Datenschutzbeauftragte im Fokus der Aufsichtsbehörden

Wie benennen Organisationen in der EU ihre Datenschutzbeauftragten? Welche Aufgaben haben diese? Wie ist es um die Fachkunde der eingesetzten Personen bestellt? Dies und vieles mehr wollten die Datenschutz-Aufsichtsbehörden in einer länderübergreifenden Umfrage herausfinden. Die Ergebnisse fallen zwar etwas besser aus als zu erwarten war. An den benannten Defiziten sollten Verantwortliche jedoch dringend arbeiten.

Über die Umfrage der Aufsichtsbehörden

In einer durch den Europäischen Datenschutzausschuss (EDSA) koordinierten Aktion fragten die Aufsichtsbehörden im Jahr 2023 länderübergreifend Benennung, Stellung, Qualifikation, Ressourcen und Aufgaben von Datenschutzbeauftragten ab.

Die Fragen der Aufsichtsbehörden und ihre jeweilige Bedeutung haben wir in einer früheren Version dieses Artikels beschrieben. Sie finden diese zu Dokumentationszwecken hier:

Fragen und ihre Bedeutung

Allgemeine Fragen zur Organisation

Name, Handelsregisternummer o.ä.

Dies erlaubt die eindeutige Identifikation des Verantwortlichen. Hier verstecken sich keine Stolperfallen.

Anzahl der Mitarbeiter

Bereits diese Angabe lässt für sich schon erste Rückschlüsse darauf zu, welche Anforderungen an das Datenschutz-Managementsystem (DSMS) der Organisation zu stellen sind und wie groß der interne Unterrichtungs- und Beratungsbedarf ist, den der Datenschutzbeauftragte abdecken muss. Diese Aufgabe nennt Art. 38 Absatz 1a) DSGVO als allererste. Wie bei später folgenden Fragen auch, erlaubt die Antwort Schlussfolgerungen in Bezug auf die notwendigen Ressourcen und Kapazitäten des Datenschutzbeauftragten, die in der Praxis oft nicht ausreichend vorhanden sind.

Branche/Sektor

Abhängig vom Tätigkeitsbereich der Organisation ist das tatsächliche und rechtliche Umfeld mehr oder weniger komplex. Die Beratung eines regionalen Handwerksbetriebs ist wesentlich einfacher als die Unterstützung beispielsweise eines Onlinehändlers oder eines Pharma-Unternehmens. Die Information spielt damit für die zu erwartende Fachkunde des Datenschutzbeauftragten eine Rolle.

Für die Praxis entscheidend wird sein, ab wann die Aufsichtsbehörden einen einmaligen Kurs zum zertifizierten Datenschutzbeauftragten nicht mehr als genügend ansehen und welche Qualifikation tatsächlich gefordert ist.

Aktuelle Zahl der Kunden der Organisation, wobei zwischen Privatkunden und Firmenkunden unterschieden wird

Die Information spielt wiederum eine Rolle hinsichtlich der Zahl und der Komplexität der zu erwartenden Anfragen an den Datenschutzbeauftragten. Zusätzlich beeinflusst der Kundenkreis die notwendige Fachkunde, da sich die Regelungen im B2B- und B2C-Bereich teilweise unterscheiden. In der Gesamtschau mit den noch später zu beantwortenden Fragen, lassen sich Rückschlüsse auf mögliche Defizite ziehen.

Ist die Organisation die Hauptniederlassung des Unternehmens?

Die rechtliche Selbstständigkeit ist entscheidend für die Verortung der datenschutzrechtlichen Verantwortlichkeit. Welche Stelle muss die datenschutzrechtlichen Anforderungen eigentlich umsetzen und geschieht dies korrekt?

Aktuelle Anzahl weiterer Niederlassungen in EU/EWR

Hat eine verantwortliche Stelle weitere Niederlassungen, die nicht rechtlich selbstständig sind, beeinflusst dies die Tätigkeit des Datenschutzbeauftragten. Kann er auch unter Berücksichtigung des lokalen Landesrechts korrekt beraten? Ist er in der Lage, falls notwendig vertraulich – und damit in der jeweiligen Landessprache – mit Betroffenen zu kommunizieren? Beides ist in der Praxis oft nicht der Fall. Insbesondere hilft es nicht, auf Englisch als vermeintliche Unternehmenssprache zu verweisen.

Aktuelle Anzahl weiterer Niederlassungen in Drittländern

Wird diese Frage bejaht, eröffnet das eine große Zahl möglicherweise unangenehmer Nachfragen, da sämtliche bekannten Probleme in Bezug auf den Transfer von Daten in Drittländern im Raum stehen, die sich allesamt derzeit oft nur schwer lösen lassen.

Besteht ein Betriebsrat

Nachdem der Gesetzgeber mittlerweile in § 79a BetrVG klargestellt hat, dass der Betriebsrat keine eigene verantwortliche Stelle ist, ist der bestellte Datenschutzbeauftragte auch für diesen zuständig. Damit steigen die Anforderungen an die Fachkunde und auch der anzunehmende Beratungsbedarf wird insgesamt höher anzusetzen sein, was erneut die Ressourcenfrage aufwirft.

Name und Kontakt der Antwortenden Personen sowie Rolle in der Organisation

Neben der Sammlung der für eine Kommunikation notwendigen Angaben lässt die Antwort Rückschlüsse darauf zu, wie ernstzunehmend die gegebenen Antworten tatsächlich sind und welche Bedeutung der Anfrage in der Organisation gegeben wird.

Ist die den Fragebogen beantwortende Person der Datenschutzbeauftragte der Organisation

Wird der Fragebogen durch den Datenschutzbeauftragten selbst beantwortet, könnte dies ein Indiz darauf sein, dass einige Antworten möglicherweise geschönt oder sogar unzutreffend sind. Immerhin gibt der Datenschutzbeauftragte Auskunft zu seiner eigenen Stellung und Tätigkeit. Wie auch in anderen Fällen ist fraglich, ob er das in allen Fällen unvoreingenommen machen kann.

Fragen zu Benennung, Fachkenntnis und Erfahrung des Datenschutzbeauftragten

Hat die Organisation einen Datenschutzbeauftragten benannt und falls ja, aufgrund welcher Grundlage?

Hier wird geklärt, ob ein Datenschutzbeauftragter bestellt ist und aufgrund welcher Verpflichtung bzw. ob die Bestellung freiwillig erfolgte. Der Fragebogen zählt sämtliche Faktoren auf, die in Deutschland die Pflicht zur Bestellung eines Datenschutzbeauftragten auslösen. Dies sind neben der Mitarbeiterzahl unter anderem auch bestimmte Tätigkeitsbereiche oder Verarbeitungsumstände.
Es wird auch gefragt, warum trotz Verpflichtung gegebenenfalls kein Beauftragter bestellt ist.

Seit wann ist der aktuelle Datenschutzbeauftragte benannt?

Das genannte Datum könnte Rückfragen auslösen, falls das Bestellungsdatum deutlich jünger als die DSGVO ist oder die Bestellung sogar erst nach Zugang des Fragebogens erfolgte.

Fungiert der Datenschutzbeauftragte als gemeinsamer Datenschutzbeauftragte für eine Unternehmensgruppe?

Falls ja, sind die entsprechenden Unternehmen zu nennen. Neben der reinen Erfassung dieser Information lässt der Umstand wiederum Rückschlüsse auf die erforderliche Fachkunde und die benötigten Ressourcen des Datenschutzbeauftragten zu.

Handelt es sich um einen internen oder externen Datenschutzbeauftragten?

Bei Bestellung eines externen Datenschutzbeauftragten wird zusätzlich abgefragt, wie viele Arbeitsstunden pro Monat der Beauftragte für seine Aufgaben aufwenden kann und welche Leistungen nicht in den monatlichen Arbeitsstunden enthalten sind. Die Frage geht eindeutig dahin, ob die beauftragten Ressourcen ausreichen. Hier wird in der Praxis vor allem interessant, wie die Aufsichtsbehörden die nicht gerade seltenen Vertragsgestaltungen beurteilen, bei denen sich der externe Datenschutzbeauftragte für ein geringes Entgelt lediglich auf dem Papier bestellen lässt, ansonsten aber keine Leistungen erbringt.

Für welche Dauer ist der Datenschutzbeauftragte benannt?

Bei Befristung ist neben der Dauer an sich auch die Planung für die Zeit danach offenzulegen.

Die Frage, ob eine Befristung ohne sachlichen Grund überhaupt erfolgen darf, ist nicht eindeutig geklärt. Immerhin werden dadurch gerade beim internen Datenschutzbeauftragten die Schutzmechanismen ausgehebelt, die seine Unabhängigkeit sichern sollen. Geht man davon aus, dass eine Befristung zulässig ist, wird gegebenenfalls eine zu kurze Zeit der Bestellung Rückfragen auslösen. Dies eben auch vor dem Hintergrund, dass der Datenschutzbeauftragte unabhängig sein muss und davor geschützt sein soll, nicht auch unbequem sein zu können.

Beim internen Datenschutzbeauftragten wird nach dessen organisatorischer Zugehörigkeit/Position gefragt.

Hintergrund der Frage ist der Ausschluss eines Interessenskonflikts für den Datenschutzbeauftragten. Etliche Führungspositionen oder Verantwortliche innerhalb einer Organisation dürfen eindeutig nicht zum Datenschutzbeauftragten benannt werden.

Zusätzlich wird das Organigramm der Organisation verlangt, aus dem auch hervorgeht, wo der Datenschutzbeauftragte verortet ist. Auch wenn die Frage sich streng genommen wohl nur an Organisationen mit internen Beauftragten richtet, empfiehlt es sich auch für Organisationen mit externen Datenschutzbeauftragten, das Organigramm mitzusenden.

Ob sich der Datenschutzbeauftragte im Organigramm überhaupt findet und an welcher Position, ist aussagekräftig für Gewichtung der Position und für die Frage, ob das Recht zum unmittelbaren Vortrag an die oberste Managementebene gewahrt ist, wie es Art. 36 Abs. 3 DSGVO zwingend vorsieht.

Der nächste Punkt des Fragebogens befasst sich mit der Qualifikation des Datenschutzbeauftragten.

Es sind aus insgesamt acht Kategorien die passenden anzukreuzen, wobei die Bereiche recht grob gefasst sind. Abgefragt werden Erfahrung oder Fachwissen in den Bereichen:

  • Datenschutzfragen und Fragen der Privatsphäre
  • Informationssicherheit
  • Management und/oder Entwicklung von Informationssystemen
  • Datenschutzverfahren/-prozesse
  • Geschäftsprozesse der Branche oder des Sektors
  • Rechtsvorschriften über die Verarbeitung und den Schutz personenbezogener Daten
  • Leitlinien der Aufsichtsbehörden
  • Spezifische Rechtsvorschriften für die Branche oder den Sektor

Es fragt sich, inwieweit sich die Aufsichtsbehörden hier tatsächlich brauchbare und belastbare Angaben erhoffen.

Welche Faktoren wurden bei der Benennung des Datenschutzbeauftragten als Voraussetzung festgelegt?

Achtung, diese Frage bezieht sich offensichtlich nicht allein auf die Auswahl des letztendlich bestellten Beauftragten, sondern an die im Vorfeld festgelegten Anforderungen, anhand derer die Bestellung dann erfolgte. Die interessante Folgefrage wäre, ob die Organisation den zur Suche des geeigneten Kandidaten erstellen Anforderungskatalog und daran orientierte Auswahl auch nachweisen könnte. Wie in der Frage zuvor sind allerdings die genannten Bereiche erneut sehr offen formuliert:

  • Fachwissen zum Datenschutzrecht
  • Fachwissen zur Datenschutzpraxis
  • Fachwissen über Datenschutzanforderungen, die sich aus besonderen Rechtsvorschriften für die Branche oder den Sektor ergeben
  • Fähigkeit zur Erfüllung der Aufgaben
  • sonstige berufliche Qualifikation

Dass in der Aufzählung auch die Möglichkeit besteht, anzugeben, dass der Datenschutzbeauftragte keinerlei Expertise besitzt, aber seine Benennung zwingend war, entbehrt nicht einer gewissen Komik.

Wie viele Jahre Berufserfahrung hat der Datenschutzbeauftragte hinsichtlich der Anwendung und Auslegung von datenschutzrechtlichen Anforderungen?

Hier ist die Zeit anzugeben, gestaffelt in mehrere Bereiche in einer Gesamtspanne von unter einem Jahr bis über acht Jahre. Abgefragt wird hier die tatsächliche Qualifikation.

Über wie viele Jahre einschlägige Erfahrung verfügte Datenschutzbeauftragte?

Nach der allgemeinen Erfahrung wird hier nach der branchenspezifischen Berufserfahrung gefragt. Auch hier ist die Zeit in mehreren Bereichen anzugeben, beginnend wieder bei unter einem Jahr bis über acht Jahren.

Interessant ist die Zusatzfrage. Sofern die Organisation mehrere Geschäftsfelder/Kompetenzbereiche besitzt, ist die Berufserfahrung des Datenschutzbeauftragten entsprechend aufzuschlüsseln.

Wie viele Stunden pro Jahr bildet sich der Datenschutzbeauftragte jährlich fort, um seine Qualifikation und sein Fachwissen weiterzuentwickeln bzw. aufrechtzuerhalten?

Die Stunden sind in mehreren Bereichen anzugeben, beginnend von null bis über 32 Stunden.

Fragen zu Aufgaben und Ressourcen des Datenschutzbeauftragten

Hat die Leitung der Organisation die Aufgaben des Datenschutzbeauftragten klar definiert und eine schriftliche Beschreibung der Aufgaben des Datenschutzbeauftragten gefertigt?

Wie allgemein bei der Delegation oder Zuweisung von Aufgaben sonst auch, wird hier abgefragt, ob dies konkret, ausdrücklich und belegbar erfolgte. Auch wenn nach aktuellen Datenschutzrecht, die Bestellung des Datenschutzbeauftragten an sich nicht mehr schriftlich erfolgen muss, empfiehlt sich daher nach wie vor, eine Dokumentation zu führen.

Eine entsprechende Dokumentation wird zusammen mit dem ausgefüllten Fragebogen von der Aufsichtsbehörde angefragt.

Wurden der Belegschaft die Bestellung des Datenschutzbeauftragten und seine Aufgaben mitgeteilt?

Die Antwort auf diese Frage lässt Rückschlüsse darauf zu, welche Bedeutung der Position und Bestellung des Datenschutzbeauftragten intern beigemessen wird. Indirekt wird zusätzlich offengelegt, ob denn auch die Mitarbeiter entsprechend der Pflichten aus Art. 13 und 14 DSGVO über die Verarbeitung ihrer Daten informiert werden. Die Kontaktdaten des Datenschutzbeauftragten sind zwingender Inhalt dieser Informationen.

Entspricht die dokumentierte Beschreibung der Aufgaben des Datenschutzbeauftragten den tatsächlichen Aufgaben in der Organisation?

Hier wird überprüft, ob sich Auswahl und Bestellung sowie Aufgaben des Datenschutzbeauftragten mit den tatsächlichen Anforderungen des Unternehmens decken.

Welche Aufgaben werden dem Datenschutzbeauftragten übertragen?

Bei dieser Frage sind wiederum aus einer Liste mit mehreren Punkten die zutreffenden anzukreuzen. Die Liste entspricht den Aufgaben des Datenschutzbeauftragten, wie sie sich aus dem Gesetz ergeben. Berechtigte Rückfragen dürften die Aufsichtsbehörde also insbesondere haben, wenn einzelne Kreuze fehlen.

Welche Aufgaben sind dem Datenschutzbeauftragten zusätzlich zu seinen gesetzlichen Aufgaben übertragen?

Die hier zu findende Liste enthält einige typische Beispiele aus der Praxis sowie Raum für freie Angaben. Bemerkenswert ist, dass hier tatsächlich eine Fangfrage gestellt wird. Jedes hier gesetzte Kreuz bietet Raum für unangenehme Rückfragen, da die ausformulierten Aufgaben ausschließlich solche sind, die der Datenschutzbeauftragten nicht verantwortlich übernehmen darf.

Gerade welche Auswirkungen die hier gegebenen Antworten in der Praxis haben werden, ist sehr interessant. Immerhin gibt es nicht wenige externe Datenschutzbeauftragte, die eben gerade die Übernahme genau solcher unliebsamen Aufgaben versprechen.

Beim internen Datenschutzbeauftragten wird nun nach dem Umfang Beschäftigung gefragt; Voll- oder Teilzeit.

Anzugeben ist, welcher Teil der Arbeitszeit den Aufgaben des Datenschutzbeauftragten gewidmet ist. Es sind Spannen vorgesehen von 0-100 %.

Neben der Antwort darauf, ob die resultierenden Zeiten den Anforderungen des Unternehmens angemessen sind, wird hier auch geklärt, ob die Frage der Ressourcen überhaupt jemals thematisiert und korrekt geklärt wurde. Nachdem der Zeitanteil eines internen Mitarbeiters für diesen auch arbeitsrechtlich erhebliche Auswirkungen haben kann – die Bestellung zum internen Datenschutzbeauftragten ist immerhin eine Änderung des eigenen Arbeitsvertrages –, ist es sehr verwunderlich, dass in der Praxis sehr oft gar nicht darüber gesprochen wird.

Die unmittelbar folgende Frage ist auf den ersten Blick ähnlich wie die gerade gestellte. Nun wird aber unabhängig vom vertraglichen Beschäftigungsumfang nach der tatsächlichen Arbeitszeit gefragt, die der Datenschutzbeauftragte für die Wahrnehmung seiner Aufgaben und Pflichten hat.

Die Antwort ist anzukreuzen. Es sind mehrere Bereiche von unter 5 % bis 100 % vorgesehen. Der Rückschluss auf die Angemessenheit der zeitlichen Ressourcen liegt auf der Hand.

Steht dem Datenschutzbeauftragten ein Team zu seiner Unterstützung zur Verfügung und wenn ja, in welchem personellen Umfang?

Es sind auch hier verschiedene Bereiche vorgegeben, aus denen die zutreffende Antwort anzukreuzen ist. Je nach Organisation wird klar sein, dass der Datenschutzbeauftragten die Aufgaben nicht alleine bewältigen kann. Letztlich geht es auch hier wieder um die Angemessenheit der Ressourcen bzw. der aufgebauten Organisation.

Hat der Datenschutzbeauftragter einen Stellvertreter? Ja oder nein.

Auch wenn gesetzlich nirgends festgeschrieben ist, stellt sich ab einer gewissen Schwelle die Frage nach einer Vertretung. Ist das zu erwartende Grundrauschen datenschutzrelevanter Anfragen hoch genug, wird es nicht mehr ausreichend sein, Abwesenheiten des Datenschutzbeauftragten nicht durch eine weitere Person abzufangen.

In der nächsten Frage ist man zum Selbstbekenntnis berufen. Betrachtet man die Ressourcen für ausreichend oder nicht?

Man darf die Antwort auch verweigern …

Ist dem Datenschutzbeauftragten ein Budget zugewiesen?

Diese Frage stellt sich insbesondere beim internen Beauftragten. Beim externen ergibt sich diese durch den Auftrag und dessen Inhalt. Im Ergebnis geht es erneut um die Angemessenheit der gestellten Ressourcen.

Sofern dem Datenschutzbeauftragten ein Budget zugewiesen wurde, kann er darüber unabhängig bestimmen?

Neben der Angemessenheit der Ressourcen dürfte hier auch abgeprüft werden, wie es um die gesetzlich vorgesehene Weisungsfreiheit des Beauftragten tatsächlich bestellt ist.

An nächster Stelle wird erneut abgefragt, ob der Datenschutzbeauftragte in der entsprechenden Organisation weitere gegebenenfalls kritische Aufgaben oder Rollen übernimmt.

Aus einer Liste, die in etwa der oben bereits genannten entspricht, können die entsprechenden Bereiche ausgewählt werden. Auch hier sind einige Punkte vorhanden, die einen Interessenskonflikt mit sich bringen und daher kritisch zu betrachten sind.

Wie viele interne Anfragen erhält der Datenschutzbeauftragte durchschnittlich pro Monat?

Die Frage ist zweischneidig. Die Antwort lässt einerseits Rückschlüsse darauf zu, inwieweit die Ressourcen ausreichend sind, wenn die Zahl recht hoch ausfällt.

Eine zu geringe Anzahl an Anfragen könnte aber auch ein deutlicher Hinweis darauf sein, dass der Datenschutzbeauftragte bei weitem nicht so frühzeitig und umfangreich in die täglichen Prozesse einbezogen wird, wie es gesetzlich vorgesehen ist.

Fragen zu Rolle und Stellung des Datenschutzbeauftragten

In welchem Umfang wird der Datenschutzbeauftragte an der Bearbeitung und Lösung von datenschutzrechtlichen Fragen beteiligt?

Hier wird geklärt, ob der Datenschutzbeauftragte angemessen einbezogen, komplett übergangen oder – wie immer noch oft üblich – bis kurz vor Schluss vergessen wird.

Im direkten Zusammenhang wird jetzt gefragt, ob denn die Einbeziehung des Datenschutzbeauftragten überhaupt vorgeschrieben bzw. vorgesehen ist.

Ist in den Prozessen berücksichtigt, unter welchen Voraussetzungen und wie der Datenschutzbeauftragte zu beteiligen ist? Damit wird eine der wesentlichen Grundvoraussetzungen für ein funktionierendes Datenschutz-Managementsystem abgefragt.

Erhält der Datenschutzbeauftragte die für seine Aufgaben notwendigen Informationen?

Auch diese Frage berührt das Fundament eines funktionierenden Datenschutz-Managementsystems.

Wird dem Rat des Datenschutzbeauftragten gefolgt?

Die möglichen Folgen einer Antwort auf diese Frage sind selbsterklärend. Je weniger dem Rat des Datenschutzbeauftragten gefolgt wird, desto mehr wird die Aufsichtsbehörde gegebenenfalls wissen wollen, warum.

Werden die Gründe dokumentiert, warum dem Rat des Datenschutzbeauftragten nicht gefolgt wird?

Die Frage wird auf die Fälle zielen, in denen es (hoffentlich…) mehrere rechtlich akzeptable Vorgehensweisen gibt. Letztendlich wird die dokumentierte Entscheidungsfindung unter Berücksichtigung datenschutzrechtlicher Erwägungen beim Verantwortlichen geprüft.

Werden dem Datenschutzbeauftragten Weisungen hinsichtlich seiner Aufgaben und Pflichten erteilt?

Auch dies ist eine Fangfrage. Nachdem der Datenschutzbeauftragte nach dem Gesetz weisungsfrei ist, dürfte es nur eine mögliche Antwort geben.

Wurde der Datenschutzbeauftragte jemals für die Wahrnehmung seiner Aufgaben und Pflichten sanktioniert?

Hier gilt das gleiche wie bei der Frage zuvor. Eine Benachteiligung des Datenschutzbeauftragten aufgrund der Wahrnehmung seiner Aufgaben ist unzulässig. Dementsprechend gibt es nur eine Antwort, die nicht zu Rückfragen führt.

Berichtet der Datenschutzbeauftragte regelmäßig der höchsten Führungsebene und wenn ja, wie oft?

Mögliche Antworten sind anzukreuzen, die Bandbreite reicht von null bis mehr als vier Berichte pro Jahr.

Die Verantwortung für die Umsetzung des Datenschutzes verbleibt immer bei Management. Dieses kann zwar teilweise Aufgaben delegieren, die Gesamtverantwortung aber nicht abgeben. Es verbleiben auch einige Pflichten beim Management, die nur wahrgenommen werden können, wenn es angemessen informiert ist.

Dementsprechend wird ein angemessenes Berichtswesen erwartet. Es ist ohnehin unverzichtbarer Bestandteil eines funktionsfähigen Datenschutz-Managementsystems.

Die Vorfrage wird abgerundet durch die Frage nach der Berichtsform und ob der Bericht vorgestellt wird und falls ja, wem.

Auch hier sind mehrere Antwortmöglichkeiten vorgegeben. Keine Rückfragen offen lassen dürfte allein ein schriftlicher Bericht, der der Unternehmensleitung übermittelt und/oder vorgestellt wird.

Soweit Berichte o.ä. vorhanden sind, möchte die Aufsichtsbehörde den aktuellsten überlassen bekommen.

Sind die Kontaktdaten des Datenschutzbeauftragten veröffentlicht und ist die Meldung an die Aufsichtsbehörde erfolgt?

Hier wird kurz und knapp abgefragt, ob zwei ganz wesentliche gesetzliche Pflichten erfüllt wurden. Wer nicht zu beiden Punkten ja sagen kann, wird Rückfragen erwarten müssen.

Ergänzend wird die Frage nach dem Weg gestellt, auf dem die Kontaktdaten des Datenschutzbeauftragten veröffentlicht sind.

Es stehen mehrere Optionen zur Auswahl. Im Ergebnis entscheidend wird die Erreichbarkeit und Auffindbarkeit der Angaben für sämtliche Personen sein, denen diese Information zur Verfügung gestellt werden muss.

Haben betroffene Personen die Möglichkeit, sich bei Fragen zur Verarbeitung ihrer personenbezogenen Daten oder bei der Ausübung ihrer Rechte als Betroffene an den Datenschutzbeauftragten zu wenden?

Die Frage kann mit Ja oder Nein beantwortet werden. Bei Ja sind ergänzend noch die hierfür angebotenen Kommunikationswege zu nennen.

Überraschenderweise wird nicht nach der gesetzlich geforderten Vertraulichkeit gefragt, obwohl in der Praxis gerade bei vielen externen Datenschutzbeauftragten lediglich eine allgemeine Adresse angeboten wird, bei der die Vertraulichkeit nicht zweifelsfrei gewahrt werden kann.

Wie oft wenden sich betroffene Personen pro Monat an den Datenschutzbeauftragten?

Antworten sind in Bereichen von null bis über 200 vorgesehen und entsprechend anzukreuzen. Neben einem Rückschluss auf die Angemessenheit der insbesondere zeitlichen Ressourcen des Datenschutzbeauftragten könnte eine besonders hohe Zahl von Anfragen auch auf andere grundlegende Probleme im Datenschutz hinweisen.

Fragen zur Unterstützung seitens der Aufsichtsbehörde

Der Fragebogen endet mit einer kleinen Umfrage in Bezug auf die Tätigkeiten und Unterstützung der Aufsichtsbehörden. Hier sind keine Angaben hinsichtlich der Organisation mehr notwendig, daher geben wir die beiden Fragen zusammengefasst und unkommentiert wieder:

  • Sollte die Aufsichtsbehörde die Kontaktdaten der Datenschutzbeauftragten veröffentlichen?
  • Welche Art weiterer Unterstützung wird von den Aufsichtsbehörden gewünscht?

Seit dem 16. Januar 2024 liegt nun die Auswertung der mehr als 17.000 Antworten durch den Europäischen Datenschutzausschuss vor.

Was ergab die Kontrolle der Datenschutzbeauftragten?

Vorweg – die Ergebnisse sind nicht so schlecht, wie man es hätte annehmen können. Zu einem beachtlichen Anteil werden die Anforderungen an die Bestellung eines Datenschutzbeauftragten offenbar recht gut erfüllt.

Von diesem Ergebnis wird man allerdings realistischerweise einige Abstriche machen müssen. Immerhin haben offenbar 2/3 (!) der angeschriebenen Stellen die erbetenen Auskünfte gar nicht erst erteilt.

Dass in den verbleibenden Fällen die Mehrzahl der befragten Stellen unter anderem angibt, dass ihr Datenschutzbeauftragter für seine Aufgaben geeignet ist, die notwendige Unterstützung erhält und immer korrekt einbezogen wird, war vorhersehbar und sollte niemanden wirklich überraschen. Angesichts der Umstände der Erhebung waren eher positiv formulierte Antworten zu erwarten, denen gegenüber eine gesunde Skepsis angebracht ist. Es ist gut, dass der EDSA sich dessen bewusst ist und dies an etlichen Stellen des Berichts auch klar durchblicken lässt.

Unterm Strich ergab die Kontrolle aber eindeutig, dass es in zu vielen Fällen noch nicht richtig läuft. Die Pflichten im Zusammenhang mit der Bestellung eines Datenschutzbeauftragten müssen insgesamt noch deutlich ernster genommen werden.

Welche wesentlichen Defizite identifizierten die Aufsichtsbehörden?

In diesem Abschnitt geben wir einen knappen Überblick über die Mängel, die mittels der Kontrolle der Datenschutzbeauftragten aufgedeckt wurden, und zeigen Ansätze zur Lösung, soweit diese nicht auf der Hand liegen.

Bestellungspflicht

Etliche Verantwortliche sind sich nicht darüber im Klaren, dass sie einen Datenschutzbeauftragten bestellen müssen, andere kommen dieser Pflicht bewusst nicht nach. In einer nennenswerten Zahl von Fällen erachten es Stellen auch nicht für nötig, sich hinsichtlich der Frage ausreichend zu informieren. Insbesondere öffentliche Stellen haben offenbar gehäuft verkannt, dass sie als solche einen Datenschutzbeauftragten bestellen müssen.

Ressourcen

Häufig haben Datenschutzbeauftragte zu wenig Ressourcen. Bei internen Beauftragten müssten diese von der benennenden Organisation selbst ausreichend bereitgestellt werden. Gerade bei Beauftragten, die diese Aufgabe nur in Teilzeit wahrnehmen, wurde jedoch oft festgestellt, dass diesen eine insgesamt zu hohe Arbeitslast aufgebürdet wird, was zwangsläufig dazu führt, dass Aufgaben vernachlässigt werden. Explizit der öffentliche Sektor ist offenbar besonders stark von diesem Problem betroffen.

Aber auch bei Bestellung eines externen Datenschutzbeauftragten bleibt der Verantwortliche weiterhin in der Pflicht und muss sicherstellen, dass der externe Berater erstens in ausreichendem Umfang beauftragt wird und zweitens dann auch ausreichend Ressourcen bietet. In diesem Zusammenhang werden im Bericht ausdrücklich die in der Praxis häufigen Fälle angesprochen, in denen der externe Datenschutzbeauftragte so viele Mandate angenommen hat, dass es faktisch ausgeschlossen ist, die einzelne Bestellung noch korrekt zu erfüllen. Verantwortliche werden explizit aufgerufen, diesen Umstand sorgfältig zu prüfen und in ihre Auswahlentscheidung einzubeziehen.

Auch bemängelt wurde, dass für den Datenschutzbeauftragten oftmals keine Vertretung besteht, obwohl dies notwendig wäre.

Fachkunde

Datenschutzbeauftragte sind oft nicht ausreichend qualifiziert. Die notwendige Fachkunde fehlt gehäuft bereits im Zeitpunkt der Bestellung und wird auch nicht kontinuierlich aufrechterhalten oder bei Notwendigkeit vertieft. Im Bericht wird ausdrücklich betont, dass der Datenschutzbeauftragte ausgewiesenes Expertenwissen besitzen muss, welches nicht durch Berufserfahrung ersetzt werden kann. Übrigens haben in der Umfrage 30% der Datenschutzbeauftragten eine Berufserfahrung von nur drei bis fünf Jahren angegeben, weitere gut 12% sogar noch weniger. Offensichtlich schuf die Einführung der DSGVO einen Bedarf, der einen extrem leichten Marktzugang eröffnete.

Die notwendige Fachkenntnis ist von Fall zu Fall zu bestimmen und muss vorhanden sein oder geschaffen werden. Entsprechender Schulungsbedarf ist also nicht nur bei Mitarbeitern festzustellen und zu erfüllen, sondern auch in Bezug auf den Datenschutzbeauftragten. Dass die bestellte Person tatsächlich ausreichend qualifiziert ist, fällt zuerst einmal in den Verantwortungsbereich des Bestellenden. Der Beauftragte selbst haftet erst in zweiter Linie, wenn er mehr Fachkunde vorspiegelt, als tatsächlich vorhanden ist.

Einbeziehung des Datenschutzbeauftragten

Die Einbindung des Beauftragten erfolgt in großem Umfang nicht korrekt.

Der Datenschutzbeauftragte müsste rechtzeitig und angemessen in alle Angelegenheiten einbezogen werden, die datenschutzrelevant sein können. Der vom Beauftragten erteilte Rat sollte dann auch Berücksichtigung finden und davon abzuweichen, sollte begründet werden. All dies ist oft leider nicht der Fall.

Aufgabenverteilung und -trennung

Die Aufgaben des Verantwortlichen und die Aufgaben bzw. Pflichten des Datenschutzbeauftragten werden unzulässigerweise vermischt und nicht sauber voneinander getrennt. An einer Beschreibung der Aufgaben des Datenschutzbeauftragten mangelt es offenbar oft.

Es gibt diverse Aufgaben, die der Datenschutzbeauftragte nicht wahrnehmen darf, die ihm in der Praxis aber immer wieder angetragen werden. Er darf insbesondere keine Aufgaben übernehmen, die das Gesetz dem Verantwortlichen selbst zugewiesen hat. Auf der anderen Seite ist oft nicht sichergestellt, dass der Datenschutzbeauftragte alle seine gesetzlichen Aufgaben erfüllen kann. Der Beauftragte darf schließlich keinen Interessenskonflikten ausgesetzt sein.

Weiterlesen: Verantwortung, Haftung und Delegierbarkeit des Datenschutzes.

Unabhängigkeit

In etlichen Fällen sind Datenschutzbeauftragte durch Vertrag oder Budget gebunden und nicht unabhängig in der Ausübung ihrer Tätigkeit. Es darf aber für den Beauftragten kein wie auch immer gearteter Druck aufgebaut werden, gefällig im Sinne der Organisation zu beraten und nicht unbequem zu sein.

Berichtswesen und Vortragsrecht

Der Beauftragte für den Datenschutz ist deutlich zu häufig nicht korrekt unmittelbar dem obersten Management unterstellt und berichtet nicht ausreichend an dieses. Beides muss aber gewährleistet sein.

Was sollten Verantwortliche nun unternehmen?

Die Defizite hinsichtlich Benennung, Position und Aufgaben der Datenschutzbeauftragten sind bekannt, der Handlungsbedarf liegt auf dem Tisch. Ob jetzt auch die Durchsetzung erfolgt, bleibt abzuwarten. Die Aufmerksamkeit der Aufsichtsbehörden ist jedenfalls geweckt und die an der Kontrolle beteiligten Behörden sind offenbar weiterhin mit der Aufarbeitung der Ergebnisse beschäftigt. Mit der Veröffentlichung des Berichts steht aber die Erwartungshaltung in vielen Bereichen fest.

Organisationen und deren Verantwortliche sollten daher zur Sicherheit die oben angesprochenen Punkte prüfen und nötigenfalls Korrekturmaßnahmen ergreifen. Mit der Bestellung irgendeines Beauftragten oder dem Bezug irgendwelcher Software zur Umsetzung von Datenschutzanforderungen sind die Pflichten nicht zweifelsfrei erfüllt. Ggfs. ist über die Abberufung des internen Datenschutzbeauftragten oder die Vertragsbeendigung mit anschließendem Wechsel des externen Datenschutzbeauftragten nachzudenken.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Schutzmaßnahmen vor Phishing-Angriffen

Phishing – das Erbeuten und Ausnutzen von Zugangsdaten – gehört zu den häufigsten Angriffsmethoden auf IT-Systeme. Unternehmen sind gut beraten, sich mit den folgend beschriebenen Maßnahmen vor Phishing-Angriffen zu schützen.

Wie wichtig ist die Phishing-Abwehr?

Wer die Presse auch nur halbwegs aufmerksam verfolgt, dem wird auffallen, wie häufig mittlerweile Nachrichten über gehackte Unternehmen und Einrichtungen sind, die dann von professionellen Banden erpresst werden. Ob Behörden, Krankenhäuser, Großindustrie, Hotelketten, Mittelständler – angegriffen wird, wer angreifbar ist. Die Umsätze der (teilweise semistaatlichen) Banden gehen in Millionenhöhe. Die erzeugten Schäden gehen noch weit darüber hinaus, da neben dem Lösegeld auch noch Reparaturkosten und ggfs. Bußgelder drohen – ganz zu schweigen vom Imageverlust.

Ein möglichst guter Schutz setzt dabei so früh wie möglich an. Da ein Hauptangriffsvektor ist, erschlichene oder gestohlene Zugangsdaten zu verwenden, und sich von dort aus weiter in die Systeme zu arbeiten, beginnt der Schutz bei der Abwehr von Phishing und Social Engineering.

Die Bedrohung ist so massiv, dass sich mittlerweile auch staatliche Stellen vermehrt mit Hinweisen an die Öffentlichkeit wenden. Im Folgenden fassen wir die Hinweise der US-amerikanischen Cyber Security and Infrastructure Security Agency (CISA) zusammen. Das verlinkte Dokument enthält noch weit mehr Informationen und Hinweise für interessierte Kreise. Wer sich vertieft mit dem Thema Phishing-Abwehr beschäftigen will, dem sei die Lektüre ans Herz gelegt.

Schulung und Sensibilisierung von Mitarbeitern

Wie in sehr vielen anderen Bereichen auch, ist es sehr wichtig, Mitarbeiter im Unternehmen für Phishing-Angriffe zu sensibilisieren. Alle Mitarbeiter sollten möglichst in der Lage sein, zu erkennen, ob eine Kommunikation oder ihr Inhalt in irgendeiner Weise verdächtig ist oder sein kann. Jeder Mitarbeiter muss wissen, wie er bei verdächtiger Kommunikation reagiert und dass insbesondere keine Links oder Anhänge etc. geöffnet werden dürfen.

Entsprechende Schulungsmaßnahmen müssen flächendeckend und gegebenenfalls wiederholt durchgeführt werden. Sie sollten möglichst auf die konkrete Situation der eigenen Organisation zugeschnitten sein. Eine lediglich theoretische allgemeine Schulung wird nicht den gewünschten Erfolg haben.

Tipp: Testen Sie jetzt die interaktive Informationssicherheits-Schulung für Mitarbeiter bei activeMind.academy – natürlich mit einem Kapitel zum Thema Phishing!

Technische Maßnahmen zur Phishing-Abwehr

Domain-based Message Authentication (DMARC)

Angreifer versuchen beim Phishing möglichst vertrauenswürdig aufzutreten. Nicht selten wird dazu vorgegaukelt, der Kontakt käme von intern, etwa indem eine E-Mail eine gefälschte interne Absenderadresse zeigt. Noch häufiger wird vorgetäuscht, die Nachricht käme von einem vertrauenswürdigen Partner, wie einer Bank oder einem IT-Dienstleister.

Domain-based Message Authentication baut auf dem Sender Policy Framework (SPF) und Domain Keys Identified Mail (DKIM) auf und kann solche Fälschungen erkennen. Vereinfacht gesagt wird überprüft, ob der in der Mail genannte und der tatsächliche Absender zusammenpassen.

Wichtig ist, dass die Technik nicht nur eingesetzt, sondern auch streng konfiguriert ist. Dubiose E-Mails sollten direkt am empfangenden Mailserver abgewiesen werden. Viele Organisationen scheuen diesen Schritt, da unter bestimmten Umständen auch einige legitime Nachrichten aussortiert werden können. Das Risiko, einzelne Nachrichten zu verpassen, bei denen sich der Absender – sollte es irgendwie wichtig sein – im Zweifel nochmals auf anderem Wege meldet, sollte im Vergleich zum Sicherheitsgewinn jedoch tragbar sein.

Monitoring von E-Mail und Messaging

Der interne Netzwerkverkehr sollte daraufhin überwacht werden, ob es verdächtige Abweichungen im Vergleich zur in der Organisation üblichen Nutzung von E-Mail und Messengern gibt.

Einführung weiterer Sicherheitsmechanismen

Organisationen sollten Überlegungen anstellen, welche weiteren Sicherheitstools eingesetzt werden können. Sinnvoll sind etwa Lösungen, die eine Manipulation des Domain Name Systems (DNS) erschweren.

Einsatz von Multifaktor Authentifizierung (MFA) als zusätzliche Absicherung starker Passwörter

Zumindest für einige Anmeldevorgänge mehr vorauszusetzen als lediglich einen Benutzernamen und ein Passwort, ist einer der wesentlichsten Schritte zur Erhöhung der Sicherheit. Jede Organisation sollte entsprechende Überlegungen anstellen, MFA einzusetzen.

Neben der Auswahl der geeigneten Lösung, sollten MFA-Anmeldeversuche dann auch überwacht werden. Angegriffene Zugänge müssen gegebenenfalls gesperrt werden und der Angriff als solcher sollte Verantwortlichen im Unternehmen auch bekannt sein.

Nur ergänzend sei darauf hingewiesen, dass MFA die Notwendigkeit der Verwendung starker und sicherer Passwörter nicht ersetzt.

Externer Zugang nur per VPN

Externe Verbindungen zum internen Netzwerk sollten ausschließlich per VPN möglich und in diesem Fall zwingend mittels MFA abgesichert sein.

Malwareschutz

Dass ein möglichst guter und aktueller Virenschutz zu den grundlegenden Maßnahmen gehört, ist meist bekannt. Er kann durch einige zusätzliche Schritte noch verbessert werden.

Bereits an Gateway und Firewall sollten Regeln eingerichtet werden, die bestimmte Vorgänge von vornherein unterbinden. Auch die gezielte Sperre bestimmter Adressen im Internet und ausgewählter Dateiarten, die anfällig für Infektionen sind, kann hilfreich sein.

Keine privilegierten Berechtigungen für Benutzer

Dieser Rat ist nicht neu, wird aber immer noch häufig missachtet. Unterbesetzte oder sonst überlastete IT, begehrliche Vorgesetzte oder Bequemlichkeit führen zu einer sehr leicht zu schließenden Sicherheitslücke: zu umfangreiche Zugriffs- und Bearbeitungsrechte.

Benutzer sollten weder lokal noch sonst irgendwelche privilegierten Rechte besitzen, sondern sich diese – falls erforderlich und unvermeidbar – im Einzelfall bei Bedarf gesondert verschaffen können. Jeder Benutzer sollte nur die Rechte erhalten, die er zwingend benötigt, um die ihm zugewiesenen Aufgaben zu erledigen (Need-to-know-Prinzip).

Die tägliche Arbeit unter erhöhten Rechten zu verrichten, ist grob fahrlässig.

Ausschließlicher Einsatz zugelassener Anwendungen

Nicht nur aus Sicht des Datenschutzes müssen Anwendungen technisch und juristisch beurteilt werden, auch allgemein aus Sicht der Informationssicherheit ist dies äußerst ratsam. Empfehlenswert ist in allen Fällen eine abschließende Liste nach ausführlicher Prüfung freigegebener Anwendungen, die möglichst zentral installiert/verteilt oder aber intern über eine vertrauliche Quelle zur Verfügung gestellt werden. Ebenfalls sollten verfügbare Updates für diese zugelassen Anwendungen unverzüglich und möglichst automatisiert und zwingend eingespielt werden.

Diese Maßnahme kann sinnvoll ergänzt werden durch die Blockade von Makros.

Reaktion auf Phishing-Vorfälle

Besteht der begründete Verdacht, dass Anmeldeinformationen kompromittiert oder Malware ausgeführt wurde, muss darauf reagiert werden:

  • Betroffene Zugänge sollten deaktiviert/gesperrt und gegebenenfalls neu eingerichtet werden.
  • Die Verwendung der betroffenen Konten sollten gründlich untersucht werden, welche Aktivitäten Angreifer gegebenenfalls bereits durchgeführt haben und dass diese Tätigkeiten jetzt beendet sind.
  • Möglicherweise infizierte Hardware ist zu isolieren und darf keinen Internet- oder Netzwerkzugang mehr haben. Gefundene Malware ist zu untersuchen und nach Möglichkeit zu beseitigen.
  • Betroffene Geräte dürfen erst wieder eingesetzt werden, wenn sie vollständig auf den Normalbetrieb zurückgesetzt wurden und ihre ordnungsgemäße Funktion sichergestellt ist.

Tipp: Lesen Sie auch unseren Ratgeber zum Umgang mit bereits erfolgten Phishing-Angriffen.

Fazit

Angesichts der sehr hohen Risiken sollten alle Organisationen bzw. Unternehmen völlig unabhängig ihrer Größe das Thema Phishing-Abwehr sehr ernst nehmen. Phishing- bzw. Social-Engineering-Angriffe erfolgen teilweise voll automatisiert oder auf Bestellung. Angreifer interessiert es in erster Linie, Systeme zu kompromittieren. Ob sich das Ziel lohnt, ist eine ganz andere Frage. Verantwortliche müssen sich glasklar darüber sein, dass niemand zu klein oder uninteressant ist.

Die genannten Schutzmaßnahmen können das Risiko von Phishing-Angriffen deutlich verringern und sollten für alle Einrichtungen geeignet sein. Benötigen Sie dabei Hilfe, stehen Ihnen die Experten von activeMind gerne unterstützend zur Seite.

Bestellen Sie jetzt einen unserer Experten als externen Informationssicherheits-Beauftragten für Ihr Unternehmen und bringen Ihre Abwehrkräfte auf Hochformat!

Geschrieben am:

Informationssicherheits-Managementsystem (ISMS)

Wenn es um IT- und Datensicherheit geht, kommt immer wieder der Begriff des Informationssicherheits-Managementsystems (ISMS) ins Spiel. Doch was genau ist ein ISMS? Inwiefern kann man Informationssicherheit systematisch managen? Welche Organisationen sollten sich damit beschäftigen? Was für Vorteile bietet die Errichtung eines ISMS?

Was ist ein ISMS?

Wie schon der Begriff sagt, geht es um ein System zum Management von Informationssicherheit. Gemeint ist der Prozess – oder vielmehr die Gesamtheit der einzelnen Prozesse – die eine Stelle etabliert, um

  • die eigenen Anforderungen im Bereich der Informationssicherheit auf eine geregelte Art und Weise zu erfüllen,
  • den Erfolg dieser Bemühungen zu messen und
  • notwendige Anpassungen vorzunehmen.

Wie bei anderen Managementsystemen (etwa: Datenschutz-Managementsystem – DSMS) ist auch beim ISMS ein Vorgehen typisch und sinnvoll, welches sich an den vier Schritten Plan, Do, Check und Act (PDCA-Zyklus bzw. Demingkreis) orientiert.

Plan / Planen

In diesem unverzichtbaren Schritt zu Beginn geht es erst einmal darum, überhaupt zu verstehen, welche Ziele es in einem bestimmten Bereich zu erreichen gilt.

  • Was muss man konkret erreichen?
  • Warum muss man dies erreichen? Etwa weil es ein Gesetz unmittelbar vorgibt (z.B. IT-Sicherheitsgesetz) oder mittelbar über Branchenspezifische Sicherheitsstandards (B3S, z.B. zur medizinischen Versorgung) oder weil man vertraglich dazu verpflichtet ist?
  • Drohen Haftung oder andere Nachteile, die man vermeiden möchte? Man spricht hier von Risiken, die vermieden werden sollen.

Ebenso sollte bedacht werden, was man zwar nicht erreichen muss, aber gerne erreichen will. Gibt es eine bestimmte Erwartungshaltung auf dem Markt? Bekommt man den interessanten Auftrag leichter oder sogar nur, wenn bestimmte Voraussetzungen erfüllt werden (z.B. in der Automobilindustrie der Standard TISAX)?

Möchte man unabhängig solcher externen Gesichtspunkte die eigenen Prozesse verbessern und das Unternehmen unabhängig von bestimmten Einzelpersonen machen? Ist ein weiteres Wachstum nur möglich, wenn das eigene Vorgehen strukturierter wird? Solche Chancen sollten ebenfalls bekannt sein.

Die Norm ISO 27001 spricht hier insgesamt vom Kontext der Organisation, den es festzustellen gilt. Welche Erwartungen und Abhängigkeiten bestehen und welche Parteien haben an diesen ein Interesse? Kurz gesagt: Was verlangen Inhaber, Gesellschafter, Anteilseigner, Kunden, Aufsichtsbehörden und nicht zuletzt der Gesetzgeber?

Wer also ein ISMS errichten will, muss im Schritt Plan die verbindlichen Kriterien festgelegen, nach denen Risiken identifiziert, beurteilt und gewichtet werden.

Ergebnis dieser ganzen Überlegungen ist eine Vielzahl von Regelungen, in denen vorgegeben wird, was, wie und auf welchem Wege mit welchen Mitteln und durch wen als Verantwortlichem erreicht werden soll.

Nachdem die Gesamtverantwortung immer beim Management liegt, muss dieses selbst die verfolgte Strategie in einem zentralen, übergeordneten Dokument verbindlich festlegen und auch aussagen, wo und wofür diese überhaupt gelten sollen. Der sogenannte Geltungsbereich für das geplante ISMS muss definiert und vorgegeben werden. Oft wird dieses Dokument als Leitlinie bezeichnet.

Neben dem Geltungsbereich ist unter anderem auch vorzugeben, welche Organisation aufgebaut wird und welche konkreten Verantwortlichkeiten darin verteilt werden. Zentral ist etwa, dass ein Informationssicherheitsbeauftragter (ISB) eingesetzt wird, der auch konkrete Aufgaben und dazu passende Befugnisse erhält.

Aus den in der ISMS-Leitlinie enthaltenen Vorgaben leitet sich alles weitere ab. Die eher abstrakten Regelungen der Leitlinie müssen durch weitere Regelungen ergänzt und ggf. ausgefüllt werden, so dass am Ende jeder einzelne Prozess angemessen detailliert beschrieben ist.

Um ein griffiges Beispiel zu nennen:

  1. Die Leitlinie sagt abstrakt aus, dass Netzwerke abgesichert sein müssen.
  2. Dies wird ergänzt durch Regelungen, die erklären, was das konkret bedeutet: Also beispielsweise: „Einsatz einer Firewall, Netzwerksegmentierung, Verschlüsselung“.
  3. Irgendwann am Ende der Kette steht dann das Konzept für den spezifischen Einzelfall: Welche konkrete Firewall wird eingesetzt und wie ist diese im Detail zu konfigurieren?

Do / Umsetzen

In diesem Schritt der ISMS-Errichtung erfolgt die Umsetzung – und zwar nur und exakt wie geregelt. Stellt man hier bereits fest, dass es wie geplant doch nicht funktioniert, darf nicht allein die Umsetzung angepasst werden, sondern es ist zwingend auch die zuvor erstellte Regelung entsprechend zu verändern.

Alles steht unter der Voraussetzung, dass die höherrangigen Vorgaben und insbesondere die Leitlinie beachtet sind. Entsprechend ist vorzugehen, wenn sich etwa herausstellt, dass Prozesse vergessen wurden. Gegebenenfalls ist die Dokumentation des bislang nur gelebten (aber nicht dokumentierten) Prozesses nachzuholen. Dabei ist er darauf zu prüfen, ob er mit den allgemeinen Vorgaben des ISMS in Einklang steht.

Auch die regelmäßige Bewertung und ggf. erneute Bewertung von Risiken erfolgt auf dieser Stufe des Informationssicherheits-Managementsystems.

Check / Überprüfen

Nach der Umsetzung tritt man nun gedanklich einen Schritt zurück und betrachtet die Ergebnisse. Sind die Ziele auf den vorbestimmten Wegen erreicht worden? Es geht um die Selbstkontrolle, die Messung, interne Audits. Essentiell hierfür sind dementsprechend messbare Ziele, die sich bereits in den Regelungen finden lassen sollten. Was wird wie oft kontrolliert und was ist der Sollzustand bei einer Kontrolle?

Act / Handeln

Stellt sich bei einer Kontrolle heraus, dass die Vorgaben nicht erreicht wurden, geht es an die Fehleranalyse. Warum hat etwas nicht funktioniert und was muss angepasst werden, damit es in Zukunft besser läuft? Die Notwendigkeit, über diese Fragen nachzudenken, kann natürlich auch ungeplant entstehen. Jeder Vorfall im Bereich der Informationssicherheit liefert Anlass zur Selbstreflektion.

Welche Vorteile hat ein ISMS?

Die Vorteile eines Informationssicherheits-Managementsystems liegen auf der Hand. Es obliegt sowieso jedem Unternehmen bzw. jeder Organisation, die eigenen Prozesse angemessen im Griff zu haben. Dies gehört schlichtweg zur sorgfältigen Geschäftsführung; wer diese Pflichten vernachlässigt, haftet möglicherweise. Zudem gibt es mittlerweile immer mehr Vorschriften, die Informationssicherheit ausdrücklich vorschreiben (Datenschutz-Grundverordnung, Gesetze im Zusammenhang mit Kritischen Infrastrukturen).

Weitere Aspekte eines ISMS wurde bereits angesprochen. Das Vorgehen nach PDCS führt zwangsläufig dazu, dass ein Unternehmen insgesamt besser wird. Die eigenen Prozesse werden immer wieder hinterfragt. Durch die Dokumentation sind Abläufe nicht nur eingeweihten Spezialisten bekannt, sondern können kurzfristig durch andere übernommen werden. Die Zielerreichung wird gemessen. Am Ende steht die Suche nach Verbesserungsmöglichkeiten. Insgesamt betrachtet, ist die Idee, vorher nachzudenken, dann geplant zu handeln und die Ergebnisse im Auge zu behalten, ja vielleicht auch in anderen Bereichen sinnvoll.

Zuletzt noch der Hinweis, dass ein ISMS zertifizierbar und damit objektiv nachweisbar ist. Im Bedarfsfall ein Zeugnis einer akkreditierten Stelle in der Hand zu haben, welches schwarz auf weiß belegt, dass etwa ein ordnungsgemäßes ISMS nach der ISO 27001 besteht, kann ein enormer Vorteil sein. Auftraggeber und Kunden verlassen sich auf solch ein Siegel. Es hebt das eigene Unternehmen für Interessenten aus der Masse der Anbieter heraus. Es bezeugt, dass Informationssicherheit ernst genommen und nach anerkannten Regeln betrieben wird.

activeMind berät und betreut Unternehmen und Organisationen seit vielen Jahren im Bereich ISMS. Gerne helfen wir auch Ihnen, ein geeignetes ISMS einzuführen und erfolgreich zertifizieren zu lassen. Sogar mit Erfolgsgarantie!

Geschrieben am:

NIS2UmsuCG: Gesetzesentwurf zur Umsetzung der NIS-2-Richtlinie

Im Zuge der NIS2-Richtlinie kommen auf Unternehmen in der EU diverse neue und strengere Pflichten zu. Nun wurde der Referentenentwurf für das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG) bekannt.

Da es sich noch um einen Gesetzentwurf handelt, stellen wir hier nur eine Auswahl der geplanten Regelungen vor.

Wer wird vom NIS-2-Umsetzungsgesetz adressiert?

Das Gesetz führt diverse Definitionen auch hinsichtlich der verpflichteten Stellen ein. Wer im Ergebnis verpflichtet ist oder ausnahmsweise nicht verpflichtet ist, wird zukünftig noch durch eine Rechtsverordnung im Detail bestimmt. An den Grundregeln, wie sie die NIS2-Richtlinie einführte, ändert sich aber nichts.

Welche Stellen letztendlich als wichtig bzw. besonders wichtig oder gar als kritisch zählen, muss im Einzelfall und mit Blick auf die dann dazugehörige Verordnung geklärt werden. Die Darstellung sämtlicher Möglichkeiten führt im Rahmen dieses Beitrags zu weit.

Grundsätzlich sollten aber alle Unternehmen, die mindestens als „mittleres Unternehmen“ eingestuft sind, das weitere Gesetzgebungsverfahren aufmerksam verfolgen. Im Entwurf sind als mittlere Unternehmen definiert:

„Unternehmen oder rechtlich unselbständige Organisationseinheiten einer Gebietskörperschaft, die
a) mindestens 50 und höchstens 249 Mitarbeiter beschäftigen und zudem einen Jahresumsatz von weniger als 50 Millionen EUR oder eine Jahresbilanzsumme von weniger als 43 Millionen EUR aufweisen oder
b) weniger als 50 Mitarbeiter beschäftigen und einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mindestens 10 Millionen EUR und einen Jahresumsatz von höchstens 50 Millionen EUR sowie eine Bilanzsumme von höchstens 43 Millionen EUR aufweisen.“

Ebenfalls aufmerksam sollte jene Stellen sein, die einer von Richtlinie und Gesetz genannten Branchen zugehören:

  • Energie
  • Verkehr
  • Transport
  • Bankwesen
  • Finanzmarktinfrastruktur
  • Gesundheitswesen
  • Trinkwasser
  • Abwasser
  • digitale Infrastruktur
  • Verwaltung von IKT- Diensten oder Weltraum

Pflicht zum Risikomanagement

Adressierte Einrichtungen sind nach § 30 des Gesetzesentwurfs verpflichtet, verhältnismäßige technische und organisatorische Maßnahmen zu ergreifen, um Störungen von Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit zu vermeiden sowie Auswirkungen von Sicherheitsvorfällen zu verhindern oder möglichst gering zu halten.

Die Maßnahmen müssen angemessen sein und sollen den Stand der Technik berücksichtigen, insbesondere so, wie er in einschlägigen Normen enthalten ist. Damit sind klar Normen wie die ISO 27001 oder der IT-Grundschutz etc. gemeint. Für Betreiber kritischer Anlagen sollen dabei ausdrücklich erhöhte Anforderungen gelten, wobei das Gesetz allerdings nicht erkennen lässt, was damit gemeint ist und welche Anforderungen als normal anzusehen sind.

Ausdrücklich einbezogen werden müssen bei der Erwägung geeigneter Maßnahmen die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse.

Unternehmen müssen damit noch deutlich mehr als bisher ohnehin schon (Stichwort Auftragsverarbeitung im Datenschutz) einen kritischen Blick auf jeden einzelnen Lieferanten werfen. Im Gegenzug sollten sich Lieferanten darauf einstellen, dass künftig deutlich gesteigerte Erwartungen an sie gestellt werden dürften, die geforderten Nachweise zu erbringen. Wer seine Kunden behalten will, sollte diese bei der Wahrnehmung ihrer Pflichten vorausschauend und optimal unterstützen.

Damit werden sich die gesetzlichen Anforderungen vorhersehbar zumindest indirekt auf deutlich mehr Unternehmen auswirken als nur die direkten Adressaten des NIS2UmsuCG. Lieferanten werden dadurch gezwungen, vergleichbare Anforderungen zu erfüllen und dies auch nachweisen zu können.

Ein gefahrübergreifender Ansatz ist bei der Umsetzung von technischen und organisatorischen Maßnahmen zwingend und als Minimum werden ausdrücklich gefordert:

  1. Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme,
  2. die Bewältigung von Sicherheitsvorfällen,
  3. die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall sowie Krisenmanagement,
  4. die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern,
  5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
  6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit,
  7. grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit,
  8. Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung,
  9. Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen,
  10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Diese einzelnen Punkte sind im Grunde nur klarstellend. Sie sind im Rahmen eines tauglichen Informationssicherheits-Managementsystems (ISMS) ohnehin regelmäßig notwendig. Damit ergibt sich die Pflicht bereits aus der allgemeinen Anforderung, sich an den entsprechenden Normen zu orientieren. Allerdings wird denjenigen Stellen bzw. deren Verantwortlichen, die bislang den Aufwand vermeiden wollten, sich nach einer entsprechenden Norm zu richten, nun ausdrücklich der Weg versperrt. Vor allem die in der Praxis meist sehr ungeliebten Konzepte bzw. Regelungen erhalten so deutlich mehr Gewicht.

Nachweispflichten

Alle besonders wichtigen Einrichtungen sind nach § 39 des NIS2UmsuCG-Gesetzesentwurfs verpflichtet, dem BSI (Bundesamt für die Sicherheit in der Informationstechnik) die Erfüllung der vorgenannten Anforderungen nachzuweisen. Erstmalig ist der Nachweis nach zwei bzw. spätestens drei Jahren ab Inkrafttreten des Gesetzes fällig. Danach muss er alle zwei Jahre regelmäßig erbracht werden.

Der Nachweis kann durch Audits und Zertifizierungen erfolgen und aufgedeckte Sicherheitsmängel sind dabei dem BSI gegenüber offenzulegen. Auch kann das BSI verlangen, in die Prüfungsunterlagen Einsicht zu nehmen. Die Zeit für die in der Praxis leider immer noch häufig anzutreffenden kaum aussagekräftigen und vor allem für Dritte nicht nachvollziehbaren Prüfberichte, dürfte damit vorbei sein.

Meldepflichten

Wie in der NIS2-Richtlinie vorgesehen, sind adressierte Einrichtungen nach § 34 des Gesetzesentwurfs verpflichtet, Sicherheitsvorfälle an das BSI zu melden und zwar innerhalb von 24 Stunden nach Kenntniserlangung. Details zum Vorfall müssen unverzüglich, spätestens aber innerhalb von 72 Stunden nachgeliefert werden.

Zur Klarstellung: Diese Fristen beziehen sich nicht auf die eigenen Geschäftszeiten!

Direkte und persönliche Verpflichtung des Managements

§ 38 des Gesetzesentwurfs spricht nochmals klar und unmissverständlich aus, was sich bereits aus der Anwendung allgemeiner rechtlicher Grundlagen ergibt: Das Management ist persönlich verpflichtet, angemessene Maßnahmen zu veranlassen und kann diese Pflicht auch nicht auf andere abwälzen. Das Management haftet persönlich bei Pflichtverletzungen und das Unternehmen darf auf diese Ansprüche und deren Durchsetzung nicht verzichten. Die Grenze ist allein die Privatinsolvenz des Managers. Lediglich als Sollvorschrift wird Managern zudem aufgegeben, sich selbst regelmäßig in den relevanten Bereichen weiterzubilden.

Wie gesagt, § 38 wiederholt hier nur, was sich bereits aus dem allgemeinen Recht ergibt. Offenbar ist es allerdings notwendig, dies gesetzgeberisch klarzustellen.

Überprüfung und Durchsetzung durch das BSI

Bei besonders wichtigen Einrichtungen kann das BSI auch aktiv kontrollieren, wie es § 64 des Gesetzesentwurfs vorsieht. Auch kann das Bundesamt verbindliche Anweisungen erteilen und gegebenenfalls auch einen Beauftragten zur Überwachung einsetzen und das Management entmachten.

Bußgelder

Selbstverständlich enthält der Gesetzesentwurf in seinem § 59 auch Bußgeldvorschriften. Verstöße können mit sehr empfindlichen Bußgeldern geahndet werden, die im Bereich von 100.000 bis hin zu vielen Millionen Euro reichen können. Auch Zwangsgelder von bis zu 100.000 Euro sind möglich.

An dieser Stelle nochmals kurz der Verweis nach oben: Ein Rückgriff auf das Management ist vorgesehen, soweit dieses solche Schäden für das Unternehmen zu vertreten hat.

Fazit: Umsetzung rechtzeitig angehen ist der einzige Weg

Der Gesetzesentwurf enthält keine Überraschungen. Er präzisiert vieles, was in der NIS2-Richtlinie vorgesehen ist. Im Übrigen werden die Vorgaben der Richtlinie konsequent in das deutsche Recht überführt.

Der Handlungsdruck für adressierte Stellen ist hoch. Der erste Nachweis ist allerspätestens drei Jahre nach Inkrafttreten des NIS-2-Umsetzungsgesetzes fällig. Verantwortliche sollten sich darüber bewusst sein, dass diese Zeit sehr knapp sein kann, um nicht nur die eigenen Prozesse anzupassen, sondern auch alle Dienstleister entsprechend einzufangen und nicht zuletzt noch einen Termin zur rechtzeitigen Zertifizierung von einer akkreditierten Zertifizierungsstelle zu bekommen.

Nicht nur die Berater dürften völlig vorhersehbar knapp werden; auch die Zertifizierungstermine sind endlich. Wer nicht rechtzeitig dran ist, muss am Ende nicht wirklich überrascht sein, wenn er keinen passenden Audittermin mehr bekommt.

Bestellen Sie jetzt einen unserer Experten als externen Informationssicherheitsbeauftragten für Ihr Unternehmen!

Geschrieben am:

Vergleich von ISO 27001 und BSI-Grundschutz

Sowohl die internationale Norm ISO/IEC 27001 (nativ) als auch die deutsche ISO 27001 auf Basis IT-Grundschutz (BSI-Grundschutz) erlauben die Beurteilung und ggf. Zertifizierung eines Informationssicherheits-Managementsystems (ISMS). Beide Normen haben größere inhaltliche Schnittmengen, unterscheiden sich jedoch in der Methodik und auch die Zertifikate haben eine unterschiedliche Aussagekraft.

Gemeinsamkeiten von ISO/IEC 27001 (nativ) und ISO 27001 auf Basis IT-Grundschutz

Voraussetzung für eine Zertifizierung ist jeweils, dass ein Managementsystem für die Informationssicherheit aufgebaut ist und betrieben wird. Entsprechend des hierfür üblichen Plan-Do-Check-Act-Zyklus (PDCA-Zyklus) werden geplante, dokumentierte und funktionierende Prozesse erwartet, die es nicht nur erlauben, die Informationssicherheit aufzubauen, sondern auch, diese zu kontrollieren und laufend zu verbessern.

Sind diese Voraussetzungen erfüllt und nach Prüfung durch einen Auditor gegenüber der Zertifizierungsstelle bestätigt, kann grundsätzlich ein offizielles Zertifikat ausgestellt werden. Die Zertifikate haben eine Gültigkeit von drei Jahren bevor sie erneuert werden müssen. Während der Gültigkeitsdauer erfolgen jährliche Überwachungsaudits, die bestanden werden müssen.

Unterschiede von ISO IEC 27001 und BSI-Grundschutz

Der wesentliche Unterschied der beiden Normen für Informationssicherheit liegt darin, wie sie formal aufgebaut sind und was im Rahmen einer Zertifizierung belegt und durch das Zertifikat bestätigt wird. Ein Zertifikat nach ISO 27001 bescheinigt nur das korrekt eingerichtete ISMS. Nach IT-Grundschutz wird zusätzlich bezeugt, dass ein ausreichendes IT-Sicherheitsniveau erreicht wurde; neben dem funktionierenden Prozess wird also auch dessen tatsächliches Ergebnis bescheinigt.

ISO/IEC27001

Die ISO/IEC27001 konzentriert sich auf den Informationssicherheits-Prozess an sich. Die relevanten Regelungen sind mit noch nicht einmal 30 Seiten Text sehr knapp. Unternehmen müssen selbst geeignete Verfahren und Maßnahmen finden und umsetzen, um die identifizierten und analysierten Risiken auf ein akzeptables Niveau zu senken. Die Norm gibt hierfür zwar auch einige Maßnahmen vor, die allerdings ebenfalls allgemein gehalten sind und vom Verwender noch richtig interpretiert werden müssen (Anhang A zur ISO 27001 sowie die ergänzende Norm ISO 27002).

Das Vorgehen bietet damit zwar größeren Spielraum bei der Erreichung eines den eigenen Bedürfnissen tatsächlich angemessenen Schutzniveaus. Gefordert ist aber in besonderem Maße, die recht abstrakten Vorgaben der Norm selbst im Detail auszuarbeiten und mit angemessenem Inhalt zu füllen. Zentral ist die ausführliche Analyse der Risiken und deren Behandlung. Der hierfür erforderliche Aufwand und Ressourcenbedarf sind erheblich.

Das Zertifikat selbst sagt im Ergebnis nur aus, dass ein taugliches Informationssicherheits-Managementsystem eingerichtet ist und betrieben wird. Ein bestimmtes Niveau an Informationssicherheit wird nicht bescheinigt. Erst Recht wird keine Aussage über konkrete Maßnahmen getroffen. Bei einem sehr frischen Zertifikat kann es also durchaus sein, dass das tatsächlich erreichte Informationssicherheitsniveau noch nicht sehr hoch ist; der Inhaber ist lediglich bereits auf dem richtigen Weg.

Weiterlesen: Hier geht es zur ausführlichen Darstellung der ISO 27001.

BSI-Grundschutz

Die ISO 27001 auf Basis IT-Grundschutz betrachtet die Informationssicherheits-Prozesse selbstverständlich auch, jedoch ist die Herangehensweise eine andere. Das Vorgehen und die Anforderungen sind deutlich formalisierter.

Statt mit einer Risikoanalyse zu beginnen, ist beim IT-Grundschutz zuerst ein Managementsystem aufzubauen, welches den Vorgaben insbesondere des BSI-Standards 200-2 entspricht. In diesem Werk ist auf gut 180 Seiten die IT-Grundschutzmethodik festgehalten. Die Umsetzung hat grundsätzlich unabhängig eines konkreten Risikos zu erfolgen.

Der wesentliche Unterschied zur nativen Vorgehensweise ist der Umgang mit Risiken und den umzusetzenden Maßnahmen. Der IT-Grundschutz verlangt die Umsetzung bestimmter Maßnahmen ohne Betrachtung des Risikos. Diese Maßnahmen sollen einen allgemeintauglichen IT-Grundschutz sicherstellen. Erst nach Umsetzung der entsprechenden Maßnahmen wird dann überlegt, wo diese möglicherweise nicht ausreichen und müssen ggf. durch weitere Maßnahmen ergänzt werden. Insgesamt ist der Aufwand zur Zertifizierung damit höher, wenn auch linearer und aufgrund der Schematisierung vielleicht weniger fehleranfällig.

Die angesprochenen Maßnahmen waren früher in den IT-Grundschutzkatalogen enthalten und sehr exakt und bis ins Detail vorgegeben. Jedes Unternehmen musste genau die gleichen Dinge tun. Mit dem aktuellen IT-Grundschutzkompendium wurde vor einigen Jahren versucht, den abschreckenden Umfang des Werks zu verkleinern, um mehr Stellen zur Umsetzung des IT-Grundschutzes zu motivieren. Diese Änderung ging aber deutlich zu Lasten der Klarheit, da jetzt weitaus allgemeiner formulierte Anforderungen enthalten sind.

Trotz des im Vergleich zur Norm ISO 27001 bzw. ISO 27002 weiterhin wesentlich größeren Umfangs des Grundschutz-Kompendiums ist damit nun auch im Bereich IT-Grundschutz reichlich viel Interpretation gefragt. Das aber eröffnet auch Raum für unterschiedliche Auffassungen. Wo früher klar war, welche konkreten Maßnahmen ein Unternehmen mit IT-Grundschutz Zertifikat umgesetzt hatte, fehlt diese Eindeutigkeit nun. Auch wenn das IT-Grundschutz Zertifikat nach wie vor bescheinigt, dass nicht nur das Managementsystem eingerichtet ist, sondern eben auch das für den IT-Grundschutz notwendige IT-Sicherheitsniveau erreicht ist, können im Fragen im Einzelfall offenbleiben – etwa für Auftraggeber, die sehr konkrete Anforderungen haben. Ob diese erfüllt sind, kann nicht mehr im IT-Grundschutz nachgelesen werden, sondern ist beim Inhaber des Zertifikats zu erfragen. Die frühere Vergleichbarkeit im IT-Grundschutz ist leider verloren.

Bestellen Sie jetzt einen unserer Experten als externen Informationssicherheitsbeauftragten für Ihr Unternehmen und profitieren von Datensicherheit zum Flatratepreis!

Geschrieben am:

Kontrolle bei der Auftragsverarbeitung im Home-Office

Home-Office ist seit der Pandemie fester Bestandteil des Arbeitsalltags. Deswegen werden auch Mitarbeiter von Auftragsverarbeitern regelmäßig im Home-Office tätig. Obwohl zwingend notwendig, wird das Thema in Regelungen zur Auftragsverarbeitung sehr oft verschwiegen und darauf angesprochene Dienstleister verweigern sich der notwendigen Anpassung teils vehement.

Wir beleuchten die häufigsten Argumente von Auftragsverarbeitern und widerlegen diese.

Verantwortung im Rahmen der Auftragsverarbeitung

Die Verantwortung des Verantwortlichen wird durch das Outsourcing einer Verarbeitung personenbezogener Daten nicht geschmälert, sondern sie erweitert sich auf den Bereich des eingesetzten Auftragsverarbeiters. Sie wird also größer.

Wo und wie immer personenbezogene Daten nach Weisung durch den Verantwortlichen verarbeitet werden, muss dieser auch seinen Pflichten nachkommen und nachkommen können. Eine der wesentlichsten Pflichten ist die, für geeignete und angemessene technische und organisatorische Maßnahmen (TOM) zu sorgen (Art. 32 DSGVO) und deren Wirksamkeit auch zu prüfen und nachweisen zu können (Art. 5 Abs. 2 DSGVO, Art. 32 Abs. 1 d) DSGVO). Die zentrale Regelung zur Auftragsverarbeitung greift dies in Art. 28 Abs. 1 und 3 DSGVO ausdrücklich auf. Verstöße können mit den bekannten Bußgeldern geahndet werden, über den Umweg des Art. 5 Abs. 2 DSGVO in Verbindung mit Art. 83 Abs. 5 a) DSGVO sogar im maximal eröffneten Rahmen.

Andersherum formuliert, darf keine Verarbeitung personenbezogener Daten erfolgen, wenn dies außerhalb der Kontrollmöglichkeiten des Verantwortlichen geschieht. Das gilt sowohl, wenn die personenbezogenen Daten durch eigene Mitarbeiter außerhalb der eigenen Geschäftsräume verarbeitet werden, als auch, wenn Mitarbeiter eines eingesetzten Auftragsverarbeiters personenbezogene Daten im Rahmen des erteilten Auftrags außerhalb der Geschäftsräume des Auftragsverarbeiters verarbeiten. Kontrolle ist zwingend.

Noch eine Bemerkung vorweg: Dass das Thema insgesamt so stiefmütterlich behandelt wird, liegt sicher auch daran, dass es durch Datenschutzberater und Datenschutzbeauftragte vielfach vergessen oder ignoriert wird. Etliche kennen das Problem schon gar nicht oder denken nicht darüber nach. Eine Lösung anzubieten, ist zudem nicht ganz trivial. Wesentlich bequemer ist, keine schlafenden Hunde zu wecken. Liegt ein Vertrag zur Auftragsverarbeitung vor, wird nur schnell bewertet, was darin enthalten ist. Was darin noch stehen sollte, aber fehlt, bleibt unbetrachtet und so ist die eigene Arbeit auch schneller erledigt. Man hat ja immerhin als interner Datenschutzbeauftragter noch anderes zu tun bzw. als externer Datenschutzbeauftragter noch zig andere Kunden zu betreuen.

Im Ergebnis aber entsteht die große Hürde vor allem bei Auftragsverarbeitern, die sich regelmäßig mit Händen und Füßen wehren, sobald das Thema auf den Tisch kommt.

Warum verweigern sich Auftragsverarbeiter?

Falsches oder mangelndes Bewusstsein und fehlende Regelung

Viele Dienstleister haben es versäumt, den Aspekt der Kontrolle bei der Gewährung von Heimarbeit zu regeln. Sofern überhaupt bekannt, ist das Thema schließlich ein Stimmungskiller. Die Unternehmen stehen damit völlig nachvollziehbar vor Schwierigkeiten und eine insbesondere nachträgliche Veränderung wird von den eigenen Mitarbeitern schwer akzeptiert. Dies ändert aber nichts an der beschriebenen Ausgangslage und – wohl gemerkt – der Auftragsverarbeiter verstößt bereits in eigenen Angelegenheiten gegen den Datenschutz, da auch ihm selbst die vorgeschriebene Kontrolle nicht möglich ist und er damit konsequenterweise auch seine ureigene Rechenschaftspflicht nicht erfüllen kann. Das Problem entsteht also nicht erst durch einen unbequemen Auftraggeber!

Auch empfinden es viele Arbeitgeber als störend für den Unternehmensfrieden, in diesem Bereich Vorgaben und Einschränkungen zu machen. Schließlich hat man ausschließlich gute Mitarbeiter, denen man vollends vertrauen kann. Es besteht so oftmals eine große Scheu, eine Regelung zu treffen. Teilweise resultiert die Zurückhaltung auch, weil die technischen Voraussetzungen für ein sicheres Home-Office erst geschaffen werden müssten und neben der fehlenden Kenntnis, wie das überhaupt geht, auch die Investition gescheut wird.

Das Grundrecht auf Unverletzlichkeit der Wohnung

Diese Karte wird gerne von in die Enge getriebenen Auftragsverarbeitern bzw. den dahinterstehenden Datenschutzberatern gezückt. Es ist richtig, dass Art. 13 Grundgesetz die Unverletzlichkeit der Wohnung garantiert. Aber damit ist die Auseinandersetzung nicht zu Ende. Denn der Schutz personenbezogener Daten hat als „Recht auf informationelle Selbstbestimmung“ ebenso den Rang eines Grundrechtes. Und, um auch dies einmal herauszustellen: Die Datenschutz-Grundverordnung steht als EU-Recht rangmäßig über dem nationalen Recht, inklusive der Verfassung (also des Grundgesetzes), soweit nicht der verfassungsrechtliche Kernbereich angetastet wird.

Die reflexhafte Berufung auf das Grundgesetz ist damit dogmatisch nicht sauber. Im Ergebnis kann dies allerdings dahinstehen, da beide Grundrechte sich auch auf Ebene der EU finden. Art. 7 der EU-Grundrechtecharta regelt neben anderen Dingen auch den Schutz der Wohnung. Und dem Datenschutz ist Art. 8 sogar vollständig und ausschließlich gewidmet. Keines dieser Grundrechte geht automatisch vor und keines dieser Grundrechte kann nicht eingeschränkt werden, sofern es andere Rechte oder die Rechte anderer erfordern.

Abschließend noch der kleine Hinweis, dass Grundrechte in erster Linie gegenüber dem Staat schützen. Drittwirkung zwischen Privaten entwickeln sie, wenn überhaupt, nur mittelbar. Auch insoweit ist es nicht richtig, sich empört darauf zu berufen, dass durch eine vertragliche Regelung Grundrechte verletzt würden.

Bei dieser Argumentation wird zudem regelmäßig ignoriert, dass nirgends ein Grundrecht auf Home-Office definiert ist. Die Verarbeitung von personenbezogenen Daten ist ohne Gefährdung des Schutzes der eigenen Wohnung und gleichzeitig unter Beachtung des Datenschutzes aus den Geschäftsräumen möglich. Wer den Luxus in Anspruch nehmen möchte, zu Hause zu arbeiten, muss dementsprechend im erforderlichen Rahmen auf seinen eigenen Rechtsschutz verzichten. Dieser Aspekt müsste daher zwingender Bestandteil jeder Home-Office-Gewährung sein; auch außerhalb der Auftragsverarbeitung! Wer dem Verantwortlichen, egal ob Arbeitgeber oder dessen Kunde, die Wahrnehmung seiner eigenen Pflichten nicht ermöglichen will, kann dann halt nicht daheim arbeiten (siehe dazu auch die Handreichung des Bundesbeauftragten für den Datenschutz und die Informationssicherheit (BfDI) zum mobilen Arbeiten).

Ein Kontrollrecht wäre nicht angemessen oder unter Risikogesichtspunkten verzichtbar

Diese Einschätzung ist schlicht und ergreifend falsch. Die Verpflichtung zur Messung der Wirksamkeit von technischen und organisatorischen Maßnahmen und die Rechenschaftspflicht sind nicht abhängig von irgendeiner Angemessenheit oder aus Risikoerwägungen eingeschränkt. Lediglich im Bereich der Datensicherheit kann das Maß an technischen und organisatorischen Maßnahmen an der Angemessenheit ausgerichtet werden. Die Pflicht zur Kontrolle auch ggf. eingeschränkter Maßnahmen und diesbezügliche Nachweispflicht bleiben uneingeschränkt.

Alle anderen Kunden haben den Vertrag so akzeptiert

Das ist die Standardantwort auf so ziemlich jede Bemerkung, dass eine Regelung in einem Auftragsverarbeitungsvertrag nicht sinnvoll oder korrekt sein könnte. Noch nie hat das irgendwer sonst in Frage gestellt oder auch nur angesprochen und am Ende nicht glücklich akzeptiert. Zusammen mit der eigenen Beratung ist man völlig perplex, wie man überhaupt auf eine solch abwegige Idee kommen kann.

Wie auch in anderen Fällen: Es glauben sich viele besser beraten, als sie es tatsächlich sind.

Mitarbeiter fordern die Möglichkeit zum Home-Office

Dass Mitarbeiter auf Remote-Arbeit pochen, mag sicher sein, ist aber in diesem Zusammenhang leider kein valides Argument. Dies ist keine Rechtfertigung, Abstriche beim Datenschutz zu machen. Home-Office muss dann eben unter Bedingungen gewährt werden. Ein Recht des Mitarbeiters auf bedingungsloses Home-Office gibt es nicht.

Was müssten Auftragsverarbeiter als Arbeitgeber tun?

Wer Arbeit im Home-Office ohne Regelung gestattet, kann dieses Risiko natürlich unternehmerisch akzeptieren. Er muss sich aber darüber bewusst sein, dass er gegen den Datenschutz verstößt, was auch zu den entsprechenden Konsequenzen inklusive eines Bußgeldes führen kann. Wer im eigenen Haus schlampt, kann auch nicht darauf vertrauen oder gar erwarten, dass seine Auftraggeber ebenfalls damit einverstanden sind, soweit es deren Verantwortung betrifft. Dies dürfte auch ein Motiv sein, warum viele Verträge und Beschreibungen von technischen und organisatorischen Maßnahmen auf das unleidige Thema Home-Office gar nicht erst eingehen.

Kontrollieren können zu müssen, heißt nicht automatisch auch, tatsächlich kontrollieren zu kommen. Entscheidend ist, dass der Verantwortliche im Ernstfall kontrollieren könnte. Dass er dies auf jeden Fall macht, ist damit nicht gesagt. Die Kontrolle kann schließlich beispielsweise auch stellvertretend ausgeübt und nachgewiesen werden, etwa durch den jeweils eigenen Arbeitgeber. Dass Fremde neugierig in der Wohnung herumspazieren, ist also gar nicht zwingend gesagt.

Durch entsprechende Ausgestaltung der Technik kann auch der tatsächlich zu kontrollierende Bereich sehr stark eingeschränkt und dementsprechend auch eher einfach nachgewiesen werden. Das Kontrollrecht des verantwortlichen Auftraggebers kann damit für Fälle vorbehalten bleiben, in denen die Selbstkontrolle im Hause des Auftragsverarbeiters nicht erfolgt oder aber ungenügend ausfällt. Eine Regelung in diesem Sinne sollte für jeden Mitarbeiter akzeptabel sein.

Wie sonst auch, stellt sich andernfalls die Frage, inwieweit ein Mitarbeiter noch sinnvoll eingesetzt werden kann, wenn er sich ausdrücklich und nachdrücklich gegen Datenschutzerfordernisse stellt.

Tipp: Lesen Sie unsere ausführliche Anleitung zur Regelung von Home-Office bei Auftragsverarbeitern!

Fazit: Ohne Druck wird sich kaum etwas ändern

Wie auch in anderen Bereichen der Auftragsverarbeitung, wird es sehr häufig vorkommen, dass der eingesetzte Dienstleister notwendige Anpassungen und Zugeständnisse verweigert. Lieber wird der Auftrag nicht angenommen oder gekündigt. Dass in dem Zusammenhang dann teils unverblümt die Ansage erfolgt, dieses Vorgehen (im Klartext: die Beachtung des Datenschutzes in dem relevanten Bereich) entspräche nicht dem eigenen Geschäftsmodell, steht für sich und muss nicht weiter kommentiert werden.

Als Verantwortlicher hat man keine Druckmittel und die Aufsichtsbehörden scheinen auf diesem Auge blind zu sein. Unterstützung ist selbst bei konkreten Hinweisen und Anregungen offenbar nicht zu erwarten. Die in Bayern bereits vor Jahren angekündigte Prüfung, die die Komfortzone der Auftragsverarbeiter wenigstens leicht touchiert hätte, scheint nicht mehr zu kommen. Aktuell genießen Auftragsverarbeiter oft Narrenfreiheit.

Im Ergebnis bleibt Auftraggebern daher oft nur übrig, in den ganz sauren Apfel zu beißen und das Risiko sehenden Auges zu akzeptieren und den Dienstleister bewusst – also vorsätzlich (!) – nicht datenschutzkonform einzusetzen. Je größer die Abhängigkeit von einem speziellen Dienstleister, desto höher ist dieser Druck. Oftmals besteht tatsächlich oder vom (Konzern-)Management gewollt, auch keine Alternative zu einem Angebot. Schließlich und endlich ist die Dienstleistung häufig auch schon gekauft, bevor der Datenschutz noch schnell abgehakt werden muss. Hat der Dienstleister den Auftrag aber schon, ist seine Motivation für Zugeständnisse noch kleiner.

Solange nicht die überwiegende Mehrheit der Verantwortlichen vom Markt der Auftragsverarbeiter verlangt, konsequent und vollständig datenschutzkonform zu arbeiten, wird sich hieran leider auch nichts ändern. Vermutlich ist es erst notwendig, dass aufgrund von Klagen einige Fälle pressewirksam behandelt werden.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Ausschreibungen im Datenschutz

Organisationen aus dem öffentlichen Bereich dürfen größere Aufträge nicht einfach vergeben. Benötigte Leistungen müssen stattdessen ausgeschrieben werden. Das betrifft auch Leistungen im Bereich des Datenschutzrechts. Dabei kommt es jedoch oft zu Problemen. In diesem Artikel geben wir einige Hinweise, wie Ausschreibungen im Datenschutz für beide Seiten sinnvoller gestaltet werden können.

Ausschreibungen und die Kostenfalle

Die Experten von activeMind werden regelmäßig zur Teilnahme an Ausschreibungen eingeladen. Dabei fallen uns immer wieder die gleichen Punkte auf, die es schwierig machen, ein qualifiziertes Angebot zu erstellen.

Die Beschreibung der geforderten Leistungen ist oft so unqualifiziert, dass eine Beurteilung des voraussichtlichen Aufwands schlechterdings nicht möglich ist. Ein konkretes Angebot zum regelmäßig geforderten Festpreis lässt sich damit nicht oder kaum abgeben. Das Angebot müsste entweder einen Sicherheitszuschlag enthalten oder aber ins Blaue herein abgegeben werden, mit dem Risiko, dass die eigene Kalkulation nicht mehr stimmt und es wirtschaftlich nicht mehr möglich ist, die versprochene Leistung tatsächlich gut zu erbringen.

Nachdem aber auch typischerweise der Preis des Angebots mit einem extrem hohen Prozentsatz in der Entscheidung für einen Anbieter berücksichtigt wird, kommen Angebote nach der erstgenannten Alternative kaum zum Zug. Unter den Folgen leiden auch die Auftraggeber, die dann aus Kostengründen mit oberflächlicher Beratung und mittelmäßiger Umsetzung leben müssen.

Hauptfehler bei Ausschreibungen zum Datenschutz

In nahezu jeder Leistungsbeschreibung finden sich viele Anforderungen, die so ungenau formuliert sind, dass nicht ansatzweise klar ist, mit was für einem Umsetzungsaufwand zu rechnen ist.

Im Grunde ist das in etwa so, als würde bei einem Bauunternehmer die Errichtung eines Gebäudes bestellt, ohne zu verraten, ob es sich um eine Garage oder ein Bürohochhaus handelt. Um bei diesem Bild zu bleiben: Bei den meisten Ausschreibungen ist noch nicht mal erkennbar, ob überhaupt schon ein bebaubares Grundstück vorhanden ist und ob nicht darauf sogar noch eine marode Bruchbude steht, die zuerst mal beseitigt werden muss.

Einige typische Beispiele in Ausschreibungen zum Datenschutz:

  • Es sollen „alle notwendigen Regelungen überprüft oder überarbeitet werden“. Ob und wie viele Regelungen es gibt und wie alt und geeignet diese sind, wird nicht offengelegt.
  • Es sollen „alle Vertragsbeziehungen“ überprüft und „alle gefundenen Mängel“ behoben werden. Wie viele Verträge im Umlauf sind, wird nicht angegeben. Welcher Anteil davon datenschutzrelevant ist und ob und in welchem Umfang Anpassungen notwendig sind, bleibt unbekannt.
  • Entsprechend sollen alle Auftragsverarbeitungen geprüft und gegebenenfalls neu geregelt werden. Wie viele Dienstleister im Bereich welcher Datenverarbeitungen eingesetzt sind, wird nicht genannt.
  • Das Verzeichnis der Verarbeitungstätigkeiten soll geprüft und ggf. korrigiert werden. Die Zahl der eingesetzten Verarbeitungen kann jedoch nur anhand von Erfahrungswerten ganz ungefähr geraten werden.
  • Die gesamte Datensicherheit soll beurteilt und gegebenenfalls auf Stand gebracht werden. Auch in diesem Zusammenhang fehlen regelmäßig Details, die es erlauben, den Aufwand einzuschätzen.

In fast jeder Ausschreibung finden sich solche oder andere Punkte, bei denen nicht klar ist, was überhaupt konkret bestellt wird. Wie soll auf dieser Basis ein wirtschaftlich sinnvoller Festpreis kalkuliert werden?

Natürlich haben die meisten seriösen Berater eine gewisse Erfahrung, womit in einem bestimmten Umfeld zu rechnen ist und was typischerweise an Aufgaben anfällt. Hieran jedoch einen möglichst günstigen Festpreis zu knüpfen, mit dem festen Versprechen, alles zu erbringen, ist am Ende dennoch immer noch riskant. Besonders günstige Angebote werden irgendwann zwingend auf Kosten der Qualität gehen müssen.

Juristische Fehler in Ausschreibungen zum Datenschutz

Zudem werden immer wieder Leistungen gefordert, die der Datenschutzbeauftragte gar nicht erbringen darf:

  • Die „eigenverantwortliche Umsetzung“ der Leistungen ist hier an allererster Stelle zu nennen. Der Datenschutzbeauftragte darf keine Aufgaben verantwortlich übernehmen, die er am Ende selbst kontrollieren und beurteilen soll. Dies bringt einen unvermeidlichen Interessenskonflikt mit sich und stellt die Objektivität des Beauftragten infrage. Damit ist ein gesetzlich zwingendes Kriterium für die Bestellung eines Beauftragten nicht erfüllt (Art. 38 Abs. 6 DSGVO)! Die Person, die eine eigenverantwortliche Erledigung verspricht, darf nicht bestellt werden.
  • An der Verhandlung notwendiger Verträge kann sich der Datenschutzbeauftragte sicherlich beteiligen. Abschließen darf er diese jedoch nicht! Der Datenschutzbeauftragte hat keinerlei Vertretungsbefugnis für die betreute Stelle und eine solche darf ihm auch nicht eingeräumt werden.

    • Auch hier gibt es trotzdem genug Berater, die eben solche Leistungen versprechen.

Folgeprobleme ungenügender Ausschreibungen

Insgesamt ist anhand einer solchen Leistungsbeschreibung nicht sichergestellt, dass die ausschreibende Stelle am Ende tatsächlich die Leistungen erhält, die sie braucht. Zudem setzt sich die Unsicherheit, die bereits aus der Ausschreibung erkennbar wird, vorhersehbar auch bei der Abnahme der Leistung fort. Dass die tatsächlich erhaltenen Leistungen möglicherweise ebenso pauschal und wenig qualifiziert sind, wie ursprünglich der Leistungskatalog, bleibt der verantwortlichen Stelle verborgen. Wie leider oft in der Praxis zu bemerken, glaubt sich der Auftraggeber häufig wesentlich besser beraten, als er es tatsächlich ist. Vielleicht trägt die verführerische aber falsche Hoffnung, den Datenschutz endlich abgegeben zu haben, dazu bei.

Sicher besteht im Rahmen jeder Ausschreibung die Möglichkeit für Rückfragen. Typischerweise werden diese allerdings nur dann ausreichend beantwortet, wenn die Frage bereits sämtliche relevanten Einzelpunkte enthält. Die Klärung von Unwägbarkeiten ist also mit einem sehr hohen Aufwand verbunden. Diesen Aufwand zu betreiben, ist für Anbieter wiederum riskant, da es immer Anbieter gibt, die recht schnell ein vermeintlich passendes und günstiges Angebot abgeben und den Zuschlag erhalten.

Das sich anschließende Spielchen kennen wir alle zur Genüge, dass völlig unvorhersehbar und zum großen Erstaunen und noch größeren Bedauern aller Beteiligten das Geld am Ende doch bei weitem nicht ausreicht und alles auch länger dauert. Ob Konzertgebäude, Großflughafen, Bahnhof oder Erweiterung der S-Bahn – es gibt viel zu viele bekannte und austauschbare Beispiele. In der Datenschutzberatung läuft es dann oft auch nichts anders.

Fazit: Expertise ist schon bei der Ausschreibung gefragt

Bereits die Abfassung der Leistungsbeschreibung bei Ausschreibungen erfordert eine gewisse Sachkunde. Sie sollte daher wenigstens mit Unterstützung von Experten erstellt werden, die wissen, auf welche Details es ankommt und welche Angaben ein potentieller Dienstleister braucht, um ein faires und seriöses Angebot erstellen.

Auch bei der Beurteilung abgegebener Angebote sollte dringend jemand beigezogen werden, der in der Lage ist, inhaltlich (juristisch und organisatorisch) sowie wirtschaftlich zu beurteilen. Die extreme Gewichtung des Preises versperrt ansonsten die Sicht auf die tatsächliche Tauglichkeit eines Angebots.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Bezahlen mit Daten wird Verbrauchervertrag

Das Bezahlen mit personenbezogenen Daten – etwa für einen Download oder eine Gewinnspielteilnahme – unterliegt zumindest im Hinblick auf Verbraucher in Deutschland mehr gesetzlichen Anforderungen als weithin bekannt. Eine Klarstellung im Gesetz erlaubt Bezahlen mit Daten nun eindeutig, stuft das Ganze aber als Verbrauchervertrag ein, was für Verantwortliche jedoch zu etlichen neuen Pflichten führt – und zu einigen neuen Rechtsunsicherheiten.

Bezahlen mit Daten und das datenschutzrechtliche Kopplungsverbot

Mit der Datenschutz-Grundverordnung (DSGVO) erfuhr das sogenannte Koppelungsverbot in Art. 7 Abs. 4 DSGVO eine deutliche Verschärfung. Dies führt immer wieder zu Diskussionen, inwieweit es noch möglich ist, im Rahmen von Aktionen – meist Gewinnspielen – die Preisgabe von personenbezogenen Daten zu verlangen, um diese zu verarbeiten und regelmäßig für Marketingzwecke zu verwenden.

Mittlerweile ist weitgehend anerkannt, dass es möglich ist, eine Leistung von der Bereitstellung personenbezogener Daten als Gegenleistung abhängig zu machen. Entsprechende Geschäftsmodelle, bei denen statt mit Geld mit personenbezogenen Daten bezahlt wird, sind grundsätzlich erlaubt.

Entscheidend ist, dass Sie Betroffenen transparent und unmissverständlich klarmachen, dass ein vertragliches Austauschverhältnis begründet wird. Bereits bei der Bezeichnung des Angebots sollten Sie daher Worte wie „kostenlos“, „umsonst“ oder „gratis“ vermeiden. Betroffenen ist vielmehr leicht verständlich zu vermitteln, dass eine bestimmte Verarbeitung personenbezogener Daten die Gegenleistung für eine erbrachte Leistung darstellt.

Darüber, welche Daten Sie zu welchen Zwecken unter welchen Umständen verarbeiten, haben Sie die Betroffenen detailliert zu informieren. Denn Betroffene müssen schließlich zu diesem Austauschvertrag ausdrücklich ja sagen. Wie bei einer sonstigen Bestellung auch, hat also klar zu sein, dass Betroffene etwas bestellen und dafür – in diesem Fall mit Daten – bezahlen.

Tipp: In unserem ausführlichen Ratgeber erfahren Sie mehr über das Kopplungsverbot in der DSGVO.

Verschärfung der Rechtslage bei Verbraucherverträgen

Die Beachtung der datenschutzrechtlichen Aspekte allein reicht nun allerdings seit Mitte 2022 nicht mehr aus. Mit dem Gesetz für faire Verbraucherverträge wurde auch § 312 BGB (Bürgerliches Gesetzbuch) geändert, der nunmehr in seinem Absatz 1a Satz 1 vorsieht:

„Die Vorschriften der Kapitel 1 und 2 dieses Untertitels sind auch auf Verbraucherverträge anzuwenden, bei denen der Verbraucher dem Unternehmer personenbezogene Daten bereitstellt oder sich hierzu verpflichtet.“

Ausgenommen hiervon sind nach Satz 2 nur die Fälle, in denen die bereitgestellten Daten ausschließlich zur Erfüllung der mit den Daten bezahlten Leistung verwendet werden; also beispielsweise der Teilnahme am Gewinnspiel oder dem Zugang zu Informationen.

Im Ergebnis ist damit gesetzlich klargestellt, dass ein Bezahlen mit Daten möglich ist. Aber, sofern es um Daten von Verbrauchern geht, gilt das Ganze nun eben auch als vollwertiger Verbrauchervertrag. Einfacher ist es danach nur für Angebote ausschließlich im B2B-Bereich, die sich nicht an Verbraucher richten.

Diese Einordnung des Bezahlens mit Daten als Verbraucherverträge hat erhebliche Auswirkungen, wobei viele Details leider noch ungeklärt sind. Die folgenden Punkte sind daher nur Beispiele, über was Verantwortliche sich nun Gedanken machen sollten:

Neue Informationspflichten

Zusätzlich zu den Pflichten, über die Verarbeitung personenbezogener Daten gemäß Art. 13 und 14 DSGVO zu informieren, müssen Sie weitere Informationen bereitstellen. Art. 246a § 1 des Einführungsgesetzes zum BGB sieht 19 Unterpunkte vor, von denen einige deutlich über die Mindestangaben zum Datenschutz hinausgehen. Um nur einige auszugsweise zu nennen:

  • wesentliche Eigenschaften der Waren oder Dienstleistungen,
  • den Gesamtpreis der Waren oder der Dienstleistungen, einschließlich aller Steuern und Abgaben, oder in den Fällen, in denen der Preis auf Grund der Beschaffenheit der Waren oder der Dienstleistungen vernünftigerweise nicht im Voraus berechnet werden kann, die Art der Preisberechnung,
  • gegebenenfalls den Hinweis, dass der Preis auf der Grundlage einer automatisierten Entscheidungsfindung personalisiert wurde,
  • im Falle eines unbefristeten Vertrags oder eines Abonnement-Vertrags den Gesamtpreis; dieser umfasst die pro Abrechnungszeitraum anfallenden Gesamtkosten und, wenn für einen solchen Vertrag Festbeträge in Rechnung gestellt werden, ebenfalls die monatlichen Gesamtkosten; wenn die Gesamtkosten vernünftigerweise nicht im Voraus berechnet werden können, ist die Art der Preisberechnung anzugeben,
  • die Zahlungs-, Liefer- und Leistungsbedingungen, den Termin, bis zu dem der Unternehmer die Waren liefern oder die Dienstleistung erbringen muss, und gegebenenfalls das Verfahren des Unternehmers zum Umgang mit Beschwerden,
  • das Bestehen eines gesetzlichen Mängelhaftungsrechts für die Waren oder die digitalen Produkte,
  • gegebenenfalls das Bestehen und die Bedingungen von Kundendienst, Kundendienstleistungen und Garantien,
  • gegebenenfalls die Laufzeit des Vertrags oder die Bedingungen der Kündigung unbefristeter Verträge oder sich automatisch verlängernder Verträge,
  • gegebenenfalls die Mindestdauer der Verpflichtungen, die der Verbraucher mit dem Vertrag eingeht,
  • gegebenenfalls die Funktionalität der Waren mit digitalen Elementen oder der digitalen Produkte, einschließlich anwendbarer technischer Schutzmaßnahmen,
  • gegebenenfalls, soweit wesentlich, die Kompatibilität und die Interoperabilität der Waren mit digitalen Elementen oder der digitalen Produkte, soweit diese Informationen dem Unternehmer bekannt sind oder bekannt sein müssen, und
  • gegebenenfalls, dass der Verbraucher ein außergerichtliches Beschwerde- und Rechtsbehelfsverfahren, dem der Unternehmer unterworfen ist, nutzen kann, und dessen Zugangsvoraussetzungen.

Achtung: Die gerade genannten Vertragsbedingungen müssen auf einem dauerhaften Datenträger zur Verfügung gestellt werden (§ 312 f Abs. 2 BGB). Hierfür genügt der Link auf andere Informationen im Internet nicht mehr. Notwendig ist eine E-Mail oder ein zum Download bereitgestelltes PDF.

Die Haftung des Anbieters wird verschärft

Es gelten die Regelungen zur Haftung für digitale Produkte (§ 327 Abs. 3 BGB), womit insbesondere eine Beweislastumkehr zu Lasten des Anbieters verbunden ist (§ 327k BGB). Im Streitfall wird ggf. vermutet, dass das Produkt einen Mangel aufweist.

Bei Mängeln können Schadensersatzansprüche geltend gemacht werden und dies noch zwei Jahre über das Ende der Produktbereitstellung hinaus.

In diesem Zusammenhang kommt erschwerend dazu, dass der Anbieter auch verpflichtet ist, das Produkt aktuell zu halten, insbesondere was dessen Sicherheit angeht (§ 327f BGB). Diese Verpflichtung lässt sich auch nicht durch AGB einschränken. Hier lauert ggf. ein nicht unerhebliches Risiko!

Vertragsbeendigung

Dass sich mit der Einordnung als echtem Vertrag auch die Frage nach einer juristisch korrekten Beendigung desselben stellt, dürfte ebenfalls manchen überraschen. Wie sich die Dinge aber genau verhalten, ist unklar. In § 327q geht das BGB auf den Widerruf einer Einwilligung ein. Allerdings dürfte diese gar nicht relevant oder möglich sein, wenn Daten als Gegenleistung auf Basis eines Vertrages bereitgestellt werden. Verträge werden nicht widerrufen, sondern gekündigt und über die Kündigungsumstände ist ja schließlich auch aufzuklären (siehe oben).

Welche konkreten Regelungen aber für solche Kündigungen gelten, ist offenbar ungeklärt. Richtet sich alles nach den gesetzlichen Regelungen? Sind abweichende Regelungen zulässig, insbesondere längere Kündigungsfristen? Und falls ja, in welchem Rahmen? Es kann sicher angenommen werden, dass bei einer rechtlichen Wertung recht genau abgewogen wird, ob Qualität, Quantität und Dauer der eingeforderten Datennutzung dem angebotenen Produkt angemessen sind.

Fazit: Rechtliche Erleichterung nur auf den ersten Blick

Bezahlen mit Daten ist nur auf den ersten Blick eine einfache Lösung. Datenschutzrechtlich wenig kompliziert, sind die Fernwirkungen doch erheblich. Ob sich das Geschäftsmodell bei korrekter Umsetzung unterm Strich noch lohnt, ist sehr fraglich.

Allerdings sind die konkreten Anforderungen – wie so oft – in der Praxis weitläufig noch gar nicht bekannt und Verantwortlichen daher gar nicht bewusst. Und selbst wenn, sind oft die Lösungen nicht erprobt und unsicher. Dementsprechend werden aktuell sehr viele Angebot auch noch nicht korrekt umgesetzt, mit allen damit verbundenen Risiken: Haftung, Abmahnung, negative Aufmerksamkeit und Reputationsverlust.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Die NIS2-Richtlinie und ihre Umsetzung in Deutschland

Ende 2022 verabschiedeten das Europäische Parlament und der Rat der EU die Version 2 der Network-and-Information-Security-Richtlinie (NIS2). Bis zum 17. Oktober 2024 muss die NIS2 in nationales Recht umgesetzt sein. Mittlerweile liegt in Deutschland der Referentenentwurf für ein Gesetz zur Umsetzung der Richtlinie vor. Am Ende wird eine mehr oder weniger vollständige Überarbeitung des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) stehen.

Wir erklären Ihnen die wichtigsten Änderungen der NIS2 und was betroffene Einrichtungen in Deutschland jetzt schon tun können und sollten.

Warum eine NIS2-Richtlinie?

Die NIS-Richtlinie (vollständiger Name: Directive on measures for a high common level of cybersecurity across the Union) wurde bereits 2016 EU-weit eingeführt. Die Version NIS2 trat 2023 in Kraft (zum Volltext im Amtsblatt der Europäischen Union).

Wesentlicher Grund für die Gesetzesänderungen zur NIS2 ist die zunehmende Digitalisierung und die stark gestiegene Bedrohungslage durch Cyberkriminalität. Dem stand bisher eine bislang auf Basis der alten Richtlinie völlig unterschiedliche Herangehensweisen der EU-Mitgliedsstaaten gegen. Durch die neue Richtlinie soll beidem begegnet werden.

Die wichtigsten Änderungen der NIS2-Richtlinie

Der Kreis der von NIS2 adressierten Einrichtungen wird deutlich größer

Es werden künftig wesentlich mehr Einrichtungen verpflichtet als bisher. Insbesondere die Schwellwerte der BSI-Kritisverordnung (Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz – BSI-KritisV) werden nicht mehr gelten. Überhaupt wird die Größe einer Einrichtung nicht mehr unbedingt einen Rückschluss darauf zu lassen, ob diese den künftigen Kategorien „wesentliche Einrichtung“ oder „wichtige Einrichtung“ unterfällt. Auch der bereits 2021 erweiterte Katalog erfasster Einrichtungen durch das IT-Sicherheitsgesetz 2.0 bleibt unterhalb der künftigen Reichweite.

In der neuen Richtlinie sind kritische und hochkritische Sektoren bereits erfasst. Damit können die einzelnen Mitgliedsstaaten nicht mehr selbst entscheiden, welche Bereiche adressiert werden.

Als kritisch (wichtig) eingestuft werden die Sektoren:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Produktion, Herstellung und Handel mit chemischen Stoffen
  • Produktion, Verarbeitung und Vertrieb von Lebensmitteln
  • Warenproduktion und verarbeitendes Gewerbe
  • Anbieter digitaler Dienste
  • Forschung

Als hochkritisch (wesentlich) eingestuft werden die Sektoren:

  • Energie
  • Verkehr
  • Bankwesen
  • Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser
  • Abwasser
  • digitale Infrastruktur
  • Verwaltung von IKT-Diensten, mit Ausnahme des Verbraucherbereichs
  • öffentliche Verwaltung
  • Weltraum

Einrichtungen, die die Schwelle eines mittleren Unternehmens überschreiten, werden ohne weitere Voraussetzungen automatisch von der Richtlinie erfasst. Angesprochen sind damit alle Einrichtungen mit mindestens 50 Beschäftigten oder einem Jahresumsatz bzw. einer Jahresbilanzsumme von zehn bis 43 Millionen Euro.

Einige Einrichtungen werden den Regelungen der Richtlinie auch unterhalb dieser Schwelle unterworfen und als „kritisch“ eingestuft. In anderen Fällen erfolgt die Einstufung anhand weicher Faktoren.

NIS2 gibt neue und klare Anforderungen vor

Die neue Richtlinie definiert die Anforderungen in einem Katalog und überlässt die Umsetzung damit nicht mehr den Mitgliedsstaaten.

Die Anforderungen sind beispielsweise:

  • Konzepte hinsichtlich der Analyse von Risiken
  • Konzepte zur Sicherheit von Informationssystemen
  • Prozess zur Bewertung der Wirksamkeit von Maßnahmen
  • Prozess zur Bewältigung von Sicherheitsvorfällen (Incident Response Management)
  • Prozess zur Aufrechterhaltung des Betriebs (Business Continuity) und zum Krisenmanagement
  • Implementierung von Sicherheitsmaßnahmen bereits beim Einkauf bzw. der Entwicklung und Wartung von Netzwerk- oder Informationssystemen
  • Schulungen im Bereich Cybersicherheit
  • Sicherheit der Lieferkette
  • Asset Management
  • Personalsicherheit
  • Kryptographie
  • Kommunikation und Notfallkommunikation

Alle angesprochenen Einrichtungen sind verpflichtet, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen nach dem Stand der Technik zu ermitteln und sodann umzusetzen, um relevanten Gefahren zu begegnen. Relevant sind nicht nur Cyber-Gefahren, sondern auch andere, wie beispielsweise Umweltgefahren (Feuer, Wasser) oder direkte physische Einwirkung durch Menschen.

Achtung: Die Verhältnismäßigkeit orientiert sich an den möglichen Auswirkungen, nicht an den Kosten für Schutzmaßnahmen!

NIS2 verhindert Verstecken

Für einige Einrichtungen ist eine zwingende Registrierung bei der ENISA (Agentur der Europäischen Union für Cybersicherheit) vorgesehen.

Unabhängig hiervon muss die Meldung von Sicherheitsvorfällen an die eigene Sicherheitsbehörde künftig in mehreren Schritten erfolgen:

  • Innerhalb von 24 Stunden hat die Erstmeldung zu erfolgen.
  • Diese ist innerhalb von 72 Stunden zu aktualisieren.
  • Eine Abschlussmeldung an das BSI (Bundesamt für Sicherheit in der Informationstechnik) erfolgt innerhalb eines Monats.

Unter NIS2 ist das Management persönlich verantwortlich

Es wird ausdrücklich klargestellt, dass die Gesamtverantwortung auch für die Cybersicherheit und die Prävention von Sicherheitsvorfällen beim obersten Management liegt. Das ist im Grunde keine Überraschung, immerhin geht es um Compliance. Der Gesetzgeber hielt es aber für notwendig, das explizit auszusprechen.

Dementsprechend droht auch dem obersten Management entsprechende eine persönliche Haftung bei Mängeln in der Umsetzung. Der Entwurf zur NIS2-Umsetzung in Deutschland sieht explizit vor, dass das Management bei Verletzung seiner Pflichten der Einrichtung für einen dadurch entstehenden Schaden haftet. Wie sonst auch, wird es nicht möglich sein, diese Verantwortung restlos zu delegieren. Das ist eine Fehlannahme, der immer noch viele Manager aufsitzen – auch unterstützt von haltlosen Versprechungen einiger Berater.

Tipp: Lesen Sie dazu auch unseren Ratgeber zu Verantwortung, Haftung und Delegierbarkeit des Datenschutzes.

Sehr interessant ist zudem, dass das BSI offenbar die Befugnis erhalten soll, dem Management die Wahrnehmung seiner Leitungsaufgabe vorübergehend zu untersagen, wenn das Management Anordnungen dieser Behörde missachtet.

Mögliche Sanktionen unter der NIS2

Die Richtlinie verpflichtet die EU-Mitgliedsstaaten dazu, Bußgeldtatbestände bei Verstößen zu schaffen. Künftig werden sehr empfindliche Geldbußen möglich, die sehr an die EU-Datenschutz-Grundverordnung (DSGVO) erinnern. Es stehen Bußgelder von bis zu 20 Millionen Euro im Raum bzw. auch solche, die vom letztjährigen weltweiten Gesamtumsatz abhängig sind.

Handlungsempfehlung für (möglicherweise) betroffene Einrichtungen

Klären Sie jetzt, ob Sie künftig durch die NIS2 verpflichtet sein werden!

Sorgen Sie rechtzeitig für ausreichende Ressourcen und ggf. externe Unterstützung! Wenn das Gesetz erst greift und die Umsetzungsfrist läuft, werden wir ein ähnliches Szenario erleben, wie bei Einführung der DSGVO. Es werden nicht ausreichend Berater am Markt verfügbar sein und die Zeit zur Umsetzung ist sehr endlich.

Bestimmen Sie bereits jetzt den Handlungsbedarf! Völlig unabhängig davon, ob eine Einrichtung am Ende gesetzlich verpflichtet sein wird, etwas für die eigene Cybersicherheit zu tun – schaden wird es sicher nicht, Verbesserungsmöglichkeiten zu kennen.

Nachdem im Ergebnis ohnehin alle Einrichtungen aus anderen Gründen (allen voran dem Datenschutz) verpflichtet sind, geeignete technische und organisatorische Maßnahmen zu ergreifen, bietet sich die Gelegenheit, mehrere Fliegen mit einer Klappe zu schlagen.

Denken Sie dabei auch an Lieferketten, Ihren Einkauf und Ihre Entwicklung! In diesen Bereichen werden spontan kaum wesentliche Veränderungen möglich sein.

Bestellen Sie jetzt einen unserer Experten als externen Informationssicherheitsbeauftragten für Ihr Unternehmen!

Geschrieben am:

Fünf Jahre DSGVO – ein kritischer Rück- und Ausblick

Die EU-Datenschutz-Grundverordnung (DSGVO) wird fünf Jahre alt. Was hat sich für Verantwortliche geändert und wie gehen diese mit den Datenschutzvorschriften in der Praxis um? Wie hat sich der Markt für Datenschutzberater entwickelt und welche Rolle spielen Aufsichtsbehörden, Gerichte und Verbraucherschützer? Zeit für einen kurzen Rückblick, eine kritische Bestandsaufnahme und ein paar Vermutungen für die Zukunft.

Wie erging es den Verantwortlichen mit der DSGVO?

Seit dem 25. Mai 2018 ist die DSGVO in der gesamten Europäischen Union verbindlich und sie erzeugt Rechtswirkung noch weit über dieses Gebiet hinaus. Kaum ein Gesetzesvorhaben wurde mit so großem Unbehagen erwartet.

Die Zeit um das Jahr 2018 herum war gekennzeichnet von großer Verunsicherung. Die mediale Berichterstattung fokussierte auf die drastischen Konsequenzen der DSGVO bei Datenschutzverstößen. Viele Unternehmen befürchteten, aufgrund eines Verstoßes unmittelbar in existenzielle Schwierigkeiten zu geraten.

Dass die Datenschutz-Grundverordnung in vielerlei Hinsicht gar keine Neuerungen einführte, ging dabei oft unter. Verantwortliche sahen sich vor einem schwer zu überwindenden Berg unklarer Aufgaben. Jetzt rächte sich besonders, wenn die Anforderungen des ehemaligen Bundesdatenschutzgesetzes (BDSG) nicht umgesetzt waren und dadurch noch höherer Anpassungsbedarf als ohnehin schon bestand. Nicht wenige Manager hatten Angst, persönlich in die Haftung genommen zu werden.

Doch diese große Aufregung hat sich längst gelegt.

Viele Organisationen mit Verantwortungsbewusstsein oder Handlungsdruck haben sich den Aufgaben erfolgreich gestellt. Ein Datenschutz-Managementsystem (DSMS) wurde etabliert und erzeugte sogar spürbare positive Nebenwirkungen auf die Prozesse in einer Organisation, die sowieso durchdacht und geregelt werden mussten. Den Wettbewerbsvorteil belegbare Datenschutzkonformität gab es obendrauf.

Die wenigsten Verantwortlichen haben sich jedoch mit den Regelungen angefreundet. Viel verbreiteter ist eine erzwungene Hinnahme. Nachdem unangekündigte Besuche einer schnellen Eingreiftruppe der Aufsichtsbehörden und gravierende Nachteile flächendeckend ausblieben und Dienstleister in der Regel auch von Auftragsgebern wenig zu befürchten haben, sanken Blut- und Leidensdruck mit der Zeit ganz von allein. Die Taktik, stillzuhalten und maximal etwas Datenschutzkosmetik zu betreiben, funktionierte und funktioniert derzeit angesichts des ausbleibenden Gegenwinds immer noch erstaunlich oft. Die Umsetzung erfolgte oft mit einer greifbaren Ahnungs- und Hilflosigkeit und beschränkte sich auf Maßnahmen, die man als unvermeidlich erkannt zu haben glaubte.

Viele genervte Verantwortliche waren und sind primär bestrebt, das negativ besetzte Thema möglichst vollständig abzugeben.

Auch halten sich weiterhin viele Vorurteile oder Missverständnisse hartnäckig. So etwa, dass die DSGVO von kleinen Handwerksbetrieben oder Vereinen das Gleiche verlangt wie von Großkonzernen und demzufolge völlig unangemessene Anforderungen aufstellt. Dies, gepaart mit einem fehlenden Grundverständnis für die wesentlichen Mechanismen im Datenschutz, macht die Akzeptanz des Themas schwierig.

Bei etlichen Verantwortlichen nahm die Bereitschaft, Einschränkungen durch den Datenschutz hinzunehmen, schon wieder deutlich ab; fast schon als Trotzreaktion erhält die pragmatische Lösung zunehmend Vorrang vor der rechtlich korrekten. Dies ist auch der Vielzahl von Fragen ohne klare und einfache Antwort geschuldet, die nun vermehrt ignoriert statt gelöst werden.

Auf der anderen Seite werden aufgrund diffuser Fehlvorstellungen nicht selten immer noch unnötige Aufwände betrieben. So begegnen in der Beratungspraxis beispielsweise weiterhin Einwilligungen, die vermeintlich erforderlich sind, aber bei korrekter Betrachtung völlig unnütz eingeholt werden. Statt gezielt die richtigen Dinge zu tun, werden en masse irgendwelche Maßnahmen ergriffen, solange sich diese nur schnell erledigen und vorweisen lassen.

Zusammengefasst bestehen bei der Umsetzung von Datenschutzanforderungen auch nach fünf Jahren Geltung verbreitet noch Defizite. Verantwortliche sind nach wie vor oft unsicher, was konkret von ihnen verlangt wird oder sind mit der Umsetzung überfordert. Die Akzeptanz des Themas und der zugrundeliegenden Wertung des Gesetzgebers sind längst nicht selbstverständlich.

Was tat sich im Bereich der Datenschutzberatung?

Der Markt an Datenschutzdienstleistungen explodierte mit Einführung der DSGVO und auch aktuell treten immer wieder Einzelkämpfer und Unternehmen als neue Anbieter auf. Nicht selten handelt es sich um Quereinsteiger ohne irgendwelche relevante Erfahrung, dafür teilweise mit großer finanzieller Unterstützung von Investoren, die lukrative Geschäfte wittern.

Und auch wenn Datenschutzberatern derzeit nicht mehr jedes Schlangenöl unbesehen aus den Händen gerissen wird, ist es nach wie vor leicht, Unterstützung im Datenschutz anzubieten. Nachfrager von Datenschutzberatungsleistungen sind sehr oft nicht in der Lage, geeignete Angebote von ungeeigneten zu unterscheiden (siehe dazu unseren Artikel zur Auswahl eines geeigneten externen Datenschutzbeauftragten).

Der Markt ist sicher oft kostensensitiv aber sonst kaum kritisch und bleibt so für Anbieter jeglicher Couleur interessant. Die Auswahl eines tatsächlich geeigneten Angebots bleibt für Verantwortliche eine bedeutende Herausforderung. Gelegentlich wird sie aber nicht als solche erkannt.

Nach einigen Jahren der Betätigung bemerken mittlerweile auch viele interne Datenschutzbeauftragte, dass die Erfüllung der Aufgaben schwieriger und vor allem zeitintensiver ist, als erwartet. Der Wunsch nach externer Unterstützung wächst ebenso spürbar, wie die Bereitschaft, die Position gänzlich abzugeben. Auch in diesem Zusammenhang wächst die Nachfrage.

Wie war und ist das mit Strafen und Haftung?

Die ursprünglich große Angst vor den Aufsichtsbehörden stellte sich als unbegründet heraus. In einigen Einzelfällen gab es sicher aufsehenerregende Entscheidungen; erst in diesen Tagen wurde das Rekordbußgeld gegen Meta bekannt. Gerade die deutschen Aufsichtsbehörden sind aber sehr zurückhaltend, insbesondere was Sanktionen angeht. In einzelnen Bundesländern werden faktisch keine Bußgelder verhängt. Es scheint fast, als würde das Hauptgewicht auf abstrakte Hinweise gelegt und im Einzelfall fast angestrengt weggesehen. Allerdings gehen die Aufsichtsbehörden wohl weiterhin in Arbeit unter und dürften daher auch auf weitere Sicht nachvollziehbar kaum auf Eigeninitiative hin tätig werden.

Das Risiko, erwischt zu werden, ist damit für Verantwortliche überschaubar und dramatische Konsequenzen sind in aller Regel nicht zu erwarten. Nicht zuletzt sind zentrale Fragen bei der Ahndung von Datenschutzverstößen bislang ungeklärt und die Aufsichtsbehörden müssen auch noch Erfahrung mit der Verhängung von Bußgeldern erwerben. Regelmäßig werden entsprechende Bußgeldbescheide mit allen Mitteln angefochten und dies teils auch erfolgreich.

Erschwerend kommt hinzu, dass die Aufsichtsbehörden innerhalb der EU und selbst innerhalb Deutschlands oft keinen einheitlichen Ansatz verfolgen. Die Abstimmung ist mühsam und langsam. Im Ergebnis werden nicht wenige Fragen auch erst durch die Rechtsprechung verbindlich beantwortet werden können – und das dauert alles in allem erst recht.

Vielfach unterschätzt und deutlich gefährlicher ist aus aktueller Sicht der private Bereich. Betroffene haben längst verstanden, dass sich Datenschutzrechte als wirksames Hilfs- und Druckmittel einsetzen lassen. Die eigenen Rechte taugen sehr gut, um zurückzuärgern. Manche Ex-Mitarbeiter verstehen es, sich den Abschied versilbern zu lassen oder aber dem unliebsamen Ex-Arbeitgeber nach Kündigung durch eine gezielte Weitergabe von Insiderwissen an die Aufsichtsbehörde noch eins mitzugeben.

Erste Abmahnwellen, mit denen Einzelpersonen in kollusivem Zusammenwirken mit einzelnen Anwälten versuchten, auf zweifelhafte Art schnelles Geld zu machen, haben wir gerade hinter uns (Stichwort: Google Fonts). Die Zeit von berechtigten und ernster zu nehmenden Massenklagen, auch durch Verbraucherschutzverbände, steht uns vermutlich bevor.

All diese privaten Initiativen können Unternehmen jederzeit und härter treffen als das Einschreiten einer Behörde. Immerhin haben die privaten Gegner ein erhebliches Eigeninteresse, den Prozess zu betreiben, sind daher kaum kompromissbereit oder nachsichtig und das Kostenrisiko kann bei einer großen Zahl von Betroffenen in der Summe schnell erheblich sein, selbst wenn im Einzelfall die im Raum stehenden Beträge gering sein mögen.

Was sagen die Gerichte zur DSGVO?

Neues Recht führt meist auch zu neuer Rechtsprechung. Zu auslegungsbedürftig sind viele Formulierungen der DSGVO und häufig stellen sich Fragen zum Verhältnis der Verordnung zu bestehenden nationalen Vorschriften. Die schiere Fülle an Gerichtsurteilen mit Bezug auf die DSGVO unterstreicht dies eindrucksvoll.

Nach einer Anlaufphase, in der die nationalen Rechtswege beschritten wurden, landen nun schließlich auch zentral wichtige Fragen zur letztverbindlichen Klärung beim Europäischen Gerichtshof. Die Entscheidung zum Drittlandtransfer (Privacy Shield / Schrems II) ist nur ein prominentes Beispiel aus der vergangenen Zeit, welche nach wie vor erhebliche Lösungsschwierigkeiten bereitet, dem Markt allerdings in Form des Transfer Impact Assessment ein neues Produkt bescherte.

Auch die aktuellen Entscheidungen des EuGHs zum Schadensersatz und zur Haftung haben erhebliche Auswirkungen auf Unternehmen und deren Verantwortliche.

Allgemein ist klar vorhersehbar, dass jedes verbraucher- bzw. datenschutzfreundliche Urteil, Zunder für entsprechende Auseinandersetzungen liefern wird – und zwar beginnend ab der ersten Instanz.

Bemerkenswert ist, dass die flächendeckende Durchsetzung des Datenschutzes im Ergebnis derzeit und wohl auch in der weiteren Zukunft eher über die Judikative als durch die Exekutive erfolgen dürfte.

Zwei sehr interessante Folgefragen sind übrigens in diesem Zusammenhang bislang offenbar noch gar nicht weiter gestellt und beantwortet worden.

  1. Was ist mit der Haftung des Managers, der sich nicht ausreichend gekümmert hat oder schlechten Rat einholte?
  2. Wie sieht es im letzteren Fall mit Regressforderungen gegenüber dem Berater aus?

Beide Themen dürften sicher künftig eine Rolle spielen und spürbare Auswirkungen auf Verantwortliche sowie insbesondere die Anbieter von Datenschutzdienstleistungen haben.

Wie wird die DSGVO international gesehen?

Beim internationalen Zusammenspiel lassen sich vor allem zwei Dinge bei Verantwortlichen bemerken:

So wird das Verständnis der DSGVO oft vom heimischen Rechtsverständnis überlagert, was fast zwangsläufig zu unrichtigen Ergebnissen führt. Vor allem haben außerhalb der EU angesiedelte Muttergesellschaften sehr oft Probleme, die individuelle Verantwortlichkeit auch kleinerer Töchter in der EU zu verstehen und dann anzuerkennen. Konzernzentralen betrachten die Unternehmensgruppe als Einheit und verorten daher sowohl Verantwortung als auch Entscheidungsbefugnis oft falsch.

Auch dass die Datensicherheit andere datenschutzrechtliche Voraussetzungen, allem voran eine notwendige Rechtsgrundlage, nicht entbehrlich macht, scheint schwierig zu verstehen. Nicht selten wird das Pferd von hinten aufgezäumt und Folgepflichten werden eifrig und mit erheblichem Aufwand erfüllt. Die alles entscheidende Frage aber, ob und durch wen die entsprechenden Daten denn überhaupt verarbeitet werden dürfen, bleibt ungeklärt.

Hinsichtlich vieler, meist in den USA ansässigen, Anbieter von Software oder Onlineplattformen bleibt das ernüchternde Fazit, dass das Marktortprinzip der DSGVO großteilig missachtet wird. Demnach gilt eigentlich das Recht des Landes, in dem sich die betroffene Person aufhält. Die Datenschutzvorgaben der DSGVO werden von vielen Konzernen jedoch nur langsam und meist nur durch den Druck von Bußgeldern oder Gerichtsurteilen angewendet. Eine ganz typische Frage bei der Beratung internationaler Mandaten ist nicht die nach der Rechtmäßigkeit, sondern danach, ob etwas bereits gerichtlich durchgesetzt oder sonst geahndet wurde. Die wirtschaftliche Entscheidung wird unverblümt am Risiko orientiert, zur Rechenschaft gezogen zu werden.

Auf Ebene der Gesetzgebung hat die DSGVO international große Strahlkraft entwickelt. Zahlreiche neue bzw. novellierte Datenschutzgesetze orientieren sich an den Vorgaben der DSGVO oder verwenden zumindest bestimmte Rechtsauffassungen. Dazu gehören etwa das Schweizer Datenschutzgesetz, Südkoreas Personal Information Protection Act (PIPA), das California Consumer Privacy Act (CCPA) und sogar Chinas Personal Information Protection Law (PIPL).

Fazit

Auch fünf Jahre nach ihrem Inkrafttreten bereitet die DSGVO allen Beteiligten weiter viele Schwierigkeiten.

Datenschutz wird überwiegend als Hemmschuh begriffen, die damit verbundenen Chancen werden nur selten erkannt. Solange Verantwortliche jedoch den Datenschutz und seine Grundgedanken nicht verstehen und akzeptieren und allein die erwarteten oder erlittenen Repressalien Anlass für eine möglichst oberflächliche Auseinandersetzung mit dem Gebiet liefern, wird sich hieran vermutlich auch nichts ändern.

Die Klärung der vielen alten und neuen Fragen wird erst durch die Gerichte erfolgen und dort stauen sich die Angelegenheiten.

Dieses Vorgehen vieler Verantwortlicher ist schwerlich strategisch zu nennen. Und das, obwohl Daten zu den wichtigsten Assets der modernen Wirtschaft gehören. Und damit auch der Schutz dieser Daten bzw. ihre rechtskonforme Verarbeitung.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am: