DS-GVO – Datenschutz Checkliste für die Durchführung von Videokonferenzen

Datenschutz
Lesezeit: 3 Minuten

DS-GVO – Datenschutz für die Durchführung von datenschutzgerechten virtuellen Konferenzen empfiehlt die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Unternehmen, Behörden und anderen Organisationen, wie folgt vorzugehen:

Datenschutz Checkliste für die Durchführung von Videokonferenzen während der Kontaktbeschränkungen Für die Durchführung von datenschutzgerechten virtuellen Konferenzen empfehlen wir Unternehmen, Behörden und anderen Organisationen, wie folgt vorzugehen.

Prüfen Sie Ihren Datenschutz,

1. ob anstelle von Videokonferenzen auch Telefonkonferenzen ausreichen könnten, um die gewünschte Abstimmung untereinander herbeizuführen. Diese können sehr viel leichter datenschutzgerecht durchgeführt werden.

2. ob es Ihnen mit verhältnismäßigem Aufwand möglich ist, einen eigenen Dienst mit öffentlich verfügbarer oder kommerziell erhältlicher Software bereitzustellen. Stellen Sie dabei sicher, dass die eingesetzte Software keine Daten über Ihre Beschäftigten oder deren Kommunikationspartner/-innen an den Hersteller für dessen Zwecke übermittelt.

3. ob eine der Lösungen eines Anbieters mit Sitz und Verarbeitungsort, insbesondere Server-Standort, im Europäischen Wirtschaftsraum (EWR) oder aus einem Land mit gleichwertigem Datenschutzniveau (https://ec.europa.eu/info/law/law-topic/data-protection/internationaldimension-data-protection/adequacy-decisions_en) Ihren Bedürfnissen entspricht. Der Deutsche Industrie- und Handelskammertag (DIHK) e. V. hat eine kurze Liste von Anbietern, die in Frage kommen könnten, erstellt, die über den DIHK angefordert werden kann.

Die Vertragsgestaltungen der dort genannten Anbieter konnten wir bisher allerdings noch nicht überprüfen. Prüfen Sie des Weiteren, ob der Anbieter

 a) erwarten lässt, dass er die Daten nur im zulässigen Rahmen verarbeitet und insbesondere nicht entgegen europäischem Datenschutzrecht an Dritte – einschließlich ausländische Behörden – weitergibt,

b) ausreichende Datensicherheit (zum Beispiel durch Zertifizierung) nachweisen kann und

c) Ihnen die Verschlüsselung der Datenübertragung garantiert.

Fällt die Prüfung positiv aus, dann

 d) schließen Sie einen ordnungsgemäßen Auftragsverarbeitungsvertrag mit dem Anbieter, und stellen Sie sicher, dass der Betreiber keine Angaben über Ihre Beschäftigten und deren Kommunikation oder über die Nutzung der Software für eigene Zwecke oder Zwecke Dritter verarbeitet sowie

f) Unterauftragnehmer mit Verarbeitungsort, insbesondere Server-Standort, außerhalb der EU/des EWR für die Bereitstellung des Videokonferenzdiensts nur einsetzt, wenn der Datenexport die Anforderungen des Kapitels V der Datenschutz-Grundverordnung erfüllt. Bitte beachten Sie, dass der Beschluss der EU-Kommission zur Gleichwertigkeit des Datenschutzniveaus in den USA sich ausschließlich auf Organisationen erstreckt, die sich durch Selbstzertifizierung beim US-Handelsministerium zur Einhaltung der Grundsätze des Privacy Shields verpflichtet haben.

Die Zertifizierung muss sich auch auf Personaldaten (HR) erstrecken. Sie überprüfen dies durch Einsicht in die Liste des US-Handelsministeriums unter https://www.privacyshield.gov/list.

4. Wenn Sie einen Anbieter mit Verarbeitungsort außerhalb von EU/EWR oder einem Land mit gleichwertigem Datenschutzniveau bzw. einen nicht im Rahmen des Privacy Shields für die Verarbeitung von Personaldaten zertifizierten Anbieter in den USA beauftragen wollen, dann erfüllen Sie die Bedingungen unter Ziff. 3. a) – c) und e) und schließen mit ihm zur Erfüllung der Bedingung in Ziff. 3. d) einen Vertrag gemäß den von der EU-Kommission genehmigten Standardvertragsklauseln (https://eur-lex.europa.eu/legalcontent/DE/TXT/?uri=CELEX%3A32010D0087). Eine Einschränkung der Wirkung dieser Klauseln durch anderweitige Vereinbarungen ist nicht zulässig.

Dies gilt für jede Art von zusätzlichen Bedingungen und Einschränkungen für die Pflichten und Rechte aus den Standardvertragsklauseln. Die Erfüllung der Ziff. 3. a) bis 3. f) sowie ggf. Ziff. 4. bzw. im Fall von selbst betriebenen Lösungen Ziff. 2 Satz 2 ist in der Regel zwingende Voraussetzung für die Rechtmäßigkeit der Nutzung der jeweiligen Lösung.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit weisen darauf hin, dass einige verbreitet eingesetzte Anbieter zu Redaktionsschluss (22. Mai 2020) nicht alle Rechtmäßigkeitsvoraussetzungen erfüllen, darunter gängige Produkte von Microsoft, Skype Communications und Zoom Video Communications.

Nicht datenschutzgerechte Lösungen, die aufgrund der Einführung der Kontaktbeschränkungen von Ihrer Institution kurzfristig eingesetzt wurden, sollten so bald wie möglich abgelöst bzw. so nachgebessert werden, dass sie den datenschutzrechtlichen Anforderungen entsprechen. Hinweis: Wir planen, für unserer Aufsicht unterliegende Verantwortliche in Kürze eine ausführlichere Übersicht mit detaillierteren Angaben zu verschiedenen gängigen Anbietern von Videokonferenz-Diensten zu erstellen.

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit

DS-GVO – Bitkom zieht durchwachsene Bilanz

Datenschutz
Lesezeit: 2 Minuten

DS-GVO – 8 von 10 Unternehmen sehen Datenschutz als größte Hürde für Einsatz neuer Technologien

DS-GVO – Seit knapp zwei Jahren gilt die EU-Datenschutz-Grundverordnung. Unternehmen und Organisation haben dadurch u.a. erweiterte Informationspflichten, müssen Verarbeitungsverzeichnisse für Personendaten erstellen sowie Datenschutz schon in Produktionsprozessen berücksichtigen.

Dazu erklärt Bitkom-Präsident Achim Berg:

„Die Corona-Krise zeigt, welche herausragende Bedeutung der Datenschutz in Deutschland inzwischen hat. Dabei dominiert der Datenschutz selbst in dieser Krisensituation viele weitere Rechte wie das Recht auf körperliche Unversehrtheit, Versammlungsfreiheit, Gewerbefreiheit oder den Zugang zu schulischer Bildung. So werden einerseits weitgehende Einschränkungen von Grundrechten akzeptiert, gleichzeitig scheiterte die Veröffentlichung einer von vielen Einschränkungen befreienden Tracing-App an Datenschutzbedenken. Schulen können ihren Unterrichtsbetrieb nicht wieder aufnehmen und verlieren zu vielen Schülern einen funktionierenden Kontakt, gleichzeitig wird Lehrern der Einsatz vieler gut funktionierender Videoplattformen mit Hinweisen auf Datenschutzprobleme kategorisch verboten. Offenkundig ist das bislang gut ausbalancierte System an Freiheits- und Schutzrechten mit der DS-GVO aus den Fugen geraten.

DS-GVO – Das Gesetzgebungsverfahren zur Datenschutz-Grundverordnung war eines der aufwändigsten in der Geschichte der Europäischen Union. Die Bilanz der DS-GVO ist hingegen bestenfalls bescheiden. Das allgemeine Bewusstsein für das Thema Datenschutz hat stark zugenommen, und das ist in jedem Fall positiv. Von einem EU-weit einheitlichen Datenschutzniveau sind wir in der Praxis aber noch weit entfernt – dafür ist die Auslegung in den Mitgliedsstaaten zu unterschiedlich. Auch zwei Jahre nach Geltungsbeginn der DS-GVO haben viele Unternehmen noch nicht alle Anforderungen umgesetzt. Nicht wenige sind der Meinung, eine komplette Umsetzung der DS-GVO sei nicht möglich. Die Aufsichtsbehörden sind ihrerseits mit einer nicht zu bewältigenden Flut an Anfragen konfrontiert. Im Ergebnis stehen auf allen Seiten hohe personelle und finanzielle Aufwände.

Nach der geplanten Evaluierung der Datenschutzregeln muss die EU den grundsätzlichen Geburtsfehler beseitigen: Die DS-GVO reglementiert jeden einzelnen Datenverarbeitungsvorgang und jede Datenerhebung. Vereine, Startups und Großkonzerne werden über denselben Kamm geschoren und nicht differenziert behandelt. Die in der DS-GVO vorgesehenen Ausnahmen für kleinere Unternehmen kommen in der Praxis so gut wie nie zum Tragen. Dabei sollten Art und Umfang der Datenverarbeitungen ausschlaggebend für die Verpflichtungen sein, auch sollte man die Regeln grundsätzlich vereinfachen. In der Forschung sollten der Datennutzung weniger Hürden in den Weg gestellt werden – insbesondere für EU-weite Projekte im Gesundheitsbereich.“

Die Wirtschaft nimmt Datenschutzregeln zunehmend als Herausforderung war. So sehen derzeit acht von zehn Unternehmen (79 Prozent) Datenschutzanforderungen als die größte Hürde beim Einsatz neuer Technologien. Im Vorjahr sagten dies erst drei Viertel (74 Prozent), im Jahr 2018 nicht einmal zwei Drittel (63 Prozent). Das ist das Ergebnis einer repräsentativen Bitkom-Unternehmensbefragung aus dem April 2020.

Zur geplanten Evaluierung der DS-GVO durch die EU-Kommission hat Bitkom Empfehlungen erarbeitet. Aus Bitkom-Sicht sollte es vor allem eine beschleunigte Abstimmung auf EU-Ebene geben, um die Auslegung der DS-GVO stärker zu harmonisieren. Die Bitkom-Empfehlungen sind zum Download verfügbar unter https://www.bitkom.org/Recommendations-EU-Data-Protection-Framework

Hinweis zur Methodik: Grundlage der Angaben ist eine Umfrage, die Bitkom Research im Auftrag des Digitalverband Bitkom durchgeführt hat. Dabei wurden 603 Unternehmen mit 20 und mehr Beschäftigten telefonisch befragt. Die Umfrage ist repräsentativ für die Gesamtwirtschaft.

Quelle: Bitkom

IT-Sicherheitsgesetz 2.0 – Bitkom fordert Nachbesserungen

it security
Lesezeit: 2 Minuten

Berg: „Unklarheiten im Gesetz belasten 5G-Aufbau.“

IT-Sicherheitsgesetz 2.0 – Der Digitalverband Bitkom begrüßt, dass der Gesetzgebungsprozess zum neuen IT-Sicherheitsgesetz weitergeht und fordert Nachbesserungen am jüngsten Entwurf. „Die Neuauflage des IT-Sicherheitsgesetzes wird bereits seit einigen Jahren diskutiert. Der jüngste Entwurf lässt noch viele kritische Themen im Unklaren. Für Unternehmen bedeutet dies vor allem Unsicherheit über künftige Auflagen und damit verbundene Investitionen in Technik und Personal“, sagt Bitkom-Präsident Achim Berg. Das geplante Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme sieht unter anderem eine starke Kompetenzerweiterung für das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor, etwa im Bereich Verbraucherschutz und Zertifizierungen. „Mit dem Gesetz würde das BSI zu einer Art Superbehörde mit sehr weitreichenden Befugnissen aufsteigen. Dabei ist fraglich, ob die vorgesehenen Aufgaben bei einer Behörde richtig aufgehoben sind oder nicht besser durch qualifizierte vertrauenswürdige Unternehmen erbracht werden sollten. Das gilt etwa für geplante Dienstleistungen im Bereich der IT-Architekturen und IT-Sicherheitsberatungen“, so Berg. Zusätzliche Weisungsbefugnisse würden den Wettbewerb im Markt stark beeinträchtigen. Unklar sei auch, ob der geplante Stellenzuwachs für die vielfältigen neuen Aufgaben ausreichend ist.

Zusammenarbeit mit Sicherheitsbehörden prüfen

IT-Sicherheitsgesetz 2.0 – Kritisch sieht Bitkom die geplante stärkere Zusammenarbeit des BSI mit Sicherheitsbehörden wie dem Bundeskriminalamt oder dem Verfassungsschutz. So sollten laut Bitkom die vom BSI aufgespürten Software-Sicherheitslücken auch weiterhin direkt an betroffene Hersteller übermittelt und nicht Ermittlungsbehörden zur Verfügung gestellt werden. Berg: „Software-Hersteller müssen unverzüglich nach Bekanntwerden über Sicherheitslücken in ihren Produkten informiert werden, um die Schwachstellen schnellstmöglich beheben zu können.“ Ein Bruch mit diesem Grundsatz würde einen massiven Vertrauensverlaust der Wirtschaft in das BSI nach sich ziehen.

Netzbetreibern fehlt weiterhin Investitionssicherheit

Auch bei den formulierten Sicherheitsanforderungen für den künftigen 5G-Netzaufbau ist der Gesetzesentwurf aus Bitkom-Sicht an entscheidenden Stellen zu unkonkret. Neben einer technischen Zertifizierung kritischer Netzkomponenten verlangt der Entwurf auch eine Garantieerklärung der Netzausrüster auf Basis politischer Kriterien „Es ist immer noch offen, wie die Bundesregierung kritische Komponenten einstuft. Die Kostenfrage bei einem nachträglichen Rückbau solcher Komponenten ist ebenfalls nicht geregelt“, so Berg. Netzbetreibern drohe damit eine den Ausbau bremsende Rechts- und Investitionsunsicherheit. „So verspielt Deutschland seine gute Ausgangsposition für einen schnellen Gigabitausbau.“

Ein Kabinettsbeschluss der Regierung und die anschließende parlamentarische Behandlung des IT-Sicherheitsgesetzes 2.0 werden für die zweite Jahreshälfte 2020 erwartet.

Quelle: Bitkom

Datenschutz – EDSA aktualisiert Leitlinien zur Einwilligung bei Internetseiten

Datenschutz
Lesezeit: < 1 Minute

Datenschutz – Der Europäische Datenschutzausschuss (EDSA) hat am 5. Mai die Leitlinien zur Einwilligung in die Nutzung von Internetseiten aktualisiert. Der EDSA stellt klar, dass der Zugang zu einem Web-Service nicht abhängig von der Erlaubnis in das Setzen von sogenannten Cookies sein darf. Auch die bloße Weiternutzung einer Seite wird nicht als wirksame Einwilligung angesehen.

Datenschutz – Als Mitglied des EDSA befürwortet der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Professor Ulrich Kelber die Aktualisierung: Es gibt immer noch Internetseiten, die durch Ihren Aufbau den Nutzenden Tracking aufdrängen. Die aktualisierten Leitlinien machen erneut deutlich, dass Einwilligungen nicht erzwungen werden können. Die meisten Cookie-Walls und die Annahme, dass das Weitersurfen eine Einwilligung bedeutet, widersprechen dem Aspekt der Freiwilligkeit und verstoßen gegen die Datenschutz-Grundverordnung. Ich wünsche mir, dass Verantwortliche daraus die richtigen Schlüsse ziehen und endlich datenschutzfreundliche Alternativen anbieten.

Als „Cookie-Wall“ wird ein Verfahren bezeichnet, das von Nutzenden eines Online-Angebots einfordert Cookies zu akzeptieren, um das Angebot nutzen zu können. Ausnahmsweise sind Cookie-Walls dann zulässig, wenn ein vergleichbarer Dienst auch ohne Tracking angeboten wird, beispielsweise als bezahlter Dienst.

Das bloße Scrollen oder Weitersurfen auf einer Internetseite stellt dagegen in keinem Fall eine Einwilligung dar. Hier fehlt es gemäß den Leitlinien des EDSA an einer eindeutig bestätigenden Handlung.

Der EDSA hat die aktualisierten Leitlinien bereits in englischer Sprache veröffentlicht.

Quelle: BfDI

IT – Security | BSI warnt vor Einsatz von iOS-App “Mail”

IT Security
Lesezeit: < 1 Minute

It Security – Die iOS-App “Mail” ist auf allen iOS-Versionen rückwirkend bis iOS 6 von zwei schwerwiegenden Sicherheitslücken betroffen. Angreifern ist es dadurch möglich, durch das Senden einer E-Mail das betreffende iPhone oder iPad zu kompromittieren. Damit ist potentiell das Lesen, Verändern und Löschen von E-Mails möglich. Ob darüber hinaus weitere schädliche Aktivitäten für erfolgreiche Angreifer möglich sind, ist Gegenstand weiterer Prüfungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schätzt diese Schwachstellen als sehr kritisch ein. Für die insgesamt zwei Schwachstellen stehen bislang keine Patches zur Verfügung. Medienberichten zufolge werden die Schwachstellen bereits aktiv ausgenutzt. So lange keine entsprechenden Patches zur Verfügung stehen, sollten Anwender die App “Mail” unter Apple iOS deinstallieren oder alternativ die mit dieser App verknüpften Accounts deaktivieren.

Dazu BSI-Präsident Arne Schönbohm:

“Das BSI schätzt diese Schwachstellen als besonders kritisch ein. Sie ermöglicht es den Angreifern, weite Teile der Mail-Kommunikation auf den betroffenen Geräten zu manipulieren. Es steht zudem aktuell kein Patch zur Verfügung. Damit sind Tausende iPhones und iPads von Privatpersonen, Unternehmen und Behörden akut gefährdet. Wir sind im Austausch mit Apple und haben das Unternehmen aufgefordert, hier schnellstmöglich eine Lösung zur Sicherheit ihrer Produkte zu schaffen.”

Die Möglichkeiten zur Ausnutzung der Schwachstellen unterscheidet sich je nach iOS-Version. Während bei iOS 13 das reine Empfangen einer schädlichen Mail ausreicht, um die Schwachstelle auszulösen, muss die Mail ab iOS 12 abwärts auch durch die Nutzerinnen und Nutzer geöffnet werden.

Das BSI empfiehlt:

  • Löschen der App “Mail” oder Abschaltung der Synchronisation
  • Nach Umsetzung von Punkt 1 kann zum Abrufen und Lesen von E-Mails bis auf weiteres auf andere Apps oder Webmail zurückgegriffen werden
  • Das von Apple angekündigte iOS-Update sollte schnellstmöglich eingespielt werden, sobald es zur Verfügung steht

BSI für Bürger: iOS-App “Mail”: so schützen Sie E-Mails und Geräte

Quelle: BSI

eCommerce und die Corona Krise

E-Commerce
Lesezeit: 2 Minuten

eCommerce – Jeder Fünfte shoppt seither mehr im Internet

  • Jeder Zweite sagt: Der Online-Handel nimmt eine zentrale Versorgungsfunktion ein

eCommerce – Seit wenigen Tagen hat der Einzelhandel wieder geöffnet – wenn auch mit Auflagen und Beschränkungen. In den Wochen davor waren die Bundesbürger für den Kauf vieler Produkte auf das Internet angewiesen – haben dies aber höchst unterschiedlich genutzt:

So gibt jeder fünfte Verbraucher (20 Prozent) an, seit dem Ausbruch der Corona-Pandemie und den damit verbundenen Einschränkungen grundsätzlich mehr im Internet zu bestellen als zuvor. 29 Prozent bestellen hingegen weniger. Etwas mehr als jeder Vierte (27 Prozent) gibt an, genau so viel im Internet zu kaufen wie vor dem Ausbruch des Coronavirus in Deutschland. Das sind die Ergebnisse einer repräsentativen Befragung des Digitalverbands Bitkom unter 1.003 Personen in Deutschland ab 16 Jahren, die im Zeitraum von Ende April bis Anfang Mai 2020 durchgeführt wurde. „Fast jeder Internetnutzer (94 Prozent) ab 16 Jahren bestellt Waren im Internet. Somit wirkt sich eine generelle Konsumflaute kurzfristig auch auf einzelne Bereiche im Online-Handel aus. Viele große und kleine Händler mussten online wie offline schnell Antworten auf die Corona-Krise finden“, sagt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder. „Jene Händler, die ein digitales Angebot für ihre Kunden bereithalten, kommen definitiv besser durch die Krise.“

So ist auch mehr als jeder Zweite (55 Prozent) der Meinung, dass der Online-Handel in Zeiten der Corona-Pandemie eine zentrale Versorgungsfunktion einnimmt. Zwei Drittel (66 Prozent) kaufen insbesondere bei Einzelhändlern in ihrer Region online ein, um ihnen die Treue zu halten – sofern sie ihre Waren im Internet anbieten. Fast ebenso viele (65 Prozent) wünschen sich in diesem Zusammenhang auch, dass mehr Einzelhändler in ihrer Region ein Online-Angebot machen.

Hinweis zur Methodik: Grundlage der Angaben ist eine Umfrage, die Bitkom Research im Auftrag des Digitalverbands Bitkom durchgeführt hat. Im April und Mai 2020 wurden dabei 1.003 Personen in Deutschland ab 16 Jahren telefonisch befragt. Die Umfrage ist repräsentativ. Die Fragen lauteten: „Wie hat sich Ihr Online-Einkaufsverhalten seit dem Ausbruch der Corona-Pandemie und den damit verbundenen Einschränkungen des öffentlichen Lebens in Deutschland verändert?“ und „Bitte sagen Sie mir, inwieweit die folgenden Aussagen zum Einkaufsverhalten auf Sie bzw. Ihr Umfeld zutreffen oder nicht zutreffen (Angaben für ‚Trifft voll und ganz zu‘ und ‚Trifft eher zu‘)“.

Quelle: Bitkom

5G Accenture Amazon App Apple Pay Banken – Payment News Beratung Bitkom – E-Commerce und Payment News BSI Cloud Cyber Sicherheit Delivery Deutsche Bahn DHL Digitale Plattformen DSGVO EHI Fintech Handel – E-Commerce News Interim Manager IT ITB IT Security Klarna Künstliche Intelligenz Lidl Logistik Lünendonk Studie Mastercard Mobile Payment MYTOYS Group OTTO PayPal PSD2 PwC SAP Software Sopra Steria Consulting Studien Studien – E-Commerce und Payment Tourismus Versicherung Wirecard – Payment News Zalando Österreich