Archive: News

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer besorgniserregenden Entwicklung: Ransomware-Angriffe richten sich zunehmend gegen kleine und mittlere Organisationen sowie staatliche Institutionen und Kommunen. Dies bedeutet, dass nicht nur große Unternehmen, sondern auch lokale Einrichtungen im Fokus stehen.

Die Auswirkungen sind unmittelbar spürbar, wenn bürgernahe Dienstleistungen vorübergehend ausfallen oder persönliche Daten in die Hände von Kriminellen gelangen. Es ist daher entscheidend, dass alle Organisationen, unabhängig von ihrer Größe, ihre IT-Sicherheitsmaßnahmen überprüfen und verstärken.

Datenschutz & die Cybersicherheitslage

Cybersicherheit ist bereits seit vielen Jahren ein wichtiges Thema – und zugleich eines, bei dem die Brisanz nicht nachlässt, sondern vielmehr ständig zunimmt. Immer mehr Systeme, Geräte und ganze industrielle Anlagen werden mit dem Internet verbunden und sind damit einer scheinbar exponenziell wachsenden Zahl von Bedrohungen ausgesetzt.

BSI – hilfreiche Quelle für Lagebilder und Tipps

Fortlaufend bewertet das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Lage mit Bezug zur Informationssicherheit in Deutschland. Seit Beginn des Angriffs Russlands auf die Ukraine ist es in Deutschland zu zusätzlichen IT-Sicherheitsvorfällen gekommen.

Das BSI ruft Unternehmen, Organisationen und Behörden dazu auf, ihre IT-Sicherheitsmaßnahmen zu überprüfen und der gegebenen Bedrohungslage anzupassen.

Cybersicherheitslage überblicken und handeln

Im Podcast der „Datenschutz PRAXIS“ wurden Isabel Münch, Fachbereichsleiterin IT-Sicherheitslage beim Bundesamt für Sicherheit in der Informationstechnik (BSI), deshalb folgende Fragen gestellt:

• Das BSI bewertet regelmäßig die Cybersicherheitslage. Zuerst einmal: Wie würden Sie die aktuelle Lage beschreiben? Gehören personenbezogene Daten zu den wesentlichen Zielen der Cyberattacken?
• Was macht die Cybersicherheitslage so dynamisch, warum muss man die Lage fortlaufend neu bewerten?
• Mit welchen Verfahren bewertet denn das BSI die Lage?
• Haben Sie Empfehlungen, wie man als Unternehmen einen eigenen Lagebericht erhalten könnte?
• Welche Informationsquellen bietet das BSI, damit sich Unternehmen ein Bild der Cybersicherheitslage machen können?
• Wie können Lageberichte helfen, damit man als Unternehmen mögliche Angriffe besser erkennen und abwehren kann?
• Wie sieht eine gute Strategie zur Vorbeugung aus? Welche konkreten Tipps zur Vorbeugung können Datenschutzbeauftragte in ihr Unternehmen oder ihre öffentliche Stelle einbringen?
• Was sollten sie als erstes tun, wenn sie den Podcast gehört haben?

(Quelle: https://www.datenschutz-praxis.de)

Podcast anhören:
https://datenschutz-praxis-podcast.podigee.io/31-cybersicherheitslage

Aktuelle, vom BSI bewertete Cybersicherheitslage:
https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html

Die DSGVO schränkt die Datenverarbeitung von Unternehmen in Konzernstrukturen ein. Dies gilt für alle Verarbeitungsvorgänge, die innerhalb des Konzerns stattfinden. Die Verantwortung für die Datenverarbeitung liegt damit bei den jeweiligen Unternehmen. Dies erleichtert zwar die Haftungsordnung, erschwert jedoch die Nutzung von Daten für konzernweite Zwecke.

Die DSGVO hat das klassische Konzernprivileg abgeschafft. Unternehmen, die Teil eines Konzerns sind, dürfen personenbezogene Daten nur noch zu internen Verwaltungszwecken zentral verwalten (siehe Erwägungsgrund 48 zur DSGVO). Die werbliche Nutzung ist nicht zulässig. Für die Weitergabe von Daten über Unternehmensgrenzen hinweg ist eine Rechtsgrundlage erforderlich. Zudem müssen Verantwortliche die Betroffenen über die Weitergabe informieren.Lösungen für dieses Problem sind rar, doch es gibt sie.

Lesen Sie mehr unter:
https://datenschutz-prodatis.com/nl/Kundendaten_unternehmensuebergreifend_nutzen.pdf

Die zunehmende Verbreitung von KI-Lösungen stellt Unternehmen vor neue Herausforderungen im Datenschutz. Die DSGVO schreibt vor, dass bereits bei der Planung und Durchführung einer Verarbeitung geeignete technische und organisatorische Maßnahmen (TOM) getroffen werden müssen, um die Datenschutzgrundsätze zu gewährleisten. Diese Verpflichtung gilt auch für KI-Lösungen. Privacy by Design ist ein Ansatz, der diese Anforderungen erfüllt. Er besagt, dass Datenschutz bereits bei der Entwicklung von Produkten und Dienstleistungen berücksichtigt werden sollte. Dadurch können Unternehmen die Risiken für die Privatsphäre der Nutzer frühzeitig identifizieren und vermeiden.

Doch die gesetzlichen Anforderungen an die konkrete Umsetzung durch Technikgestaltung sind weniger bekannt. Erfahren Sie mehr über diese Anforderungen und wie Sie diese erfüllen können.

Lesen Sie mehr unter:
https://datenschutz-prodatis.com/nl/Privacy_by_Design_Umsetzungstipps_fuer_die_Praxis.pdf

Ein Chatbot ist eine computerbasierte Software oder künstliche Intelligenz, die entwickelt wurde, um mit Menschen in natürlicher Sprache zu interagieren. Häufig finden Chatbots Anwendung in Messaging-Plattformen, sozialen Medien, Websites oder mobilen Apps, wo sie menschenähnliche Konversationen mit Benutzern führen. Ihre Funktionen erstrecken sich von der Beantwortung von Fragen über die Automatisierung von Aufgaben bis hin zur Bereitstellung von Informationen oder der Führung einfacher Unterhaltungen. Chatbots werden in verschiedenen Sektoren eingesetzt, darunter Kundensupport,
E-Commerce, Gesundheitswesen, Finanzdienstleistungen, Marketing und viele weitere.

Durch eine sorgfältige Entwicklung und Schulung können Chatbots die Effizienz steigern, Kosten senken und die Benutzererfahrung erheblich verbessern, insbesondere wenn sie gut entwickelt und trainiert sind. Allerdings können Chatbots, wenn sie nicht ordnungsgemäß entwickelt, implementiert und verwaltet werden, aus Datenschutzgründen problematisch sein.

Die Datenschutzstelle des Fürstentums Liechtenstein hat sich dieser Thematik angenommen und eine Reihe von nützlichen Hinweisen für Verantwortliche und Interessierte veröffentlicht. Gemäß der Auffassung der Datenschutzstelle ist es für den Verantwortlichen einerseits entscheidend sicherzustellen, dass die konkrete Datenverarbeitung durch den Chatbot auf der richtigen Rechtsgrundlage gemäß Art. 6 Abs. 1 und gegebenenfalls Art. 9 Abs. 2 DS-GVO basiert. Andererseits ist es ebenso wichtig sicherzustellen, dass die betroffenen Nutzer transparent über sämtliche mit den Verarbeitungsvorgängen verbundenen Aspekte informiert werden. Die von der Datenschutzstelle bereitgestellten Hinweise beziehen sich auf aktuelle Rechtsunsicherheiten im Kontext von (generativen) KI-basierten Chatbot-Systemen und beinhalten zusätzlich eine Auflistung weiterführender Informationsquellen, die die Veröffentlichung der Datenschutzbehörde ergänzen.

Hinweise des Fürstentums Liechtenstein zum Thema Chatbots:
https://www.datenschutzstelle.li/datenschutz/themen-z/chatbots

Seit Anfang Juli 2023 ist das neue Hinweisgeberschutzgesetz in Kraft.

Hatten die Unternehmen/ öffentliche Einrichtungen ab 250 Beschäftigten die Pflicht der sofortigen Umsetzung, so läuft die Frist für alle zwischen 50 und 249 Beschäftigten am 17.12.2023 ab.

Die Übergangsregeln und Ausnahmen für die Vergabe von Bußgeldern bei Nichtbeachtung des Gesetzes enden bereits zum 01.12.2023! Es ist also höchste Zeit, die notwendigen Regelungen in Ihrem Unternehmen / öffentlichen Einrichtung vorzunehmen. Vermeiden Sie Reputationsschäden oder auch finanzielle Einbußen durch Bußgelder.

Erfüllen Sie die Vorgaben und arbeiten Sie dabei gesetzteskonform mit einem webbasierten HintPortal, entwickelt von der PRODATIS CONSULTING AG:

BENUTZERFREUNDLICHKEIT & SERVICE

• Flexible Fallbearbeitung, jederzeit, digital und global erreichbar
• Vertrauliche Meldungen – bei Bedarf auch anonym
• Klares Reporting durch Statistiken und grafische Auswertungen
• Umfassender Service und fachliche Beratung für die Kommunikation und Fallbearbeitung
• Einfache, intuitive Bedienbarkeit in Deutsch und Englisch
• Maximale Sicherheit für Hinweisgeber
• Benachrichtigungen vor Ablauf von Fristen im System und per E-Mail

EINFACHE EINRICHTUNG & NUTZUNG

• Passen Sie das System auf Ihre Bedürfnisse an mit eigenem Logo, Kontrastfarbe, Hintergrundbild und Texten.
• Schlüsselfertiges System mit zahlreichen Funktionen für alle Benutzer und Bearbeiter von Hinweisen
• Ausführliche Dokumentation aller Funktionen und fertigen Templates zum Schnellstart
• Online-Hilfe zur Recherche durch Anwender
• Optionales Aktivieren von anonymen oder personalisierten Meldungen
• Mandantenfähig, mandantenübergreifende Bearbeitung durch eine zentrale interne Meldestelle möglich

DATEN- & PROZESSSICHERHEIT

• Sicheres Hosting Ihrer Daten auf Servern im deutschen Rechenzentrum
• ISO 9001 und ISO 27001-zertifiziert
• EU DSGVO-konform
• Anonymer Meldeprozess mit Dialog- und Wizardfunktion
• Kompatibel mit allen gängigen Browsern
• Benachrichtigungen vor Ablauf von Fristen, im System und per E-Mail
• Ende-zu-Ende-Verschlüsselung via TLS

Im Rahmen des Innovationsverbunds “Connected Work Innovation Hub” des Fraunhofer-Instituts für Arbeitswirtschaft und Organisation IAO wurde ein Instrument entwickelt, mit dem die direkten und indirekten Auswirkungen hybrider Arbeitsmodelle auf die Leistungsfähigkeit der Mitarbeiter quantifizierbar gemacht werden können.

Mithilfe dieses Messinstruments führte das Forschungsteam des Fraunhofer IAO im März und April 2023 eine Online-Umfrage durch. Die Rückmeldungen von mehr als 3000 Teilnehmerinnen und Teilnehmern aus diversen Unternehmen in Bezug auf ihre Branchen und Größe ermöglichten den Forschenden, ein umfassendes Bild von der aktuellen Situation hybrider Arbeitsmodelle zu zeichnen.

Lesen Sie mehr unter:
https://www.hrperformance-online.de/news/modern-work/hybride-arbeit-in-deutschland-im-realitaetscheck/

(Quelle: https://www.hrperformance-online.de)

Die Verarbeitung von Beschäftigtendaten ist für jedes Unternehmen von großer Relevanz und wirft auch im Hinblick auf Datenschutzbedenken einige Fragen auf. Die rechtlichen Rahmenbedingungen für diesen Bereich sind in erster Linie durch die Datenschutz-Grundverordnung (DS-GVO) und das Bundesdatenschutzgesetz (BDSG) festgelegt.

Der bisherige zentrale Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Beschäftigten in Deutschland war § 26 Absatz 1 Satz 1 des BDSG, der die Datenverarbeitung im Kontext des Beschäftigungsverhältnisses erlaubte. Allerdings wurde diese Praxis durch ein Urteil des Europäischen Gerichtshofs (EuGH) vom 30. März 2023 (Rechtssache C-34/21) in Frage gestellt. Kurz nach der Verkündung dieses Urteils erklärte die Datenschutzbehörde in Hamburg, dass die genannte BDSG-Norm nicht mehr mit den Bestimmungen der DS-GVO in Einklang stehe.

Die Auswirkungen dieses EuGH-Urteils betreffen den Datenschutz von Beschäftigten in Deutschland erheblich. Das Urteil bezog sich auf die Verarbeitung personenbezogener Daten von Lehrern in Hessen im Rahmen von Videokonferenz-Livestreams während des Schulunterrichts. Das Land Hessen stützte sich auf eine ähnliche Norm im Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG), nämlich § 23 HDSIG, als rechtliche Grundlage. Der EuGH entschied jedoch, dass diese Norm zu weitreichend und nicht ausreichend präzise formuliert sei. Diese Entscheidung hat weitreichende Konsequenzen für den Datenschutz von Beschäftigten in Deutschland.

Lesen Sie mehr unter:
https://datenschutz-prodatis.com/nl/NewsBox_DAFTA_231017.pdf

(Quelle: https://dataagenda.de)

Trotz höchster Sorgfalt können unerwartete Notfälle sowohl auf dem Arbeitsweg als auch am Arbeitsplatz auftreten. In solchen Situationen ist es von entscheidender Bedeutung, die Kontaktdaten von Notfallkontaktpersonen griffbereit zu haben. Wie kann dies unter Einhaltung der Datenschutzbestimmungen organisiert werden?

Die Herausforderung für viele Unternehmen beginnt bereits bei der Erfassung und Speicherung der Kontaktdaten der Notfallkontaktperson. Dies stellt eine Verarbeitung personenbezogener Daten dar und unterliegt den Datenschutzvorschriften gemäß Artikel 2 Absatz 1 in Verbindung mit Artikel 4 Nummer 1 und 2 der Datenschutz-Grundverordnung (DSGVO). Insbesondere greift hierbei nicht die sogenannte Haushaltsausnahme gemäß Artikel 2 Absatz 2 Buchstabe c DSGVO. Dies liegt daran, dass, obwohl die Daten von privater Natur sind, das Unternehmen oder die Behörde die Daten im beruflichen Kontext verarbeitet.

Lesen Sie mehr unter:
https://datenschutz.prodatis.com/nl/Datenschutz_bei_Notfallkontaktdaten_im_Betrieb.pdf

Ein äußerst praxisrelevantes Thema wird im 5. Tätigkeitsbericht des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI) angesprochen (Abschnitt 3.6). Es behandelt die Frage, wie Verantwortliche ihrer Pflicht zur Offenlegung im Bezug auf Attrappen von Überwachungskameras gerecht werden können.

Lesen Sie mehr unter:
https://dataagenda.de/kamera-attrappen-beweislast-liegt-auch-hier-beim-verantwortlichen/

Schon im Jahr 2014 hat die Konferenz der Datenschutzbeauftragten des Bundes und der Länder in einer Entschließung auf die datenschutzrechtlichen Risiken hingewiesen, die mit der zunehmenden Datenverarbeitung in Kraftfahrzeugen und ihrer Vernetzung, sowohl untereinander als auch mit ihrer Umgebung und dem Internet, einhergehen. Bereits zu dieser Zeit stellte das Gremium fest, dass die Datenverarbeitung in modernen Fahrzeugen das Interesse von verschiedenen Akteuren weckt, die diese Daten für unterschiedliche Zwecke nutzen möchten, beispielsweise Arbeitgeber und Versicherungen.

Knapp zehn Jahre später widmet sich die Mozilla Foundation in einer Studie dem Thema “Datenschutz in Fahrzeugen”. Das Resümee der Untersuchung fällt eindeutig aus: “Im Hinblick auf Datenschutz sind Autos die problematischste Produktkategorie, die wir je geprüft haben.” Keine der 25 Automarken erhielt eine positive Bewertung hinsichtlich Datenschutz – sie alle wurden mit dem Warnhinweis “Datenschutz nicht inklusive” bewertet.

Lesen Sie mehr unter:
https://dataagenda.de/autohersteller-patzen-beim-datenschutz/