Wiesbadener-Kreis

Im Dienste der Digitalisierung des Gesundheitswesens wurde vom Bundestag im Juli das Patientendatenschutzgesetz verabschiedet, welches nun am 18. September vom Bundesrat gebilligt wurde.

Das heißt: Ab 2022 haben Versicherte nun einen Anspruch, dass Ärzte die Patientendaten in elektronische Patientenakten eintragen, welche ab 2021 auch von Krankenkassen nach bereits geltendem Recht angeboten werden muss. In der Akte können unter anderem Befunde, Arztberichte, Röntgenbilder, Impfausweise, der Mutterpass, Vorsorgeuntersuchungen und das Zahn-Bonusheft aufgenommen werden.
Ferner können Rezepte per App aufs Smartphone geladen und in der Apotheke eingelöst, sowie Überweisungen zum Facharzt übermittelt werden.

Die Nutzung der ePA bleibt freiwillig und Versicherte sollen eigenverantwortlich über die Verwendung ihrer Gesundheitsdaten entscheiden. Welche Daten gespeichert und gelöscht werden und wer darauf zugreifen darf, liegt beim Patienten.

Weitere Informationen finden Sie hier: https://www.secupedia.info/aktuelles/bundesrat-billigt-patientendatenschutzgesetz-17133

Gestiegenen Infektionszahlen in München zum Trotz findet die SicherheitsExpo 2020 vom 21. bis zum 22. Oktober im MOC statt. Zurückzuführen ist das auf ein ausgearbeitetes Hygiene- und Sicherheitskonzept der Veranstalter.

Nicht zuletzt werden auf der Messe auch Präventionsmaßnahmen für Covid-19 präsentiert.

Weitere Informationen finden Sie hier: https://www.sicherheitsexpo.de/besucher/ticket-bestellen/

Für viele Unternehmen dürfte es ein deutlich vernehmbares Aufatmen geben. Am 10. September 2020 hat der Bundestag ein Gesetz zur Stärkung des fairen Wettbewerbs beschlossen (siehe auch in der Pressemitteilung des Bundestags: https://www.bmjv.de/SharedDocs/Pressemitteilungen/DE/2020/091020_Staerkung_fairer_Wettbewerb.html).

Nur „echte“ Konkurrenten anspruchsberechtigt

Einen Erstattungsanspruch für Abmahngebühren kann ein Konkurrent danach nur noch unter sehr eingeschränkten Bedingungen geltend machen. Die Frage der Anspruchsberechtigung wurde spürbar verschärft. Anspruchsvoraussetzung ist nicht mehr nur ein irgendwie geartetes Konkurrenzverhältnis, etwa wenn ein Branchenfremder eine neue Shopseite mit konkurrierenden Produkten vorübergehend online gestellt hat. Gefordert wird nunmehr der „nicht nur gelegentlich[e]“ Handel „in nicht unerheblichem Maße“ mit konkurrierenden Waren oder Dienstleistungen. Es muss also ein echtes, realistisches, nicht nur vorübergehendes Konkurrenzverhältnis bestehen.

Keine Kostenerstattung von Konkurrenten bei kleineren Unternehmen

Ist der Konkurrent anspruchsberechtigt, hat er damit erst einmal nur das Recht, eine Unterlassung zu fordern. Handelt es sich um Verstöße gegen die Datenschutz-Grundverordnung (DSGVO), hat er keine Möglichkeit, gegenüber Unternehmen mit weniger als 250 Mitarbeitern eine Erstattung für seine Kosten zu fordern. Grundsätzlich nicht erstattungsfähig für Konkurrenten auch gegenüber größeren Konkurrenten sind Kosten für Unterlassungsansprüche bei Versäumnissen bei der Informations- und Kennzeichnungspflicht im Internet, z.B. Impressum oder Datenschutzinformation auf der Webseite, Informationspflichten bei Fernabsatzverträgen oder nach der Preisangabenverordnung.

Nur noch eingetragene Wirtschaftsverbände

Daneben wurden auch die Voraussetzungen für „Abmahnvereine“ und Co. verschärft. Das Bundesamt für Justiz führt nunmehr eine Liste mit qualifizierten Wirtschaftsverbänden, die dort nur als Anspruchsberechtigte aufgenommen werden können, wenn (neben anderen Voraussetzungen) deren Zweck nicht vorwiegend in der Erzielung von Einnahmen aus Abmahnungen und Vertragsstrafen besteht.

Um die Rechtschaffenheit der Tätigkeit überprüfen zu können, unterliegen die eingetragenen Wirtschaftsverbände einer umfassenden Berichtspflicht gegenüber dem Bundesamt über u.a. Anzahl der Abmahn- und Klageverfahren, der getroffenen Unterlassungsvereinbarungen mitsamt der vereinbarten Vertragsstrafe. Die Verletzung dieser Berichtspflichten ist zudem für die Wirtschaftsverbände bußgeldbewehrt.

Das Geschäftsmodell einer reinen Abmahn-„produktion“ wird durch die neuen Regelungen deutlich erschwert.

Kein fliegender Gerichtsstand mehr

Auch uninteressanter geworden sind die Abmahn-Praktiken aufgrund der Einschränkungen des sogenannten „fliegenden Gerichtsstands“. Da Verstöße im Internet von überall aus wahrgenommen werden können, war es bislang möglich, sich den Gerichtsstand für Klagen quasi selbst auszusuchen, sei es wegen der Rechtsprechungspraxis eines bestimmten Bezirks, sei es wegen Bequemlichkeit. Im neu beschlossenen Gesetzesentwurf ist der Gerichtsstand nunmehr festgelegt auf den Ort des Abgemahnten, so dass der Abmahner seine Tätigkeiten nicht mehr an einem Ort bündeln kann.

Rache ist süß

Hinzugetreten sind erleichterte Möglichkeiten, sich gegen ggf. unberechtigte Abmahnungen zur Wehr zu setzen. Beispielsweise wurden Regelbeispiele aufgenommen, wann von einer missbräuchlichen und damit unberechtigten Abmahnung ausgegangen werden kann. Dies stellt eine deutliche Beweiserleichterung für unrechtmäßig Abgemahnte dar. Die Kosten für die Rechtsverteidigung gegen missbräuchliche Abmahnungen können gleichermaßen gegen den Abmahner geltend gemacht werden, selbst dann wenn nur formale Mängel in der Abmahnung vorliegen.

Aussicht

Diese Gesetzesänderungen decken eine Flanke ab, die Sie bislang durch Abmahnungen zu fürchten hatten. Das Risiko von einer Abmahnwelle mitgerissen zu werden, ist damit deutlich gesunken. Der neue Gesetzesvorstoß entbindet Sie natürlich nicht davon, rechtskonform zu handeln. Nach wie vor gibt es Möglichkeiten, für Datenschutzverletzungen belangt zu werden. Schadensersatzansprüche sind von der Novelle nicht berührt, darunter können Ansprüche Betroffener genauso wie tatsächlich angefallene Schadensersatzansprüche von Konkurrenten fallen. Weiterhin hat auch die Datenschutz-Behörde das Recht, Sie für Datenschutzverstöße z.B. auf Ihrer Webseite zu belangen. All diese Ansprüche werden allerdings nach konkreten vorher feststehenden Kriterien bemessen und boten damit kein vergleichbar zu fürchtendes Risiko wie es manche Abmahnwelle mit sich brachte.

Der Gesetzesentwurf ist ein guter Schritt in Richtung fairer Wettbewerb und reduziert einen Risikofaktor. Wenn Sie auch die verbleibenden Risiko-Faktoren eliminieren wollen (Bußgeld und Schadensersatzforderungen), besprechen Sie sich mit Ihrem Datenschutzbeauftragten über möglicherweise noch bestehende Datenschutz-Lücken.

Ass.iur Nicole Krause

Juristische Mitarbeiterin der GINDAT GmbH

 

Sie setzen Auftragsverarbeiter ein? Dann müssen Sie diese regelmäßig kontrollieren gemäß Art. 28 III 2 lit. h DSGVO! Als Auftraggeber bleiben Sie verantwortlich für alle Datenverarbeitungen, die durch den Dienstleister durchgeführt werden, und haften gegenüber den Betroffenen für eventuelle Schäden, die durch den Auftragsverarbeiter verursacht werden könnten. Ihre Haftung bleibt von ggf. bestehenden Regress-Forderungen an den Dienstleister unberührt.

Pflicht zur Kontrolle des Auftragsverarbeiters

Als Auftraggeber haben Sie nicht nur das Recht Ihre Auftragsverarbeiter zu kontrollieren (Art. 28 III 2 lit. h DSGVO) sondern auch die Pflicht.

Denn Art. 28 I DSGVO erlaubt nur die Zusammenarbeit mit solchen Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

Um dieser Pflicht nachzukommen, reicht weder der Abschluss eines Auftragsverarbeitungsvertrags aus noch die einmalige Kontrolle.  Vielmehr hat die DSGVO eine laufende Kontrollverpflichtung verankert (Auftragskontrolle). Sie müssen das aktuelle Datenschutzniveau des Auftragsverarbeiters prüfen und ggf. Änderungen der technischen und organisatorischen Maßnahmen bewerten.

Eine Verletzung dieser Pflicht kann nach Art. 83 IV lit. a DSGVO mit einem Bußgeld geahndet werden.

Inhalt der Kontrolle

Die Schutzziele der DSGVO sind nur mittels eines vollumfänglichen Datenschutzmanagements zu erreichen, weshalb diese grundsätzlichen Vorgaben beim Auftragsverarbeiter überprüft werden sollten. Als Auftraggeber sollten Sie insbesondere folgendes prüfen:

• Vertraulichkeit Ihrer Daten, also wie wird sichergestellt, dass Dritte nicht unbefugt von Ihren Daten Kenntnis erlangen können. (Schutz der Vertraulichkeit ihrer Daten)
• Integrität Ihrer Daten, also wie wird sichergestellt, dass die Daten nicht (nachträglich) unautorisiert modifiziert werden können.
• Verfügbarkeit und Belastbarkeit der Systeme (also Sicherung der Datenverarbeitungsprozesse, Speicherung der Daten, Backup-Verfahren, Art und Weise der Archivierung, Sicherstellung der Widerstandsfähigkeit der IT).

Vor der Durchführung der Kontrolle des Auftragsverarbeiters sollten Sie überprüfen, ob Ihre Dienstleisterliste noch aktuell ist.

Häufigkeit und Art der Kontrolle

Aus der DSGVO ergibt sich nicht, wie oft der Auftragsverarbeiter kontrolliert werden muss. Im Hinblick auf das Risiko der Verarbeitung sind  geeignete Zeitspannen festzusetzen, innerhalb derer der Auftragsverarbeiter regelmäßig geprüft wird. Im Grundsatz gilt, je kritischer die Auftragsverarbeitung, desto häufiger ist eine Kontrolle notwendig. In der Regel sollte alle ein bis zwei Jahre eine Kontrolle durchgeführt werden.

Die DSGVO schreibt auch die Art der Kontrolle nicht vor, daher sind verschiedene Kontrollmittel zulässig, z B.:

• Die Selbstbewertung des Auftragsverarbeiters anhand einer Checkliste
• Die Kontrolle Vor-Ort
• Die Überprüfung durch eine dritte Stelle (z.B. durch Ihren Datenschutzbeauftragten)
• Vorlage von aktuellen Zertifizierungen
• Auskünfte des Datenschutzbeauftragten des Auftragsverarbeiters

Wir haben für Sie eine Checkliste erstellt, die alle relevanten Prüfungspunkte enthält, die Sie an Ihren  Auftragsverarbeiter senden können. Bei Bedarf versenden wir die Checkliste und übernehmen die weitere Kommunikation mit Ihren Dienstleistern. Die Checkliste finden Sie in myGindat unter Punkt 9.07 in Ihrem Gesamtpaket.

Ergebnis der Kontrolle

Am Ende der Kontrolle muss bewertet werden, ob der Auftragsverarbeiter die vertraglich zugesicherten Garantien zum Schutz Ihrer Daten einhält. Ist das nicht der Fall, ist der Auftragsverarbeiter zur Umsetzung aufzufordern, andernfalls sollte die geschäftliche Beziehung beendet werden. Denn Sie haften als verantwortliche Stelle zumindest teilweise für Schäden, die der Auftragsverarbeiter verursacht.

Prüfpflicht des Datenschutzbeauftragten

Als bestellte Datenschutzbeauftragte haben wir gemäß Art. 39 I b DSGVO eine Prüfpflicht. Daher überprüfen wir, ob Sie die Auftragskontrolle auch durchgeführt haben.

Unterstützung durch den Datenschutzbeauftragten

Der Datenschutzbeauftragte kann Sie bei der Kontrolle des Auftragsverarbeiters umfassend unterstützen. Dazu gehören u. a. folgende Leistungen:

• Bewertung der Auftragsverarbeiter im Hinblick auf die Kritikalität der Auftragsverarbeitungen. Diese Bewertung ist erforderlich um die Häufigkeit der Kontrollen festlegen zu können.
• Kontaktaufnahme mit Ihren Auftragsverarbeitern und Versendung der Checkliste in Ihrem Auftrag
• Dokumentation der Kontrollen

Das Gebot der Nachweisbarkeit nach Art. 24 I1, Art. 5 II DSGVO verlangt, dass Sie die Kontrolle des Auftragsverarbeiters dokumentieren (z.B. Art der Kontrolle, Ergebnisse, welche Nachweise hat der Auftragsverarbeiter erbracht)

• Datenschutzrechtliche Bewertung der Kontrollergebnisse mit anschließender Handlungsempfehlung

Bitte teilen Sie uns mit, ob Sie die Auftragskontrolle selbständig durchführen oder ob Sie unsere Unterstützung benötigen.

 

 

Viele Menschen geben bei den Kontaktlisten in Gastronomien falsche Namen und/oder Telefonnummern an. Unter anderem werden Bezeichnungen wie Darth Vader, Lucky Luke, Donald Duck oder Max Mustermann aufgeführt, was im Ernstfall die Rückverfolgung erschwert.

So wurde im Hamburger Schanzenviertel in einer Bar im Zeitraum vom 5. bis 9. September mehrere Angestellte Corona-positiv getestet. Von den etwa 600 Gästen, die sich potenziell angesteckt haben könnten, fehlen rund 100 korrekte Kontaktdaten.

Gastronomen in Hamburg müssen ein Bußgeld zahlen, wenn sich Gäste nicht in die Kontaktlisten eintragen, sind jedoch nicht für deren Wahrheitsgehalt verantwortlich. In Berlin kommen zukünftig 50 bis 500 Euro Bußgeld auf Gäste mit falschen oder unvollständigen Angaben zu.

Ob diese Daten aus Spaß oder aus Protest gegen die Datenerhebung so angegeben wurden, sei dahingestellt. Denn neben Gesundheitsämtern greift auch die Polizei zwecks Strafverfolgung auf die Kontaktlisten zurück. Gesetzlich ist das gegenwärtig zulässig, stößt aber auf Kritik in der Bevölkerung.

Das Gesundheitsamt ruft die Gäste mit ungeklärter Identität auf, sich freiwillig zu melden.

Weitere Informationen finden Sie hier: https://www.golem.de/news/corona-gaesteliste-gesundheitsbehoerden-auf-der-suche-nach-darth-vader-2009-150950.html

Polizei, Sicherheits­verbände und die IHK warnen eindringlich vor einer neuen Form von Ramsomware. Eine E-Mail mit der Absenderadresse: poststelle@­bundes­ministerium-gesund­heit.com soll angeblich neue Arbeitsschutz­regeln zu Corona thematisieren. Die beigefügte ZIP-Datei mit dem Namen Arbeitsschutzregel-Corona-September.pdf.js verursacht nach dem Öffen/­Ausführen eine Verschlüsselung der auf dem jeweiligen Rechner befindlichen Dateien. Zusätzlich wird in der E-Mail darauf hingewiesen, diese Benachrichtigung auch an weitere Empfänger weiterzuleiten. Es handelt sich hierbei um einen Downloader für eine Schad­software, welche erhebliche Schäden verursacht. Eine Analyse der ZIP-Datei sowie die verwendetet Ver­schlüsselung wurde noch nicht durchgeführt.

Wichtig: Öffnen Sie in keinem Fall das ZIP-Archiv. Löschen Sie die E-Mail und informieren Sie alle Mitarbeiter im Unternehmen.

Weitere Informationen finden Sie hier:
https://www.pcwelt.de/news/Polizei-warnt-Mails-zum-Corona-Schutz-verbreiten-Malware-10882756.html

Die irische Datenschutz­behörde verlangt in einem noch vorläufigen Erlass von Facebook, die Übertragung von personen­­­bezogenen Daten in die USA zu unterlassen. Da das Datenschutz­­abkommen „Privacy Shield“ im Juli durch den Europäischen Gerichtshof für ungültig erklärt wurde, wäre dies die Konsequenz der Entscheidung. Facebook schrieb auf einem Blog­beitrag, dass sie zunächst so weiter­machen wollen wie bisher. Grund dafür könnte sein, dass das Unternehmen sich juristisch noch gegen den Erlass zur Wehr setzen kann. Noch ist es nach den Standard­vertragsklauseln möglich, personen­bezogen Daten unter Beachtung eines „angemessenen Schutzniveaus“ an Drittländer zu übertragen. Sollte der Datentransfer verboten werden, könnte dies Auswirkungen auf andere Unternehmen haben, warnt Facebook. So könnte zum Beispiel kein Cloud-Anbieter aus den USA rechtskonform genutzt werden.

Der Internet-Branchenverband Eco betrachtet das Interesse der Datenschützer ebenso als Risiko, da das EuGH-Urteil zu Rechts­unsicherheit führe. Der Verband verlangt von der EU, entsprechende Rahmen­­bedingungen zu schaffen, welche für Unternehmen zu mehr Planungs­sicherheit im Daten­austausch führt. Aktuell wären rund 5000 Unternehmen durch die Forderung der irischen Datenschutz­­behörde betroffen.

Weitere Informationen finden Sie hier:
https://www.spiegel.de/netzwelt/web/facebook-daten-von-eu-buergern-datenschuetzer-verlangen-uebertragungsstopp-in-die-usa-a-fbcf77c2-41e0-4204-b51f-ef1c43fe3c91

Bei allen Unternehmen die über ein eigenes IT-Firmennetzwerk verfügen fangen wir in den nächsten Tagen wieder mit den technischen Prüfungen an. Die technische Prüfung des IT-Netzwerkes erfolgt durch einen Netzwerkscan.

Was ist ein Netzwerkscan?

Ein Netzwerkscan oder das Scannen des Netzwerks ist eine Prozedur, um aktive Hosts in einem Netzwerk zu identifizieren. Entweder sollen diese angegriffen werden oder ein Netzwerk-Administrator möchte die Sicherheit des Netzwerks bewerten. Zu den Scan-Prozeduren gehören groß angelegte Pings und auch Port Scans.

Was umfasst ein Netzwerkscan?

Die Prüfpunkte des Netzwerkscans umfassen die Prüfung der Inventarisierung, d.h. es wird geprüft, welche Hardware und welche Software im Netzwerk eingesetzt wird und ob die Versionen jeweils aktuell sind. Es wird geprüft, ob ein Virenscanner, vorhanden und aktiv ist. Die Virensignaturen werden auf Aktualität geprüft. Eine Passwortprüfung wird vorgenommen, d.h. die Passwörter werden mit den vom Administrator vorgebenden Richtlinien verglichen. Vorhandene Back-Up-Systeme werden auf ihre Funktionsfähigkeit geprüft. Es wird geprüft, ob eine Firewall vorhanden und aktiv ist und die Netzwerkaktivität protokolliert. Zudem wird das W-LAN auf Sicherheit der Verschlüsselung geprüft und ob das Passwort den vorgegebenen Sicherheitsrichtlinien entspricht. Es wird geprüft, ob ein Gäste W-LAN vorhanden ist und ob dieses getrennt vom Firmen W-LAN betrieben wird.

Warum ist ein Netzwerkscan notwendig?

Der Netzwerkscan ist als technisch organisatorische Maßnahme (TOM) Bestandteil der Sicherheit der Verarbeitung im Sinne des Art. 32 DSGVO.

Ihr Unternehmen ist als Verantwortliche Stelle im Sinne der DSGVO anzusehen und hat dafür Sorge zu tragen, dass im Sinne des Art. 25 Abs.1 […] geeignete technische und organisatorische Maßnahmen getroffen werden, um die Datenschutzgrundsätze wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Personen zu schützen.

Aus Datenschutzsicht ist ein Netzwerkscan die effizienteste technische Möglichkeit, um eben diese Anforderungen überprüfen zu können.

Zu den Aufgaben des Datenschutzbeauftragten gehört es i.S. des Art. 39 Abs. 1 lit b) die Einhaltung der DSGVO und anderer Datenschutzvorschriften zu überwachen und die Zuweisung von Zuständigkeiten sowie die Sensibilisierung der für die Verarbeitung zuständigen Mitarbeiter zu überprüfen.

Der Datenschutzbeauftragte ist grundsätzlich frei in der Wahl und Ausführung seiner Pflichten und berichtet unmittelbar der höchsten Managementebene des Verantwortlichen. Art. 38 Abs. 3 Satz 1 und 3.

Der Netzwerkscan dient dem Unternehmensverantwortlichen dazu einen Nachweis über die Prüfung der Sicherheitsaspekte bestehender Netzwerke gegenüber den Landesbehörden vorweisen zu können und somit, dass das Unternehmen seiner erweiterten Dokumentationspflicht nachkommt.

Zu beachten ist hierbei, dass die Dokumentationspflicht im Rahmen der DSGVO im Vergleich zum BDSG konkret bußgeldbewehrt ist.

Um den Unternehmensverantwortlichen vor einer bußgeldbewehrten Pflichtverletzung bestmöglich zu schützen, besteht die Notwendigkeit einen Nachweis über den Aufbau eines Datenschutzmanagements vorhalten zu können und die technisch organisatorischen Maßnahmen zum Datenschutz i.S. des Art. 32 DSGVO zu gewährleisten und regelmäßig zu überprüfen. Dies geschieht u.a. in Form des Netzwerkscans.

Der fertige Report bietet Ihnen eine klare Übersicht über notwendige Maßnahmen und Handlungsempfehlungen, um Ihr Netzwerk datenschutzgerecht und sicher zu betreiben.

Wenn Sie Fragen haben, sprechen Sie uns gerne an.

Ihr Unternehmen verfügt über eine eigene Webseite, zu den Aufgaben des Datenschutzbeauftragten gehört es u.a. diese Webseiten auf datenschutzrechtliche Schwachstellen zu prüfen. Somit werden alle Unternehmen, die eine eigene Webseite betreiben und Kunde sind ein Website-Security-Audit erhalten.

Was ist ein Website-Security-Audit?

Das Audit „Website Security“ prüft verschiedene Aspekte einer Website, die den Datenschutz sowie die Sicherheit (vorrangig der Benutzer) betreffen. Einen vollständigen Pen-Test kann und soll das Audit nicht ersetzen.

Was beinhaltet ein Website-Security-Audit?

Die Prüfpunkte des Website-Security-Audits umfassen die Prüfung der Verschlüsselung der Webseite, sicherheitsrelevante http Respons Header werden geprüft. Eine Prüfung auf Verwendung extern gehosteter Dateien wie z.B. JavaSkript findet statt, es wird auf Webanalytik Software von Drittanbietern wie z.B. Google Analytics getestet. Die Verwendung von Socialmedia Plug-Ins wird geprüft, ebenso ob Ihre Webseite Einträge auf Sperrlisten verzeichnet sind. Und nicht zuletzt, wird überprüft, ob Ihre Email-Adressen schon einmal Opfer bekannter Hackerübergriffe geworden sind.

Warum ist ein Website-Security-Audit notwendig?

Das Website-Security-Audit ist als technisch organisatorische Maßnahme (TOM) Bestandteil der Sicherheit der Verarbeitung im Sinne des Art. 32 DSGVO.

Ihr Unternehmen ist als Verantwortliche Stelle im Sinne der DSGVO anzusehen und hat dafür Sorge zu tragen, dass im Sinne des Art. 25 Abs.1 […] geeignete technische und organisatorische Maßnahmen getroffen werden, um die Datenschutzgrundsätze wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Personen zu schützen.

Wenn die Unternehmenswebseite nicht umfassend genug abgesichert ist, können u.U. von einem nicht autorisierten Dritten Daten der Website-User abgegriffen und missbraucht werden. Falls keine ausreichenden Sicherheitsvorkehrungen im Sinne der TOMs (Art. 32 DSGVO) getroffen wurden, haftet der Seitenbetreiber als verantwortliche Stelle.

Aus Datenschutzsicht ist ein Website-Security-Audit eine effiziente technische Möglichkeit, um eben diese Anforderungen überprüfen zu können.

Zu den Aufgaben des Datenschutzbeauftragten gehört es i.S. des Art. 39 Abs. 1 lit b) die Einhaltung der DSGVO und anderer Datenschutzvorschriften zu überwachen.

Der Datenschutzbeauftragte ist grundsätzlich frei in der Wahl und Ausführung seiner Pflichten und berichtet unmittelbar der höchsten Managementebene des Verantwortlichen. Art. 38 Abs. 3 Satz 1 und 3.

Das Website-Security-Audit dient dem Unternehmensverantwortlichen dazu einen Nachweis über die Prüfung der Sicherheitsaspekte bestehender Webseiten gegenüber den Landesbehörden vorweisen zu können und somit, dass das Unternehmen seiner erweiterten Dokumentationspflicht nachkommt.

Zu beachten ist hierbei, dass die Dokumentationspflicht im Rahmen der DSGVO im Vergleich zum BDSG konkret bußgeldbewehrt ist.

Um den Unternehmensverantwortlichen vor einer bußgeldbewehrten Pflichtverletzung bestmöglich zu schützen, besteht die Notwendigkeit, die technisch organisatorischen Maßnahmen zum Datenschutz i.S. des Art. 32 DSGVO zu gewährleisten und regelmäßig zu überprüfen. Dies geschieht u.a. in Form des Website-Security-Audits.

Zu jedem Audit erhalten Sie ein Ergebnis sowie Handlungs­empfehlungen, sofern Maßnahmen erforderlich sind. Diese Empfehlungen können z.B. Ihre Datenschutz­erklärung betreffen oder technischer Natur sein.

Das fertige Audit bietet Ihnen eine klare Übersicht über notwendige Maßnahmen und Handlungs­empfehlungen, um Ihre Website datenschutz­gerecht und sicher aufzustellen.

Wenn Sie Fragen haben, sprechen Sie uns gerne an.

Die Datenschutzbehörden kündigen länderübergreifend eine groß angelegte Aktion an, bei der die neuen Tracking-Vorgaben auf Webseiten näher ins Visier genommen werden sollen. Seit Oktober des vergangenen Jahres nach einem Urteil des EuGH im Vorabentscheidungsverfahren (EuGH C‑673/17 vom 01.10.2019) ist klar, dass es für Tracking-, Analyse- und Werbemaßnahmen, die nicht der reinen technischen Auslieferung einer Seite dienen, einer ausdrücklichen Einwilligung des Seitenbesuchers bedarf.

Spätestens mit der daraufhin ergangenen deutschen Entscheidung vom 28.05.2020 (BGH I ZR 7/16) ist dies die geltende verbindliche Rechtslage in Deutschland. Nachdem bereits in unserem Hause einige Anfragen von Seiten der Behörde eingetrudelt waren, haben die Datenschutzbehörden nunmehr eine groß angelegte Überprüfung angekündigt (Pressemitteilung des LDI BW vom 19.08.2020).

Beginnen wolle man mit reichweitenstarken Medienunternehmen. Dies stellt allerdings nur einen ersten Schritt dar. Wunderbar plastisch beschreibt der LDI BW, wie Tracking-Maßnahmen in der realen Welt aussehen würden.
Stellen Sie sich vor, Sie machen eine Shopping-Tour. Dabei hätten Sie einen oder mehrere Ihnen unbekannte Begleiter an Ihrer Seite. Diese protokollieren jeden Ihrer Handgriffe, jeden Schritt Ihrerseits. Es würde aufgezeichnet, was Sie sich angesehen haben und wie lange Sie sich vor bestimmten Schaufenstern aufgehalten haben. Besonders interessant sind auch Ihre Einkäufe, die selbstverständlich mit sämtlichen Details festgehalten werden. Und das nicht nur in einem Geschäft, sondern oftmals während Ihrer gesamten Shopping-Tour über mehrere Geschäfte, über mehrere Tage hinweg. Diese heimlichen Begleiter laufen schnurstracks zu den einzelnen Geschäften zurück, um diesen im Detail zu berichten, was oder wie sie Ihnen bei der nächsten Einkaufstour Produkte anbieten sollen.

Da ist mir der Brötchen-Bäcker um die Ecke wesentlich lieber, der lediglich weiß, welches Brötchen ich esse und wann er morgens mit mir rechnen kann.

Sofern Sie bis jetzt noch nicht aktiv geworden sind, prüfen Sie kritisch, welche Tracking- und Werbetools in Ihrer Webseite eingebunden sind. Sollten Sie solche nicht technisch notwendigen Technologien auf Ihrer Seite eingebunden haben, bedarf dies einer aktiven Einwilligung.
Bisherige Cookie-Banner, die im Weitersurfen eine Einwilligung sehen, sind nicht mehr zulässig. Es bedarf – vor – dem Ausführen solcher Technologien einer aktiven Einwilligung des Nutzers.

Für unsere Kunden haben wir eine Checkliste in den Fragebögen hinterlegt, mit Hilfe der Sie die rechtlichen Anforderungen an ein Cookie-Consent-Banner prüfen können. Für Detailfragen sprechen Sie bitte Ihren Datenschutzbeauftragten an.