Der Beitrag DSK-Orientierungshilfe: Datenverarbeitung im Zusammenhang mit funkbasierten Zählern erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Orientierungshilfe: zu Künstlicher Intelligenz und Datenschutz erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Orientierungshilfe: Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Orientierungshilfe: Whitepaper zu technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Kurzpapier Nr. 17: Besondere Kategorien personenbezogener Daten erschien zuerst auf Datenschutz-Manager-24.

Das Design, also die zugrundeliegende Gestaltung und Entwicklung von Software, Hardware oder auch Dienstleistungen, sollte so gestaltet sein, dass ein grundsätzlich höchstmögliches Ausmaß an Privatsphäre gewährleistet wird. Dies kann z.B. dadurch erreicht werden, dass systembedingt lediglich jene Daten verarbeitet werden, die für die reibungslose Funktionalität einer Software, Hardware oder Dienstleistung wirklich notwendig sind. Bei Eingabeformularen sollte man hierzu beispielsweise genau prüfen, welche Eingabefelder als Pflichtfelder gestaltet werden.

Privacy by default – datenschutzfreundliche Voreinstellungen

Oftmals liegt es im Auge des Benutzers, sinnvoll zu entscheiden, wieviel seiner Daten er preisgeben möchte, um eine bestimmte Funktion eines Produkts nutzen zu können. Sofern er sich bereit erklärt, mehr personenbezogene Daten vom ihm für die Nutzung freizugeben, z.B. um etwaige Zusatzleistungen in Anspruch nehmen zu können, so sollte ihm hierfür die Option offenstehen. Privacy by default beschreibt dabei den Zustand, dass ohne Eingreifen des Nutzers ein Höchstmaß an Privatsphäre gewährleistet sein soll und der Nutzer von diesem abweichen kann, sofern gewollt. Nicht jedoch umgekehrt, indem der Nutzer einen Mehraufwand tätigen müsse, um das gewollte Niveau an Privatsphäre zu erreichen.

Der Beitrag Privacy by design und Privacy by default erschien zuerst auf Datenschutz-Manager-24.

Wenn Sie (oder Ihre Dienstleister) mit solchen Unternehmen zusammenarbeiten, dann müssen Sie die neuen Standardvertragsklauseln vereinbaren. Hierfür haben Sie bei Altverträgen bis zum 27.12.2022 Zeit. Neuverträge dürfen seit dem 29.09.2021 nur nach den neuen Klauseln abgeschlossen werden.

Aufgrund der Fülle der Arbeiten (siehe Handlungsempfehlungen) sollten Sie mit der Umsetzung nicht zu lange warten. Gute Dienstleister sollten sich diesbezüglich auch schon aktiv bei Ihnen gemeldet haben oder derzeit daran arbeiten.

Besonderheit Vereinigtes Königreich (UK)

Nach dem Austritt von UK aus der EU war lange Zeit unklar, wie mit Datenübermittlungen nach UK umzugehen ist. Zwischenzeitlich hat die EU aber für Klarheit gesorgt und einen sogenannten Angemessenheitsbeschluss erlassen. Dieser attestiert UK ein angemessenes Datenschutzniveau und Daten können wie mit einem Land innerhalb der EU ausgetauscht werden.

Aber Vorsicht: Der Beschluss gilt zunächst nur für vier Jahre!

Handlungsempfehlungen

1. Bestandsaufnahme: Prüfen Sie, ob Daten Ihrer Kunden, Mitarbeiter oder anderen Personen in Ländern außerhalb der EU verarbeitet werden. Fragen Sie diesbezüglich auch bei Auftragsverarbeitern nach. Dabei ist zu beachten, dass Auftragsverarbeiter ggf. mit Konzerngesellschaften oder anderen Dienstleistern außerhalb der EU zusammenarbeiten, die Zugriff haben können.
2. Anfrage nach neuen SCCs: Wenn notwendig, führen Sie bezüglich der neuen Standardvertragsklauseln eine Anfrage bei den betroffenen Partnern an. Wenn diese wiederum Dienstleister einsetzen, fragen Sie nach dem Stand der Verträge hierzu und fordern Sie ggf. eine Kopie der Vereinbarungen zum Nachweis an. Prüfen Sie in jedem Fall auch, ob die gelieferten SCCs die richtigen sind, da es vier verschiedene Module gibt.
3. Anfrage nach Sicherheitsmaßnahmen: Der Abschluss von SCCs allein reicht nicht aus. Es müssen eventuell besondere Sicherheitsmaßnahmen (beispielsweise Serverstandort in der EU, Pseudonymisierung oder Verschlüsselung) umgesetzt werden. Fragen Sie diese bei den Dienstleistern an. Prüfen Sie in jedem Fall, ob durch die Sicherheitsmaßnahmen ein angemessenes Datenschutzniveau hergestellt wird.
4. Protokollierung: Zum Nachweis protokollieren Sie bitte alle Vorgänge. Die Aufsichtsbehörden prüfen internationalen Datenverkehr derzeit über verschiedene Wege.

Der Beitrag Neue Standardverträge für internationale Datenübermittlungen erschien zuerst auf Datenschutz-Manager-24.

Zunächst werden über E-Mail oder auch Telefon vermeintlich vom Chef (CEO) oder auch in dessen Namen höchst geheime, jedoch sehr dringliche Handlungen angeregt. Dem Empfänger wird vorgemacht, dass er besonders vertrauenswürdig und zuverlässig sei. Daher beauftrage man genau ihn. Letzten Endes soll verhindert werden, dass man über die vermeintlich so wichtige E-Mail mit niemand anderem spricht. In der Praxis hat diese Masche leider immer wieder Erfolg.

Social Engineering

„Social Engineering“ ist eine Methode, um unberechtigt Zugang zu Informationen durch Aushorchen oder Manipulation von Menschen zu erhalten und Personen zu einer Handlung (in der Regel Zahlung von hohen Beträgen an unbekannte Konten!) zu bewegen. Dabei werden Interna geschickt benutzt, um Seriosität und Rechtmäßigkeit vorzutäuschen.

Durch Hilfsbereitschaft, blindem Vertrauen oder Angst bzw. Respekt vor Vorgesetzten werden die Opfer ausgenutzt. Diese handeln meist aus Unwissenheit, aus einer Stresssituation heraus oder aus Höflichkeit. In Deutschland entstehen so jährlich Schäden in 2-stelliger Millionenhöhe!

Tipps

• Im Zweifel nochmals nachfragen. Das dient dem Schutz aller.
• Abläufe und Zuständigkeiten genau definieren: 4-Augen-Prinzip, Einbindung der Geschäftsleitung bzw. des Vorgesetzten bei ungewöhnlichen Anweisungen.
• Klare Abwesenheitsregelungen und interne Kontrollmechanismen einführen!
• Überprüfung von Zahlungsaufforderungen über Rückruf bzw. schriftliche Rückfrage beim Auftraggeber.
• Generelle Überprüfung bei Änderungen von Kontoverbindungen.
• Regelungen, was Unternehmen selbst und Mitarbeiter im Zusammenhang mit Ihrem Arbeitgeber öffentlich machen dürfen.
• Bei Auffälligkeiten sofortige Einbindung von Polizeibehörden!

Der Beitrag Kennen Sie den Absender? erschien zuerst auf Datenschutz-Manager-24.

Auf dem Weg durch das Internet macht eine E-Mail an vielen Stellen halt. Die Mail-Provider des Absenders und Empfängers sind nur einige Stationen, an denen eine E-Mail verarbeitet wird. Findet der Mail-Versand unverschlüsselt statt, so besitzt die reguläre E-Mail den Sicherheitswert einer Postkarte: Dies bedeutet nicht nur, dass jede der Stellen zwischen Versand und Empfang technisch und faktisch den Inhalt mitlesen kann, sondern dieser ist auch beliebig veränderbar. Was bei Urlaubsgrüßen auf einer Postkarte noch unbedeutend erscheinen kann, sieht bei brisanten und geschäftlich relevanten Informationen ganz anders aus.

Verschlüsselung schafft Sicherheit

Zumindest das Mitlesen der Inhalte kann man durch Verschlüsselung wirksam verhindern. Eine kurze Beschreibung der drei wichtigsten Möglichkeiten finden Sie nachfolgend:

Verschlüsselung sensibler Anhänge

Das wohl einfachste, aber trotzdem sehr effektive Verfahren stellt die Verschlüsselung von Dateianhängen dar. Hierbei werden sensible Inhalte einfach als Dateianhang versendet. Dieser Dateianhang wird mit einem (sicheren) Passwort verschlüsselt. Entschlüsseln können dann nur die Personen, die dieses Passwort kennen. Das Passwort wird dem Empfänger möglichst über einen anderen Kommunikationskanal mitgeteilt. Dabei kann es auch sinnvoll sein, zum Beginn einer Zusammenarbeit einmalig ein Passwort für die Verschlüsselung zu vereinbaren, welches dann zukünftig für alle Dateianhänge verwendet wird.

Die Verschlüsselung von Dateien wird mittlerweile von vielen Programmen zur Verfügung gestellt. So können beispielsweise Word- oder Excel-Dateien mit einem Kennwort verschlüsselt werden oder man verwendet ein Kompressionsprogramm wie 7-Zip und verschlüsselt damit die Dateien.

Nachteilig bei diesem Verfahren ist lediglich, dass sich Absender und Empfänger auf ein Passwort verständigen müssen. Außerdem werden verschlüsselte E-Mail-Anhänge häufig durch Firewalls oder Virenscanner blockiert.

Verschlüsselung des Transportwegs

Mittels TLS (Transport Layer Security) werden bei diesem Verfahren die Kommunikationswege verschlüsselt. Dies ist eigentlich mittlerweile zumindest im Unternehmensumfeld und auch bei den größeren Mail-Providern Standard. Damit lässt sich das Mitlesen der Inhalte einer E-Mail auf dem Weg von einem zum anderen Knotenpunkt verhindern.

Nachteilig ist hierbei jedoch, dass die E-Mails an allen Knotenpunkten der Kommunikation mitgelesen und auch verändert werden können. Außerdem kann man nie sicher sein, dass auf dem Weg vom Absender zum Empfänger alle Teilstrecken tatsächlich verschlüsselt werden. Der Absender einer E-Mail kann immer nur die Wegstrecke vom eigenen Mail-Provider bis zum nächsten Knotenpunkt beeinflussen.

Ende-zu-Ende-Verschlüsselung

Das derzeit sicherste Verfahren ist sicherlich die Ende-zu-Ende-Verschlüsselung. Gängige Standards sind PGP und S/MIME. Hierbei verschlüsselt der Absender eine E-Mail den kompletten Inhalt einer E-Mail inklusive der Dateianhänge mit dem öffentlichen Schlüssel des Empfängers. Nur der Empfänger kann die E-Mail dann mit seinem privaten Schlüssel entschlüsseln. Darüber hinaus wird auch sichergestellt, dass die E-Mail auf Ihrem Weg nicht verändert werden kann.

Diese asymmetrische Kryptografie gilt nach aktuellem Stand der Technik als sicher und ist daher zu empfehlen. Das Verfahren benötigt aber auf Seiten des Absenders und des Empfängers ein wenig Installationsaufwand, den der Laie häufig nicht leisten kann. Dieser erhöhte technische Aufwand führt in der Praxis daher leider zu wenig Akzeptanz.

Bewerbung per Post(karte)?

Kritisch ist insoweit, wenn Unternehmen mittels Stellenausschreibungen auf Ihrer Webseite aktiv nach Bewerbern Ausschau halten, jedoch keine Möglichkeit einer rechtssicheren Datenübermittlung gewährleisten können. Eine Lösung hierfür ist die Implementierung von Ende-zu-Ende-verschlüsselter und damit sicherer E-Mail-Kommunikation. Dies kann beispielsweise geschehen, in dem das öffentliche PGP- oder S/MIME-Zertifikat nahe der Stellenausschreibung und der dazugehörigen Möglichkeit zur Kontaktaufnahme auf der Webseite veröffentlicht wird. Eine Alternative hierzu bietet die Angabe, dass Bewerbungen auf dem Postweg eingereicht werden können, falls eine sichere E-Mail-Kommunikation nicht gewährleistet werden kann. Weiterhin kann man die Bewerbung auch über ein Internetformular mit Upload-Möglichkeit weiterer Bewerbungsunterlagen zur Verfügung stellen. Diese sollte dann aber auch per HTTPS verschlüsselt werden.

Der Beitrag E-Mail-Verschlüsselung erschien zuerst auf Datenschutz-Manager-24.

• Eine E-Mail, ein Brief oder Fax wurde an einen falschen Empfänger verschickt.
• Eine E-Mail wurde mit einem offenen Verteiler verschickt (jeder Empfänger sieht die E-Mail-Adressen der anderen Empfänger, BCC-Feld nicht genutzt).
• Ein Datenträger (USB-Stick, CD, DVD, externe Festplatte, Dokument etc.) oder ein mobiles Endgerät (Mobiltelefon, Notebook etc.) ging verloren oder wurde gestohlen.
• Ein Virus oder eine andere Schadsoftware wurde installiert bzw. aktiv.
• Unbefugte hatten Zugang zu Systemen durch Einbruch oder einen Hackerangriff.
• Jemand nutzt eine andere Identität für fragwürdige Aktionen.

Wichtig: schnelles und ehrliches Handeln vermeidet Schlimmeres!

Informieren Sie umgehend die Geschäftsführung und/oder die zuständige Stelle. In jedem Unter-nehmen sollte hierfür eine Abteilung oder ein Team definiert sein. Nur so können schnellstmöglich geeignete Maßnahmen ergriffen werden, um den Schaden zu begrenzen. Helfen Sie der zuständigen Stelle mit Informationen zu dem Vorfall.

Handeln Sie schnell und sachlich. Haben Sie keine Scheu, eventuell einen eigenen Fehler einzugestehen. Es geht nicht darum, jemanden zu bestrafen, sondern durch gezieltes Handeln den Schaden zu begrenzen!

Weitere Vorgehensweise durch Fachabteilung oder Geschäftsleitung

• Oberstes Ziel ist Schadensbegrenzung.
• Datenlücken müssen schnellstmöglich geschlossen werden.
• Eventuell den Datenschutzbeauftragten oder andere Fachabteilung einbinden.
• Jede Datenpanne muss dokumentiert werden: Wann und wo ist was passiert? Wer ist in welchem Umfang davon betroffen? Wie wurde die Gefahr beseitigt?
• Möglicherweise muss binnen 72 Stunden die Aufsichtsbehörde informiert werden.
• In schlimmeren Fällen sind die von der Datenpanne betroffenen Personen zu informieren.
• Gesetzliche Vorgaben aus dem Datenschutzrecht und der Datensicherheit sind einzuhalten.

Der Beitrag Datenschutzverstöße richtig melden erschien zuerst auf Datenschutz-Manager-24.