Information durch den Webseiten-Betreiber muss demnach nur den Part umfassen, der in seinem Herrschaftsbereich liegt.

Was bedeutet das für Sie:
Grundsätzlich spricht der EuGH allgemein von Social-Media-Anbietern und stellt damit die Maßnahmen nicht nur für Facebook, sondern auch für alle anderen Anbieter mit ähnlich eingebundenen Plugins auf. Werden Inhalte von anderen Servern auf Ihrer Webseite eingespielt, müssen Sie davon ausgehen, dass Daten an diese Dritte übertragen werden, da die Auslieferung der Inhalte technisch nicht anders möglich ist. Als Beispiele: Newsfeeds, Videos von Videoportalen, Kartenmaterial und vieles mehr.

Prüfen Sie demnach die eingebundenen PlugIns auf Ihrer Seite gründlich:

• Welche Datenübermittlungen über Ihre Besucher finden auf Ihrer Homepage statt?
• Wie lassen sich diese gegebenenfalls unterbinden?
• Welche Daten (IP-Adresse, Geräte-Information, Geräte-Standort, ggf. weitere) werden an wen übermittelt?

Falls Sie sich nicht sicher sind, fragen Sie bei den Anbietern nach. Die Haftung für Fehler liegt bei Ihnen als Verantwortlichem.
Falls der Einsatz der Tools weiterhin gewünscht ist, wie kann die informierte Einwilligung der Seitenbesucher eingeholt werden?
Bitte aktualisieren Sie Ihre Erklärungen und Prozesse auf der Webseite dementsprechend. Für Hilfestellung kontaktieren Sie Ihren Datenschutzbeauftragten.

Ass.iur. Nicole Krause
Für die Gindat GmbH