Einträge von Klaus Foitzick

Geräteübergreifendes Tracking aus Sicht des Datenschutzes

Wenn ein Internetnutzer sich ein Produkt nicht nur auf dem Laptop, sondern auch auf dem Tablet oder dem Smartphone ansieht, ist das ein Problem für Analyse- und Werbedienste: Sie erhalten kein einheitliches Bild mehr vom Verhalten des Nutzers. Die Lösung ist das „Cross-Device-Tracking“, also Technologien, die eine geräteübergreifende Profilbildung des Nutzers ermöglichen. Was technisch mittlerweile möglich ist, muss deswegen aber noch lange nicht datenschutzkonform sein. Deshalb analysiert dieser Artikel zunächst die wesentlichen rechtlichen Gesichtspunkte von Nachverfolgungstechnik, um anschließend die datenschutzrechtliche Zulässigkeit unterschiedlicher Cross-Device-Tracking-Technologien zu diskutieren.

ISO 27001 Zertifizierung von E-Mail-Marketing- und Lead Management-Anbieter SC-Networks [Best Practice]

E-Mail-Marketing und die (teil-)automatisierte Vertiefung von Kundenbeziehungen mit Inhalten (Lead-Management) erfordern aufgrund ihrer Komplexität ausgereifte technische Lösungen. Außerdem sollte bei solchen Angeboten als Software as a Service (SaaS) in besonderem Maße auf IT-Sicherheit und Datenschutz geachtet werden. So ist es etwa datenschutzrechtlich spätestens seit dem Ende von Safe Harbor schwierig, auf US-amerikanische Anbieter zu setzen. Stattdessen lohnt es sich, E-Mail-Marketing-Anbieter aus Deutschland in Erwägung zu ziehen. Einer davon ist die SC-Networks GmbH mit dem Produkt Evalanche. Bereits seit einigen Jahren ist ein Experte der activeMind AG bei SC-Networks als externer Datenschutzbeauftragter bestellt. Nun begleiteten wir das Unternehmen als externer IT-Sicherheitsbeauftragter auch zur erfolgreichen ISO 27001 Zertifizierung. SC-Networks Geschäftsführer Martin Philipp erklärt im Folgenden, welche Anforderungen und Maßnahmen gemeinsam mit der activeMind AG umgesetzt werden konnten.

,

Schadensersatz & Datenschutz: Deutsches Recht vs. EU-Datenschutz-Grundverordnung

Fügt ein Unternehmen einer Person durch eine rechtswidrige Datenverarbeitung einen Schaden zu, hat diese Person in bestimmten Fällen Anspruch auf Schadensersatz. Doch welche Bedingungen müssen erfüllt sein, damit das datenschutzrechtliche Schadensersatzrecht greift? Und welches Unternehmen ist unter welchen Umständen für eine rechtswidrige Datenverarbeitung verantwortlich? Antworten auf diese Fragen finden Sie im folgenden Artikel. Dabei gehen wir auf das geltende Datenschutzrecht in Deutschland ebenso ein, wie auf die voraussichtlich 2018 in Kraft tretende europäische Datenschutz-Grundverordnung.

Die Datenschutzprüfung anhand des Standard-Datenschutzmodells

Das von den deutschen Aufsichtsbehörden entwickelte Standard-Datenschutzmodell (SDM) soll in vier Schritten zur selbsttätigen Prüfung und Verbesserung des Datenschutzes im Unternehmen befähigen: Auf die Kontextanalyse der Datenverarbeitung sowie eine rechtliche Bewertung der einzelnen Datenverarbeitungen folgt die Spezifizierung der Gewährleistungsziele, um anschließend einen Soll-Ist- bzw. Soll-Plan-Vergleich durchführen zu können. Im dritten Beitrag der activeMind Artikelserie erläutern wir Ihnen die erfolgreiche Anwendung des Standard-Datenschutzmodells inklusive aller notwendigen Prüfschritte.

Die neue Vorratsdatenspeicherung: Was erwartet speicherpflichtige Unternehmen?

Der Deutsche Bundestag hat im Oktober 2015 gegen großen Widerstand von Datenschützern ein neues Gesetz zur Vorratsdatenspeicherung verabschiedet. Anbieter von Telefon- und Internetdiensten – nachfolgend: „verpflichtete Unternehmen“ – müssen spätestens ab 1. Juli 2017 sowohl Verbindungsdaten als auch Standortdaten von Nutzern für eine bestimmte Dauer speichern. Die Daten sollen von Behörden zur Aufklärung von Straftaten genutzt werden können. Auch wenn noch unklar ist, ob das Gesetz vor dem Bundesverfassungsgericht Bestand haben wird, sollten speicherpflichtige Unternehmen frühzeitig aktiv werden, um keine Bußgelder zu riskieren. Die wichtigsten Punkte zum neuen Gesetz haben wir nachfolgend für Sie zusammengefasst.

Unternehmen im datenschutzrechtlichen Würgegriff der US-Behörden

Wie stark nutzen US-amerikanische Behörden eigentlich ihr Recht, personenbezogene Daten von Unternehmen zu kontrollieren? Angesichts der spektakulären Entscheidung des Europäischen Gerichtshofs (EuGH), den Datentransfer in die USA auf Grundlage des Safe-Harbor-Abkommens für unwirksam zu erklären, gewinnt diese Frage neue Brisanz. Immerhin führte das Gericht die massenhaften und unkontrollierten Überprüfungsaktivitäten US-amerikanischer Behörden als wichtiges Argument an. Denn dies sei nicht mit den datenschutzrechtlichen Regelungen der EU vereinbar, so der EuGH. Wie aktuelle Veröffentlichungen zeigen, lag der Gerichtshof mit seiner Urteils-Begründung noch näher an der Realität, als zu befürchten war.

Patientenakten & Datenschutz: Was müssen Ärzte bei einer Praxisübernahme beachten?

Wechselt eine Arztpraxis ihren Besitzer, stellt sich die Frage, ob der Nachfolger die Patientenakten vom Vorgänger übernehmen darf. Denn natürlich lohnt es sich für den neuen Arzt, den Patientenstamm zu übernehmen, weil so ein Kerngeschäft bereits vorhanden ist. Doch bei den vorhandenen Patientenakten des Vorgängers ist neben dem klassischen Patientengeheimnis auch der Datenschutz zu beachten. Immerhin handelt es sich bei Gesundheitsdaten um höchst sensible personenbezogene Daten. Wie mit alten Patientenakten bei Praxisübernahme oder Praxisauflösung umgegangen werden sollte, erfahren Sie in diesem Artikel.

Vom Patriot Act zum Freedom Act: Datenschutz in den USA

Am 2. Juni 2015 einigte sich der US-Senat auf den Freedom Act, eine gesetzliche Regelung, die Teile des abgelaufenen Patriot Acts ablöst. Die Neufassung unter anderem der Teile, die die Telekommunikationsdaten und ihre Überwachung betreffen, war notwendig geworden, um der amerikanischen Öffentlichkeit nach den Enthüllungen Edward Snowdens das Vertrauen in ihre Behörden wiederzugeben. Gemäß dem Freedom Act dürfen amerikanische Behörden (z. B. die NSA) nicht mehr massenhaft Daten von Betroffenen sammeln. Vor dem Hintergrund der vernichtenden Entscheidung des EuGH über das Safe-Harbor-Abkommen stellt sich nun für Unternehmen die Frage, ob durch den Freedom Act der internationale Datentransfer zwischen EU-Staaten und den USA ermöglicht, bzw. erleichtert wird?

Einflüsse auf das ISMS gemäß DIN ISO/IEC 27001:2015 erfassen

Damit ein Informationssicherheitsmanagementsystem (ISMS) funktioniert, muss die Situierung des Unternehmens angemessen erfasst werden. Denn nur wenn sämtliche Einflüsse auf das Unternehmen bekannt sind, kann eine vollumfängliche Abschätzung der Bedrohungen und Chancen erfolgen. Wichtig ist es daher, dass das Unternehmen als Teil einer Gesamtstruktur gesehen wird, welche nicht allein von internen Faktoren beeinflusst sondern auch von externen Faktoren affektiert wird. Die neue deutsche Version (DIN ISO/IEC 27001:2015) der ISO 27001 Sicherheitsnorm formuliert konkrete Anforderungen, wie dies geschehen sollte. Wir erklären das Procedere in drei Schritten.

Die neue Risikoanalyse nach DIN ISO/IEC 27001:2015

Durch die Einführung der neuen deutschen Version DIN ISO/IEC 27001:2015 haben sich auch die Vorgaben für die Risikoanalyse im Rahmen der ISO 27001 verändert. Grund dafür ist der Verweis der Risikoanalyse auf die ISO/IEC 31000 Norm, welche Grundsätze und Richtlinien für ein funktionierendes Risikomanagement festlegt. Daher erfahren Sie in diesem Artikel alles Wichtige zu Planung und Durchführung der Risikoanalyse entsprechend des neuen Sicherheitsstandards.