Kategorie: Datenschutz

Die Datenschutzgrundverordnung (DSGVO) bietet jeder Person, die von Datenverarbeitung betroffen ist, ein Auskunftsrecht. Ein Auskunftsanspruch kann jedoch abgelehnt werden, wenn er offenkundig unbegründet ist oder durch häufige Wiederholung als exzessiv gilt. Alternativ kann für die Bearbeitung des Anspruchs gemäß Art. 12 Absatz 5 DSGVO ein angemessenes Entgelt gefordert werden.

Das Oberlandesgericht Nürnberg beschäftigte sich kürzlich mit der Frage, wann ein Auskunftsanspruch als exzessiv zu bewerten ist (Endurteil vom 29.11.2023, Aktenzeichen 4 U 347/21). Im verhandelten Fall forderte ein ehemaliger Mitarbeiter und Vorstandsmitglied einer Firma umfassende Auskunft über seine gespeicherten Daten, einschließlich Protokolle und E-Mails. Die Firma lehnte dies ab, da sie den Anspruch als missbräuchlich und aufgrund des Aufwands als exzessiv ansah.

Das Gericht widersprach der Auffassung der Firma und entschied zugunsten des Ex-Mitarbeiters. Es stellte klar, dass das Motiv des Antragstellers irrelevant ist und der Aufwand der Datensammlung kein Grund für die Ablehnung sein kann. Es betonte, dass ein erster Antrag nicht grundsätzlich als exzessiv angesehen werden kann.

Die Rechtslage bezüglich des missbräuchlichen Einsatzes des DSGVO-Auskunftsanspruchs bleibt jedoch umstritten. Ein weiteres Beispiel ist ein Urteil des LG Gießen vom 11.01.2023 (Az.: 2 O 178/22), welches einen Anspruch wegen missbräuchlicher Verwendung als unzulässig erklärte. Daher ist eine endgültige Klärung dieser Frage durch höhere Gerichte noch ausstehend.

Weitere Informationen finden Sie hier:
https://www.onlinehaendler-news.de/e-recht/aktuelle-urteile/139498-wann-dsgvo-auskunftsanspruch-exzessiv-und-rechtsmissbraeuchlich?utm_source=newsletter&utm_medium=email&utm_campaign=ohn

In Reaktion auf ein bedeutendes Urteil des Europäischen Gerichtshofs (EuGH) vom vergangenen Dezember bereitet der deutsche Gesetzgeber aktuell eine Überarbeitung des Bundesdatenschutzgesetzes vor. Ziel ist es, den Umgang mit persönlichen Daten durch Auskunfteien wie die Schufa strenger zu regulieren. Das EuGH-Urteil hatte die Praxis des sogenannten Kreditscorings kritisiert, insbesondere in Fällen, in denen Auskunfteien wie die Schufa auf umfassende und teils sensible persönliche Daten zugreifen, um die Kreditwürdigkeit von Personen zu bewerten.

Dies verdeutlicht ein Fall aus Deutschland, in dem eine Frau gegen die Schufa klagte, weil sie einen Kredit nicht erhalten hatte. Sie forderte die Löschung eines Eintrags und den Zugang zu ihren Daten. Die Schufa teilte ihr jedoch nur den Score-Wert und allgemeine Informationen zu dessen Berechnung mit. Der EuGH verhandelte diesen Fall und stellte fest, dass dieses Verfahren eine unzulässige automatisierte Entscheidung darstellt.

Die geplanten Gesetzesänderungen zielen darauf ab, den Zugang zu persönlichen Daten einzuschränken und gleichzeitig mehr Transparenz darüber zu schaffen, woher diese Daten stammen. Künftig sollen Auskunfteien nicht mehr automatisch Daten wie Wohnadresse, soziale Medien, Bankbewegungen, Gesundheitsdaten oder Informationen über ethnische Herkunft für das Scoring verwenden dürfen.

Eine wichtige Änderung ist die Verpflichtung der Auskunfteien, die genauen Berechnungsmethoden ihres Scorings offenzulegen, wenn Verbraucher danach fragen. Dies stellt eine signifikante Abkehr von der bisherigen Praxis dar, in der sich die Schufa oft auf das Geschäftsgeheimnis berufen konnte, um detaillierte Auskünfte zu verweigern.

Diese legislativen Anpassungen sind noch nicht final, da sie die Zustimmung des Bundestags und des Bundesrats benötigen. Bundesverbraucherschutzministerin Steffi Lemke hat die Änderungen jedoch bereits begrüßt und betont, dass sie dazu beitragen werden, Diskriminierung durch Scoring-Verfahren zu vermeiden und den Verbraucherschutz zu stärken.

Weitere Informationen finden Sie hier:
https://www.onlinehaendler-news.de/e-recht/gesetze/139518-strengere-regeln-schufa-kreditscoring?utm_source=newsletter&utm_medium=email&utm_campaign=wee

Nutzer des Facebook Marketplace sollten aus Sicherheitsgründen die Website „Have I Been Pwned?“ überprüfen, da laut Heise eine Datenbank mit rund 200.000 Einträgen und Informationen von 77.267 Nutzern von Kriminellen kopiert wurde.

In der Datenbank befinden Namen, E-Mail-Adressen, Passwörter und Telefonnummern. Obwohl die Passwörter verschlüsselt sind und derzeit sicher scheinen, wird dennoch empfohlen, sie zu ändern, da die gestohlenen Daten bereits in einem Hacker-Forum aufgetaucht sind. Diese Daten wurden im Oktober 2023 von einem Cyberkriminellen, bekannt unter dem Namen „agoatson“, illegal über Discord durch Ausnutzung eines Schwachpunktes eines Cloud-Service-Anbieters von Facebook kopiert.

Dies ist nicht das erste Mal, dass Facebook von einem Datenleck betroffen ist. Im Jahr 2021 wurden etwa 1.5 Milliarden Datensätze von Facebook-Nutzern im Darknet entdeckt und zum Verkauf angeboten. Solche Vorfälle haben zu erheblichen Strafen geführt und offenbaren das Ausmaß, in dem Unternehmen Zugang zu Nutzerdaten haben können. Eine Untersuchung der US-Verbraucherorganisation Consumer Reports ergab, dass die Daten eines Nutzers Verbindungen zu 48.000 Unternehmen aufwiesen.

Die Überprüfung über „Have I been Pwned?“ können wir gerne für Sie vornehmen. Hierfür können Sie uns gerne über unser Kontaktformular kontaktieren.

Weitere Informationen finden Sie hier:
https://www.onlinehaendler-news.de/digital-tech/cyberkriminalitaet/139594-facebook-marketplace-daten-77-000-usern-geleakt?utm_source=newsletter&utm_medium=email&utm_campaign=ohn

Der Digital Services Act, der ab dem 17. Februar vollständig in Kraft getreten ist, bringt wichtige Änderungen für Online-Händler mit sich. Dieses Gesetz zielt darauf ab, den europäischen Verbrauchern sicheres Online-Shopping zu ermöglichen und hat daher direkte Auswirkungen auf Verkäufer auf Plattformen wie eBay, Amazon und Kaufland.

Ein zentraler Punkt des Gesetzes ist Artikel 30, der verlangt, dass Plattformen gewährleisten, dass Händler nur dann Produkte anbieten dürfen, wenn umfassende Kontaktinformationen vorliegen. Hierzu zählen Name, Adresse, Telefonnummer, E-Mail-Adresse, eine Kopie des Identitätsdokuments des Unternehmers, Zahlungskontodaten, gegebenenfalls das Handelsregister und die Handelsregisternummer. Zudem wird eine Selbstbescheinigung benötigt. Diese Selbstbescheinigung ist eine Neuerung, bei der sich Händler verpflichten, ausschließlich Waren anzubieten, die den EU-Rechtsvorschriften entsprechen.

Mit der Einführung dieses Gesetzes müssen Marktplatzbetreiber strengere Kontrollen durchführen, was für die Händler bedeutet, dass sie sorgfältig alle geforderten Unterlagen bereitstellen müssen, um Konflikte, besonders auf Plattformen wie Amazon, zu vermeiden.

Allerdings enthält der Digital Services Act in Artikel 29 eine Ausnahmeregelung für sehr kleine Plattformen, die sich speziell an Kleinst- und Kleinunternehmer richten, wie zum Beispiel Handmade-Märkte. Dies bietet eine gewisse Flexibilität für kleinere Akteure im Online-Handel.

Weitere Informationen finden Sie hier:
https://www.onlinehaendler-news.de/e-recht/gesetze/139555-plattform-haendler-muessen-selbstbescheinigung-einreichen?utm_source=newsletter&utm_medium=email&utm_campaign=wee

Der Digital Services Act (DSA), der seit 2020 entwickelt wird, zielt darauf ab, die rechtlichen Rahmenbedingungen für digitale Dienste in der EU zu aktualisieren. Insbesondere soll er sicherstellen, dass Online-Vermittlungsdienste wie Suchmaschinen, soziale Netzwerke und Online-Marktplätze illegale Inhalte schneller und systematischer entfernen.

Seit dem 17. Februar 2024 ist ein neuer Abschnitt des DSA in Kraft, der sich auch Hosting-Anbieter auswirkt. Diese müssen seitdem die folgenden  Anforderungen erfüllen:

– zentrale Kontaktstelle für Meldungen mutmaßlicher rechtswidriger Inhalte einrichten und bekannt machen
– Regelungen zur Inhaltsmoderation in ihren Nutzungsbedingungen bzw. Allgemeinen Geschäftsbedingungen darlegen
– ein Verfahren für die Meldungen und Bearbeitung rechtswidriger Inhalte einrichten
– Transparenzberichte erstellen

Diese Änderungen haben direkte Auswirkungen auf die rechtlichen Dokumente der Unternehmen, die entsprechend aktualisiert werden müssen. Dazu gehören das Impressum, die Allgemeinen Geschäftsbedingungen und Datenschutzerklärungen.

Der DSA weist zudem Parallelen zur bestehenden Verordnung zur Bekämpfung terroristischer Online-Inhalte auf. Ähnliche Anforderungen, wie die Einrichtung von Kontaktstellen für behördliche Meldungen oder Strategien zur Bekämpfung terroristischer Inhalte in den AGB, sind auch hier vorgesehen. Zudem könnten bei Nichteinhaltung des DSA Sanktionen drohen. Obwohl die nationalen Umsetzungsgesetze noch in Entwicklung sind, könnten bald Bußgelder von bis zu 50.000 Euro verhängt werden. Die Nichtbeachtung der neuen Vorschriften könnte auch als Wettbewerbsverstoß gewertet werden.

Gerne können Sie uns diesbezüglich kontaktieren. Wir stellen Ihnen diese Rechtstexte gerne zur Verfügung.

Weitere Informationen finden Sie hier:
https://www.hb-ecommerce.eu/2024/02/12/digital-services-act-und-tco-verordnung-welche-pflichten-gelten-fuer-anbieter-von-hosting-diensten/

Internationale Sicherheitsbehörden, darunter die britische National Crime Agency, das FBI, Europol sowie das BKA und LKA Schleswig-Holstein, haben einen bedeutenden Erfolg im Kampf gegen die Cyberkriminalität erzielt. Sie griffen die berüchtigte Hackergruppe Lockbit an, die für ihre Ransomware-Attacken bekannt ist. Bei einem gezielten Einsatz an einem Montagabend konnten wichtige Teile ihrer Infrastruktur unter Kontrolle gebracht werden.

Im Rahmen dieser Operation wurden 34 Server und 200 Kryptowährungs-Wallets beschlagnahmt und zwei Personen in Polen und der Ukraine verhaftet. Trotz dieser Erfolge sind einige Webseiten der Gruppe und sensible Daten der Opfer noch immer zugänglich.

Lockbit, eine der führenden Hackergruppen weltweit, hat sich auf Ransomware-Angriffe spezialisiert. Diese Angriffe zielen darauf ab, Unternehmensdaten zu verschlüsseln und die Freigabe nur gegen Lösegeld zu erlauben. Die Gruppe hat zahlreiche Ziele ins Visier genommen, darunter Unternehmen und Einrichtungen im Gesundheitswesen wie Boeing, die britische Royal Mail und verschiedene Krankenhäuser. Seit 2020 wurden mindestens 1.700 US-Organisationen von Lockbit angegriffen.

Durch ein Partnerprogramm, das anderen kriminellen Akteuren ermöglicht, ihre Dienste gegen eine Gewinnbeteiligung von 20 Prozent zu nutzen, hat die Gruppe ihre Aktivitäten erweitert. Diese Strategie verstärkt ihre Reichweite und Macht im Bereich der Cyberkriminalität.

Die jüngsten Erfolge im Kampf gegen Lockbit senden eine klare Botschaft an ähnliche Netzwerke. Sie zeigen, wie wichtig und wirksam die internationale Zusammenarbeit in der digitalen Ära ist. Gleichzeitig betonen sie die anhaltende Herausforderung, gegen solche agilen und technisch fortgeschrittenen Bedrohungen vorzugehen.

Weitere Informationen finden Sie hier:
https://www.onlinehaendler-news.de/digital-tech/cyberkriminalitaet/139576-behoerden-kapern-websites-gefaehrlichsten-hacker-kollektive?utm_source=newsletter&utm_medium=email&utm_campaign=ohn

Generell ist es gemäß Art. 32 DSGVO unabdingbar, ein entsprechend abgesichertes Active Directory (AD) vorweisen zu können, um ein angemessenes Sicherheitsniveau zu gewährleisten.

Ein Active Directory ermöglicht die Gliederung eines Netzwerks entsprechend der realen Struktur des Unternehmens oder seiner räumlichen Verteilung.
Dazu werden Objekte im Netzwerk wie Benutzer, Gruppen, Computer, Dienste, Server, Dateifreigaben sowie andere Geräte wie Drucker und Scanner verwaltet und deren Eigenschaften festgelegt.
Ein gut aufgebautes Active Directory ermöglicht es einem Administrator, die relevanten Informationen der Organisation bereitzustellen, diese einfach zu organisieren und zu überwachen.

Insbesondere angesichts der kontinuierlichen Zunahme von Cyberangriffen und der voraussichtlichen Fortdauer dieses Trends ist die Stärkung der IT-Sicherheit von entscheidender Bedeutung, was logischerweise auch im Interesse des Datenschutzes liegt.
Die Herausforderungen beginnen jedoch oft bereits aufgrund der enormen Datenmenge dabei, einen Bericht darüber zu erhalten, wo genau im eigenen System die Schwachstellen liegen und welche Prioritäten gesetzt werden sollten.
Gemäß Artikel 32 der DSGVO obliegt es den Verantwortlichen, einen angemessenen Sicherheitsstandard auf dem Stand der Technik herzustellen und aufrechtzuerhalten.

Die Unterstützung und Beratung in dieser Hinsicht zählt jedoch auch zu den Aufgaben des Datenschutzbeauftragten gemäß Art. 39 DSGVO in Verbindung mit Art. 32 DSGVO und Art. 25 DSGVO.
Durch eine entsprechende Einbindung des Datenschutzbeauftragten ist es möglich, zahlreiche Risikofaktoren zu überprüfen und entsprechende Berichte zu erstellen, um potenzielle Schwachstellen gezielt zu beseitigen.

Das EU-Parlament hat einen wegweisenden Schritt getan, indem es den „AI-Act“ genehmigt hat, der klare Richtlinien für den Einsatz von Künstlicher Intelligenz in der Europäischen Union festlegt. Diese Entscheidung markiert einen Meilenstein in der weltweiten Regulierung von KI-Technologien und soll das Vertrauen in die europäische KI-Branche stärken sowie ihre Wettbewerbsfähigkeit auf globaler Ebene erhöhen.

Ein herausragendes Merkmal des „AI-Act“ ist die Einführung des „Made in EU“-Siegel, das darauf abzielt, das Vertrauen in die europäische KI-Branche zu stärken und ihre Wettbewerbsfähigkeit auf globaler Ebene zu erhöhen. Durch die Betonung auf Gründlichkeit und Qualität bei der Umsetzung von KI-Systemen soll die europäische KI-Branche als eine Quelle für zuverlässige und ethisch verantwortungsvolle Innovationen positioniert werden.

Das Gesetz klassifiziert KI-Systeme in verschiedene Risikogruppen, wobei je nach potenziellen Gefahren unterschiedliche Regulierungsanforderungen gelten. Von geringem oder minimalem Risiko bis hin zu Hochrisiko-KI-Systemen werden entsprechende Maßnahmen zur Risikominderung und -kontrolle festgelegt, um eine sichere Anwendung zu gewährleisten.

Ein weiterer wichtiger Schritt ist das Verbot bestimmter KI-Anwendungen wie soziales Scoring und Gesichtserkennung im öffentlichen Raum, die im Widerspruch zu den grundlegenden Werten der EU stehen. Diese Maßnahme zielt darauf ab, die Privatsphäre und die individuellen Rechte der Bürgerinnen und Bürger zu schützen und eine Überwachung ähnlich wie in China zu verhindern.

Dennoch gibt es Ausnahmen für Sicherheitsbehörden, die Gesichtserkennung zur Verfolgung bestimmter schwerwiegender Straftaten wie Menschenhandel oder Terrorismus nutzen dürfen. Diese Ausnahmen sind jedoch eng definiert und unterliegen strengen Regeln.

Das „AI-Act“ ist ein wichtiger Schritt für die EU, um den verantwortungsvollen und ethischen Einsatz von Künstlicher Intelligenz zu fördern und gleichzeitig potenzielle Risiken zu adressieren. Wir bleiben gespannt auf die weitere Entwicklung und Auswirkungen dieses wegweisenden Gesetzes.

 

Die EU-Mitgliedstatten sind nun doch noch zu einer Einigung gekommen, was die EU-Lieferkettenrichtlinie betrifft.

Insbesondere nachdem Deutschland die Zustimmung zunächst verweigert hatte, wurde das Thema nun überarbeitet. Inhaltlich wurde das Gesetz nun durch Grenzanhebungen deutlich abgeschwächt. Ziel war es, durch die Abschwächung die Länder zur Zustimmung zu bewegen, die sich bisher enthalten haben.

In der ursprünglichen Gesetzesfassung sollte die EU-Lieferkettenrichtlinie bereits für Unternehmen ab 500 Beschäftigten und einem Jahresumsatz ab 150 Millionen Euro gelten. Dies hätte zur Folge gehabt, dass von der Richtlinie weitaus mehr Unternehmen betroffen wären, als vom national geltenden Lieferkettengesetz.

Im Rahmen der Überarbeitung des Gesetzes wurden nun neue Grenzen festgelegt, die im Vergleich zur Ursprungsfassung deutlich höher liegen.

Die EU-Lieferkettenrichtlinie soll nun für Unternehmen ab 1000 Beschäftigten sowie einem Jahresumsatz ab 450 Millionen Euro gelten.

Auch an den Übergangsfristen wurde gearbeitet:

Unternehmen die ab 1000 Beschäftigte haben und einen Umsatz von 450 Millionen Euro generieren, haben fünf Jahre Zeit, die entsprechenden Maßnahmen umzusetzen.

Unternehmen mit einer Beschäftigtenzahl ab 4000 Mitarbeitern und einem generierten Umsatz von 900 Millionen Euro, haben vier Jahre Übergangszeit.

Hat ein Unternehmen 5000 Mitarbeiter oder mehr und generiert 1,5 Milliarden Umsatz (oder mehr), gilt eine Übergangsfrist von drei Jahren.

Experten schätzen, dass durch diese Anhebungen ca. 70% weniger Unternehmen betroffen sind, als noch von der alten Fassung.

Die Anhebung der Grenzen ist jedoch nicht die einzige Verschärfung. Auch die zuvor festgelegten Risikosektoren wurden gänzlich herausgestrichen. Darunter wurden solche Wirtschaftsbereiche verstanden, die aufgrund ihres Tätigkeitsfeldes ein besonders hohes Risiko für Menschenrechtsverletzungen innehaben. Auch dieser Faktor findet sich in der neuen Gesetzesversion nicht mehr wieder.

 

 

Die NIS2-Richtlinie der Europäischen Union stellt eine erweiterte Initiative dar, um die Sicherheit von Netz- und Informationssystemen innerhalb des Binnenmarktes zu stärken. Während die Richtlinie direkt bestimmte Organisationen betrifft, entfaltet sie ihre Wirkung zunehmend auch auf Unternehmen, die nicht unmittelbar unter ihre Bestimmungen fallen. Ein entscheidender Mechanismus dieser indirekten Wirkung liegt im Business-to-Business (B2B)-Sektor, wo Kunden die Einhaltung der NIS2-Standards von ihren Lieferanten und Dienstleistern verlangen können.

Kundenforderungen als Treiber für Sicherheitsmaßnahmen

Im B2B-Kontext haben Sicherheit und Zuverlässigkeit oberste Priorität. Unternehmen, die direkt unter die NIS2-Richtlinie fallen, müssen sicherstellen, dass ihre Netz- und Informationssysteme den höchsten Sicherheitsstandards entsprechen. Diese Anforderung überträgt sich auf ihre Zulieferer und Dienstleister, da jede Schwachstelle in der Lieferkette potenziell die Sicherheit und Verfügbarkeit der Dienste gefährdet. Infolgedessen können diese Unternehmen von ihren B2B-Kunden verlangen, dass auch sie die NIS2-Standards erfüllen, um das Risiko von Sicherheitsvorfällen zu minimieren und die Kontinuität der Geschäftsprozesse zu gewährleisten.

Die Umsetzung als Notwendigkeit

Die Forderung nach Einhaltung der NIS2-Richtlinie durch B2B-Kunden macht die Umsetzung der entsprechenden Sicherheitsmaßnahmen für Zulieferer und Dienstleister praktisch zu einer Notwendigkeit. Dies gilt insbesondere für Unternehmen, die in kritischen Sektoren tätig sind oder essentielle Dienste anbieten, wo die Auswirkungen von Sicherheitsvorfällen besonders gravierend sein können. Die Einhaltung der NIS2-Standards wird somit zu einem entscheidenden Faktor für die Aufrechterhaltung bestehender Geschäftsbeziehungen und die Sicherung neuer Aufträge.

Die Anforderungen der NIS2-Richtlinie setzen neue Standards für die Sicherheit von Netz- und Informationssystemen in der EU. Für Unternehmen, die nicht direkt unter diese Richtlinie fallen, kann die Einhaltung dennoch zur Notwendigkeit werden – insbesondere wenn B2B-Kunden dies verlangen. Die Umsetzung der NIS2-Standards bietet nicht nur Schutz vor Sicherheitsrisiken, sondern dient auch der Stärkung der Marktposition und der Sicherung der Geschäftskontinuität.