Nein, ich schreibe hier und jetzt nicht über das Schrems-II Urteil. Das überlasse ich anderen Personen. Es gibt mittlerweile genug Checklisten zum Fast-US-Exit oder Muster-Notfallpläne bei Anfragen von Datenschutz-Aufsichtsbehörden. Auch Unkenrufe von Open-Source-Sympathisanten oder Aufrufe zu Kurzschlusshandlungen zum Beispiel auf Twitter. Ein übrigens nicht viel beachteter Lichtblick in diesem Zusammenhang ist der Beginn der Gespräche zwischen dem U.S. Secretary of Commerce und der EU-Kommission. Wieso eigentlich auch über solche Sondierungsgespräche berichten - das würde ja nur die ganzen Checklisten und Muster-Notfallpläne ad absurdum führen.

Ich möchte heute über ein Thema sprechen, welches viele (kleine und mittlere) Unternehmen ein Hilfsmittel darstellt, um ihre eigene Datenschutz-Konformität selber prüfen zu können. Der Datenschutz-Black-Box-Test.

Vorab: Sie wollen einen kostenlosen Black-Box-Test des Außenauftritts Ihres Unternehmens nach den Aspekten IT-Sicherheit und Datenschutz? Sind Sie Geschäftsführer*in? Dann nennen Sie mir Ihre Firma, und fragen Sie den Black-Box-Test unverbindlich an.

Weiterlesen: "Die DSGVO-Gazette" #12: Datenschutz-Black-Box-Test - Den eigenen Außenauftritt prüfen

Zwei (!) Jahre nach dem Gültigwerden der EU-DSGVO und vier (!) Jahre nach der Einführung dieser Verordnung hat die Bundesregierung auf Regeln zur Eindämmung von Abmahnmissbrauch geeinigt. Die Fragen, die sich jeder Eingeweihte stellt ist: Wieso brauchen wir ein "Gesetz zur Stärkung des fairen Wettbewerbs"? Welche Abmahnungen und welcher Missbrauch davon ist gemeint? Warum kommt das Gesetz erst jetzt (wenn es denn so wichtig ist)? Und vor allem: Wann kommt das "Gesetz gegen den Bußgeldmißbrauch durch Datenschutzaufsichtsbehörden"?

Weiterlesen: "Die DSGVO-Gazette" #11: Abmahnmissbrauch - Vorschusslorbeeren für das Gesetz zur Stärkung des...

In dem letzten Beitrag der DSGVO-Gazette habe ich damit begonnen, den Inhalt der Orientierungshilfe zum "Schutz personenbezogener Daten bei der Übermittlung per E-Mail" für Datenschutzbeauftragte und Verantwortliche zu "entschlüsseln". Dies will ich nun fortführen und Sie auf eine Stelle in der Orientierungshilfe aufmerksam machen, die eMail-Serveradministratoren noch schlaflose Nächte bereiten wird. Eigentlich klingt die Stelle harmlos - aber sie hat es in sich:

"Nimmt ein Verantwortlicher Daten gezielt per E-Mail entgegen, bei denen der Bruch der Vertraulichkeit ein hohes Risiko für die Rechte und Freiheiten der betroffenen natürlichen Personen darstellt, dann muss er sowohl qualifizierte Transportverschlüsselung (...) als auch den Empfang von Ende zu Ende verschlüsselter Nachrichten ermöglichen."

Weiterlesen: "Die DSGVO-Gazette" #10: Qualifizierte Transport­verschlüsselung braucht (fast) jeder

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder - im speziellen der Arbeitskreis „Technische und organisatorische Datenschutzfragen“ hat eine Orientierungshilfe herausgebracht. Und das ist schon was besonderes, denn Orientierungshilfen sind in der Regel sehr gut ausgearbeitete Unterlagen, in denen die Landesdatenschutzbeauftragten aktuelle Themen aufgreifen und fallabschließend festlegen. Der Name "Orientierungshilfe" mag zwar nicht-bindend klingen, jedoch sollte ich jeder gute Argumente überlegen, wieso er bei seiner Datenverarbeitung den Empfehlungen der Landesdatenschutzbehörden nicht folgt.

Im Fall dieser Orientierungshilfe zum "Schutz personenbezogener Daten bei der Übermittlung per E-Mail" ermöglichen die Landesdatenschutzbeauftragten nun offiziell eine Abkehr von der Ende-zu-Ende Verschlüsselung unter gewissen Voraussetzungen. Sie bieten allen Verantwortlichen die Möglichkeit - im manchen Fällen - auf eine obligatorische Transportverschlüsselung auszuweichen.

Trotzdem müssen Verantwortliche und deren Datenschutzbeauftragte beide Verfahren voneinander abwägen, bevor sie sich für eine Maßnahmen entscheiden.

Weiterlesen: "Die DSGVO-Gazette" #9: Maßnahmen zum Schutz persbez. Daten bei der Übermittlung per E-Mail