Hallo zusammen,

der folgende, zweiteilige Blogbeitrag behandelt Datenschutzfehler, die in vielen Unternehmen zu finden sind. Diese Liste wärmt natürlich nicht alte Kamellen auf wie "Kein verschlüsseltes Formular auf der Internetseite".

Liebe Leserinnen und liebe Leser,

nach der EU-Datenschutz-Grundverordnung haben alle Betroffenen, also diejenigen, deren personenbezogene Daten Sie verarbeiten, mehrere Rechte. Die Rechte der Betroffenen sind in Kapitel 2 der DSGVO, den Artikel 12-22 DSGVO, festgelegt.

Liebe Leserinnen und liebe Leser,

das Internetseiten mit Google Analytics 4 getrackt werden können, ist allgemein bekannt. Das auch App-Interaktionen von Benutzern auf die gleiche Art und Weise erhoben und ausgewertet werden können, vermuten alle Benutzer und wissen ebenfalls die meinsten Benutzer. In diesem Zusammenhang beschäftigte mich eine Frage sehr: Wo verarbeitet Google Firebase die Daten von App-Benutzern (im Wirkungsbereich der DSGVO)?

Liebe Leserinnen und liebe Leser,

es gibt sie noch: Die Internetseite, die keine Cookies nutzt. Lange habe ich danach gesucht, geforscht, gefahndet und gefragt. Und eigentlich zufällig bin ich auf dieses Banner gestoßen, was in seiner Klarheit und Transparenz seinesgleichen sucht: "Diese Website benutzt keine Cookies." und "OK".

Zusammenfassung:

• Microsoft hat neue DPA am 15.09.2022 veröffentlicht.

• Anpassungen betreffen die Einbindung der neuen EU-Standardvertragsklauseln (Modul 3). Damit wir Microsoft Limited (Irland) zum Datenexporteur und erfüllt eine wesentliche Anforderung der Datenschutzaufsichtsbehörden.

Liebe Leserinnen und liebe Leser,

nach einer kurzen Sommerpause von etwa 5 Monaten setze ich den Blog fort mit den nächsten Datenschutz-Weiheiten bzw. Tipps, wie Sie Bußgelder vermeiden können. Nachdem ich im ersten Teil dieser kurzen Blogserie über die Weiheiten

1. Benenne einen Datenschutzbeauftragten

2. Bilde deine Mitarbeiter weiter und

3. Beachte die Informationspflichten

Liebe Leserinnen und liebe Leser,

Weisheiten haben was positives an sich - sie sind allgemeingültig, ohne einen zwingenden Charakter aufzuweisen. Ausserdem muss man kein christlicher Mönch oder hinduistischer Svami sein, um Weisheiten aussprechen zu dürfen. Eigentlich reicht es aus, ein gewisses Alter erreicht zu haben und über eine ausreichende Lebenserfahrung zu verfügen.

Liebe Leserinnen und liebe Leser,

eigentlich könnte angenommen werden, dass ChatGPT, Alpaca, LLaMA oder andere KI-basierte Sprachsysteme ein Segen für die Gesellschaft ist. Roboter nehmen uns Arbeit ab und bringen uns so - ohne weiteres Zutun - näher an das Ziel "Wohlstand für alle" heran. Nehmen wir einmal diesen Blog - es wäre doch super, wenn der sich alleine schreiben würde.

Liebe Leserinnen und liebe Leser,

bei Blog-Beiträgen gibt es ein Problem: Sie sind immer noch zu lang, um schnell wahrgenommen zu werden. Im "Notfall" oder im Fall einer Datenpanne kann niemand erstmal nach dem Begriff im Internet suchen (weil der eigene PC gerade von Hackern verschlüsselt wird oder zu wenig Zeit bleibt). Trotzdem müssen Sie die wichtigsten Informationen immer direkt parat haben.

Liebe Leserinnen und liebe Leser,

15 Monate nach Beginn der öffentlichen Konsultation hat der Europäische Datenschutzausschuss (EDSA, engl: EDPB) Leitlinien über das Zusammenspiel zwischen dem räumlichen Anwendungsbereich der DSGVO und Bestimmungen über internationale Übermittlungen gemäß Kapitel V der DSGVO veröffentlicht.

Liebe Leserinnen und liebe Leser,

in Teil 1 des Artikels habe ich bereits die wichtigen Fragen durchleuchtet, was eine Datenpanne ist, wie eine Datenpanne entsteht und ob Sie einen Datenschutzbeauftragten benötigen, wenn Sie eine Datenpanne haben. In diesem Teil 2 des Artikels folgen nun die Antworten auf die folgenden Fragen:

• Wie sollte ich im Fall einer Datenpanne reagieren?

• Wie kann ich Datenpannen vermeiden?

Liebe Leserinnen und liebe Leser,

mit einer "Datenpanne" ist nicht zu spaßen. Denn was umgangssprachlich eher wie eine Bagatelle klingt, hört sich juristisch ausgedrückt schon wieder ganz anders an. Oder wie würden Sie reagieren, wenn Ihr Datenschutzbeauftragter nicht von einer "Datenpanne" spricht, sondern von einer "Verletzung des Schutzes personenbezogener Daten, die zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt".

Liebe Leserinnen und liebe Leser,

im ersten Teil dieses zweiteiligen Beitrags habe ich über die Handlungsempfehlungen gesprochen, die vor einem Hackerangriff zu erledigen sind. Nun folgen die Handlungsempfehlungen, die Sie als Unternehmen beherrzigen sollten, nachdem ein Hackerangriff passiert ist. Beachten Sie bitte, dass für Sie der erste Schritt sein wird, Ihre komplette digitale Infrastruktur vom Internet zu trennen. Deswegen drucken Sie diesen kurzen Artikel gerne aus und legen Sie ihn zum Notfalhandbuch.

Liebe Leserinnen und liebe Leser,

vielen Unternehmen kennen nur zu gut die Bedrohungen, die von Hackern ausgehen. Diese wenden dabei - um nur einige Möglichkeiten zu nennen - Social-Engineering-Attacken, Phising-Mails, Phraming, schlecht gewarteten Mailservern oder Brute-Force-Attacken über Passwortdateien an, um an Ihre Daten zu kommen. Dabei gibt es für Sie als Unternehmen viel zu beachten, um sich vor, bei und nach einem Hackerangriff angemessen zu verhalten. Diese Verhaltensweisen stelle ich als "Goldene Regeln" dar. In diesem Blogbeitrag widme ich mich den Goldenen Regeln vor einem Hackerangriff. In nächsten Beitrag folgen dann die Goldenen Regeln bei/nach einem Hackerangriff.

Liebe Leserinnen und liebe Leser,

gerne informiere ich Sie zu dem aktuellen Stand der Datenschutzkonformität von Microsoft-Diensten in Wirtschaft und Verwaltung. Stand dieser Informationen ist der 9. Oktober 2022

Am 15.09.2021 hat Microsoft einen neuen Datenschutznachtrag zu ihren Produkten und Services veröffentlicht - pünktlich zum Wirksamwerden der neuen EU-Standardvertragsklauseln (ich berichtete dazu). Dieser Nachtrag - der im Englischen "Microsoft Products and Services Data Protection Addendum" (DPA) genannt wird - löst den bisherigen "Microsoft Online Services Data Protection Addendum" ab.

Zwei von drei Unternehmen in Deutschland meinen, dass Datenschutz die Digitalisierung erschwere, so eine Aussage einer Studie von Bitkom Research aus dem Jahr 2021. Fast jedes Unternehmen (9 von 10) hätte bereits "innovative" Projekte wegen Datenschutzanforderungen stoppen müssen.

Eine Abmahnung oder eine Anfrage der Datenschutz-Aufsichtsbehörde ist für viele Unternehmerinnen und Unternehmer ein Grund, sich die Frage zu stellen, ob man datenschutzkonform aufgestellt ist. Diese ex-post-Betrachtung ist aus meiner Sicht viel zu spät.

Wie sie sicherlich schon den Medien entnommen haben, gilt ab dem 24.11.21 am Arbeitsplatz nach § 28b Absatz 1 IfSG die 3G-Regel. Doch was bedeutet das aus Sicht des Datenschutzes? Wie begegnen Sie Mitarbeiterinnen und Mitarbeitern, die mit Datenschutz-Fragen versuchen, Sie als Arbeitgeber "auflaufen" zu lassen?

Sicherlich diskutieren Sie in Ihrem Unternehmen auch die Implikationen, welche sich aus der SARS-CoV-2-Arbeitsschutzverordnung (in Kraft seit 10.09.2021) und der Corona-Schutzverordnung NRW (Fassung gültig ab 11.09.2021) für Sie ergeben. Eine Vielzahl der dort genannten Punkte haben datenschutzrechtliche Relevanz. Eine häufige Frage betrifft die Rechtmäßigkeit in Bezug auf Datenschutz zur Abfrage des 3G-Status Ihrer Belegschaft.