Mein Datenschutz-Blog - #THEPRIVÄCY

Die EU-Datenschutzgrundverordnung (EU-DSGVO) und das neue Bundesdatenschutzgesetz (BDSG-neu) verpflichten viele Unternehmen zur Bestellung eines Datenschutzbeauftragten. Es lässt Ihnen dabei die Wahlfreiheit, Ihren Datenschutzbeauftragten entweder intern oder extern zu bestellen. Optimal erweist sich die Kombination aus einem internen Datenschutz-Team aus einem oder mehreren Koordinatoren sowie einem externen Datenschutz-Team rund um den externen Datenschutzbeauftragten.

Betrachtet man die hohen Anforderungen an einen internen betrieblichen Datenschutzbeauftragten (bDSB) und insbesondere dessen Sonderkündigungsschutz realistisch, bietet sich die Bestellung eines externen Datenschutzbeauftragten geradezu an:

Vergleich interner vs. externer Datenschutzbeauftragter (DSB)

	interner DSB	externer DSB
unternehmerisches Risiko	hoch - nur Arbeitnehmerhaftung	gering - Beraterhaftung - auf Versicherungsschutz achten
Start	später - erst notwendige Fachkunde aufbauen	sofort - Knowhow und Erfahrung aus unterschiedlichen Projekten vorhanden
Kosten	hoch - Achtung "eh da"-Kosten	gering - nur tatsächlicher Aufwand wird bezahlt
Schulungskosten	hoch - mind. jährliche Fortbildung ist Pflicht	gering - auf mehrere Schultern (= Kunden) verteilt
Sonderkündigungsschutz	ja	nein
Betriebsblindheit	möglich	keine
Interessenskonflikte	möglich	keine
Ausfallrisiko	hoch - da keine Vertretung bei Krankheit, Elternzeit, ...	gering, da Vertretung geregelt

Wer darf eigentlich zum Datenschutzbeauftragten bestellt werden?

Stellt man der obigen "Ausschlussliste" die in Art. 37 Abs. 5 EU-DSGVO genannten Anforderungen "berufliche Qualifikation und Fachwissen auf dem gebiet des Datenschutzrechts und der Datenschutzpraxis" gegenüber, bleiben bei vielen Unternehmen kaum Mitarbeiter übrig, die für die Tätigkeit als interner Datenschutzbeauftragter in Frage kommen.

Seit einigen Wochen erhält unser yourIT-Datenschutz-Team vermehrt Anfragen von Unternehmen, die Ihren bisherigen Datenschutzbeauftragten (DSB) austauschen möchten. Unseren Recherchen zufolge hatten viele der Anfrager den DSB etwa Mitte 2018 bestellt - also rund um den EU-DSGVO-Start. Aufgrund der Eile erfolgten damals viele DSB-Bestellungen unter Zeitdruck und Angebotsknappheit - erfahrungsgemäß keine optimalen Voraussetzungen für langfristig tragfähige unternehmerische Entscheidungen. Jetzt folgt oft die Ernüchterung. Falls es Ihnen auch so geht: Achten Sie auf die Kündigungsfristen...

Einige wichtige Hinweise vorneweg:

Viele kleine Unternehmen, Kanzleien und Praxen wurden Mitte 2019 von der Pflicht befreit, einen Datenschutzbeauftragten zu bestellen. Diese sollten nun reagieren und entweder freiwillig einen (externen) Datenschutzbeauftragten bestellen oder zumindest einen oder mehrere interne Datenschutzkoordinatoren bestellen und entsprechend ausbilden. Denn die Pflicht zu Aufbau und Pflege eines Datenschutz-Managementsystems (DSMS) im Unternehmen ist geblieben. Packen wir's an!

Hintergründe für diesen Blogbeitrag

Der Datenschutzkoordinator - ein Tausendsassa!

Der Bundestag hat im 2. DSAnpUG den Schwellenwert für die Pflicht zur Bestellung eines (externen) Datenschutzbeauftragten verdoppelt. Nun gilt diese Pflicht erst für ein Unternehmen, wenn sich mindestens zwanzig (bisher: zehn) Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Für viele kleine Unternehmen/ Kanzleien/ Praxen wie z.B. Steuerberater, Rechtsanwälte, Ärzte, Zahnärzte, Apotheken, Handwerker, Architekten, etc. entfällt nun die Pflicht, einen Datenschutzbeauftragten zu bestellen. Doch Branchenverbände und auch Landesdatenschutzbeauftragte warnen offiziell davor, den Datenschutz durch den Wegfall der Pflicht auf die leichte Schulter zu nehmen.

Aufgrund eines blöden Schreibfehlers wurde dieser Blogbeitrag neu erstellt und veröffentlicht unter https://mydatenschutz.blogspot.com/2019/08/tausendsassa-datenschutzkoordinator-wie.html

In Deutschland ist man Datenschutzbeauftragte in Unternehmen seit Jahrzehnten ganz selbstverständlich gewohnt. Für andere Länder in der Europäischen Union (EU) sind sie dagegen etwas Neues. Die EU-Datenschutz-Grundverordnung (EU-DSGVO) führt sie auch dort ein. Ergänzende nationale Vorschriften sind dabei weiterhin zulässig. Deutschland hat sie Mitte Mai 2017 eingeführt. Diese Kombination stellt sicher, dass im Ergebnis alles so bleibt, wie es sich bewährt hat.

Die bisherige Situation

Bisher - vor der EU-DSGVO - war es so: Besondere EU-Regelungen für Datenschutzbeauftragte gibt es nicht. Jeder Mitgliedstaat kann selbst entscheiden, ob er Datenschutzbeauftragte im Unternehmen vorschreibt.

Deutschland hat dies schon vor Jahrzehnten getan. Im Ergebnis müssen lediglich kleine Unternehmen mit weniger als zehn Beschäftigten keinen Datenschutzbeauftragten haben.

yourIT: Datenschutzbeauftragte jetzt überall in der EU

Neuerungen durch die EU-Datenschutz-Grundverordnung

Aktuell überstürzen sich die Meldungen über Erpressungs-Trojander, die sich auf Rechnern einschleichen. Diese "Ransomware" verschlüsselt wichtige Daten der Opfer und verlangt Lösegeld für die Entschlüsselung. Sowohl Unternehmen als auch Privatnutzer sind in Gefahr. Was tun, um dem zu begegnen?

Erpresser kommen per E-Mail sowie über Internet und Apps

2016 wird das Jahr der Online-Erpressung, da sind sich IT-Sicherheits-Experten einig. Bereits seit über zehn Jahren versuchen Internet-Kriminelle, ihren Opfern Angst einzujagen und Geld zu erpressen. Früher behaupteten die Erpresser, sie hätten die Nutzer bei einer illegalen Tat erwischt, zum Beispiel bei der Nutzung einer Raubkopie. Nur gegen Zahlung eines Geldbetrags würden sie der Polizei gegenüber schweigen. Die Erpressermasche hat sich inzwischen geändert und bedroht nun das Herzstück jeder IT, die Daten.

yourIT warnt vor gefährlichen Erpresser-Trojanern

Die Erpressung beginnt mit einer Schadsoftware, die über E-Mail, Browser oder mobile Apps auf das Gerät des Opfers kommt. Dort verschlüsselt das Schadprogramm alle Daten des Nutzers. Nur gegen Zahlung des Lösegelds werden die Daten wieder freigegeben, also entschlüsselt, so die Drohung.  Diese Art von Attacken werden auch als Ransomware bezeichnet ("Ransome" ist der englische Begriff für "Lösegeld").

Neue Maschen der Ransomware

Täglich erreichen unsere Security-Experten erschreckende  Meldungen über neue Arten von Erpressungs-Trojanern. Einer schlimmer als der letzte. Die neuesten Maschen sind:

• 30.03.2016: Der Erpressungs-Trojaner SAMSA (auch Samsam, Samas oder Mokoponi genannt) wird über Hacker aktiv eingeschleust. Mittels aktive durchgeführter Penetrationstests finden die Cyber-Verbrecher bekannte und nicht geschlossene Schwachstellen in Ihrem IT-Netzwerk und nutzen diese daraufhin aus. Im nächsten Schritt versuchen die Erpresser soviele Systeme im Netz zu übernehmen wie möglich. Erst zum Schluß wird der eigentliche Erpressungs-Trojaner SAMSA eingeschleust und hat dann natürlich leichtes Spiel, einen großen Teil des Unternehmensnetzwerks zu verschlüsseln. 
• 29.03.2016: Gelangt der Erpressungs-Trojaner PETYA auf ihren Rechner (häufig per Dropbox!), tut er erstmal so, als ob Windows abgestürzt wäre. Erst in einer zweiten Phase - beim Neustart des Systems - werden die Daten verschlüsselt. Startet man das System nicht neu, kann man die daten noch retten. Also: Aktuell sollte man Vorsicht walten lassen, wenn der Rechner plötzlich abstürzt.

Opfer sind größtenteils völlig hilf- und schutzlos

Leider sind viele Opfer so hilflos, dass sie tatsächlich bezahlen, oft aber ohne dass die versprochene Entschlüsselung stattfindet. Bezahlt man mit Kreditkarte, missbrauchen die Täter womöglich auch diese Daten, zusätzlich zu den unbrauchbaren eigenen Daten.

Der Schaden ist enorm 

Wie erfolgreich die Online-Erpresser sind, zeigen aktuelle Beispiele: Die Schadsoftware CryptoWall konnten IT-Sicherheitsforscher in über 406.000 Fällen nachweisen. Die Erpresser erbeuteten dabei 325 Millionen US-Dollar als Lösegeld. Leider ist das kein Einzelfall. Der Schaden für die betroffenen Unternehmen und Nutzer geht aber noch weiter, als es die Höhe des Lösegelds vermuten lässt. Da die Angreifer die Daten häufig gar nicht mehr entschlüsseln, fehlen sie dauerhaft.

Verschlüsselte Daten als Super-Gau

Häufig gibt es keine Datensicherung bei den Betroffenen, oder die Datensicherung war ebenso schlecht geschützt wie die Daten selbst, und beides wurde verschlüsselt. Je nach Daten und Art des Unternehmens kann ein solcher Datenverlust die Existenz bedrohen oder aber den Ruf so stark schädigen, dass Kundenzahl und Umsatz drastisch zurückgehen.

Bei Privatnutzern ist der Schaden finanziell gesehen zwar meist geringer. Aber wenn sich wichtige Daten wie die einzigen Fotos, die von einem geliebten Menschen noch vorhanden sind, nicht mehr öffnen lassen, ist der Verlust ebenfalls groß.

Nicht erpressen lassen, sondern Daten besser schützen

Auch Deutsche Sicherheitsbehörden wie das Bundeskriminalamt oder die Landeskriminalämter warnen derzeit vor Erpressungs-Trojanern. Sie raten dazu, den Online-Erpressern kein Lösegeld zu zahlen. Gegen diese Online-Erpresser können Sie sich nur durch eine gute Absicherung der IT wappnen: Ein professionelles Firewall-Konzept, aktuelle Antiviren-Software und eine Begrenzung der Berechtigungen auf den Computern, die mit dem Internet verbunden sind.

Entscheidend ist vor allem die regelmäßige, vollständige und geschützte Sicherung der Daten, um Erpressungs-Trojanern den Schrecken zu nehmen. Hat man ein Backup, braucht man keine Entschlüsselung – die oft sowieso nie kommen würde.

So schützen Sie sich vor den aktuellen Erpressungs-Trojanern

• Prüfen Sie eingehende E-Mails sorgfältig, insbesondere dann, wenn Sie über einen Link zum Download von Unterlagen unbekannter Quellen aufgefordert werden.
• Öffnen Sie niemals Links oder Dateianhänge in Nachrichten von Ihnen unbekanntem Absendern.
• Überprüfen Sie Links hinsichtlich der tatsächlichen Zieladresse, indem Sie mit dem Zeiger der Maus über den Link streifen („Mouse-Over“). Bitte nicht klicken!
• Öffnen Sie niemals Dateianhänge mit unüblichen Dateitypen (.exe, .vbs, .pdf.exe, .js, etc.). Achten Sie darauf, dass Ihr System Dateianhänge vollständig anzeigt. Sonst wird z.B. die Endung *.pdf.exe als *.pdf angezeigt.
• Prüfen Sie ein- und ausgehende E-Mails und Dateien mit Anti Malware Tools (Spamfilter, etc.)
• Sichern Sie Ihre Systeme mit Schutzsoftware (Firewall, Anti-Viren-Programm) und halten Sie diese aktuell
• Installieren Sie regelmäßig Updates für Adobe Flash, Java, Adobe Reader etc.
• Führen Sie regelmäßige Datensicherungen auf externe Medien bzw. Online-Backups durch.
• Denken Sie zweimal nach, bevor Sie in Portalen wie Facebook auf sensationshaschende oder neugierigmachende Meldungen klicken.

Sollten Sie doch einmal Opfer eines solchen Angriffs werden: Ruhe bewahren!

• Trennen Sie das befallene Gerät umgehend vom Netzwerk (durch Abziehen des LAN-Kabels).
• Gehen Sie auf keinen Fall auf die Forderung der Kriminellen ein. Bezahlen Sie nicht!
• Melden Sie das Problem Ihrem Vorgesetzten, dem IT-Verantwortlichen oder Ihrem IT-Dienstleister.
• Erstatten Sie eine Anzeige bei der nächsten Polizeidienststelle.
• Stellen Sie Ihre Daten aus einem Backup wieder her, gegebenenfalls mit der Unterstützung externer IT-Sicherheits-Spezialisten wie yourIT.

Wie können wir von yourIT Sie unterstützen?

Ich freue mich auf Ihre Termin- und Projektanfragen. Fordern Sie uns!

Ihr Thomas Ströbele

 

BEST OF CONSULTING 2015 - Initiative Mittelstand prämiert yourIT-Beratungspakete mit dem Innovationspreis-IT

Unsere Beratungspakete

• Kern-Prozessanalyse
• Sicherheitsaudit "IT-Infrastruktur"
• Informations-Sicherheitsanalyse ISA+

wurden beim Innovationspreis-IT der Initative Mittelstand mit dem Preis BEST OF CONSULTING 2015 ausgezeichnet.

„Datenschutz in Deutschland bedeutet „mit Gürtel + Hosenträger“ weiß Thomas Ströbele von yourIT aus seiner Erfahrung als externer Datenschutzbeauftragter. Das BDSG ist bekannt für seine Strenge. Für Unternehmen, die sich an die gesetzlichen Vorgaben halten, bringt Datenschutz aber auch einige Vorteile.

Vor allem mittelständische Unternehmen konzentrieren sich immer noch auf Schwachstellen in der Informationssicherheit. Wertvolle Unternehmensdaten sollen nicht durch technische Defekte oder menschliche Fehler verloren gehen oder von Unbefugten unberechtigt kopiert oder ausgeschnüffelt werden. Das ist zweifelsohne wichtig.

Dabei wird aber oft der Datenschutz vernachlässigt, also die sichere Handhabung personenbezogener Daten. Dabei hängen Informationssicherheit und Datenschutz eng zusammen, denn was personenbezogene Daten schützt, schützt auch Betriebs- und Geschäftsgeheimnisse.

yourIT - Datenschutz im Informationssicherheits-Kontext

Verbot mit Erlaubnisvorbehalt

Win-win durch Datenschutz

Unsere Mandantenzeitung Datenschutz Now!

5 typische Schwachstellen

1. Rechner nicht gesperrt

Ich freue mich auf Ihre Termin- und Projektanfragen. Fordern Sie uns!

Ihr Thomas Ströbele

 

BEST OF CONSULTING 2015 - Initiative Mittelstand prämiert yourIT-Beratungspakete mit dem Innovationspreis-IT

Unsere Beratungspakete

• Kern-Prozessanalyse
• Sicherheitsaudit "IT-Infrastruktur"
• Informations-Sicherheitsanalyse ISA+

wurden beim Innovationspreis-IT der Initative Mittelstand mit dem Preis BEST OF CONSULTING 2015 ausgezeichnet.

Datenschutz ist kein Luxus sondern gesetzlich vorgeschrieben! Wir unterstützen Sie gerne als Datenschutz-Berater und/oder als externer Datenschutzbeauftragter. yourIT steht seit 11 Jahren für Sicherheit in allen IT-Fragen.

Die Pflicht eines Unternehmens zur Schaffung einer sicheren IT-Struktur ist im Datenschutzrecht [im BundesDatenSchutzGesetz, im TeleKommunikationsGesetz und im Gesetz zu Kontrolle und Transparenz] begründet.

Das Bundesdatenschutzgesetz (BDSG) schreibt den Umgang mit persönlichen Daten von Kunden, Geschäftpartnern und Mitarbeitern vor. Es beinhaltet u.a. die Vorschrift zur Bestellung eines Datenschutzbeauftragten (DSB), wenn mehr als 9 Mitarbeiter ( incl. Teilzeitkräfte, Aushilfen, Azubi ) personenbezogene Daten mittels EDV bearbeiten.

Werden so genannte "sensible Daten", das sind Daten über Gesundheit, Leistungsfähigkeit, Religion oder ethnische Herkunft verarbeitet, muss in jedem Fall ein DSB bestellt werden. Verstöße werden mit hohen Bußgeldern geahndet.

Wenn Mitarbeiter den PC an ihrem Arbeitsplatz auch für privates E-Mailen und Surfen nutzen dürfen, müssen die einschlägigen Vorschriften des Telekommunikations Gesetzes (TKG) beachtet werden, sonst droht auch hier ein Bußgeld sowie die Strafbarkeit nach §206 des Strafgesetzbuches (STGB).

Die Anforderungen an Verträge zur Auftragsdatenverarbeitung wurden durch die Novellierung des BDSG im September 2009 drastisch verschärft.

GmbH-Geschäftführer und Vorstände einer AG sind nach dem KonTraG verpflichtet, ein Risiko-Früherkennungssystem einzuführen um den Fortbestand des Unternehmens zu sichern. Dieses System muß auch den IT-Bereich umfassen (Zugriff auf Daten im Notfall). Versagt das Konzept haftet die Unternehmensführung persönlich.

yourIT - Wir stehen für Sicherheit in allen IT-Fragen

Immer mehr Firmen, speziell Auftragsdatenverarbeiter gemäß § 11 BDSG entdecken das Thema Datenschutz als Bestandteil ihrer Marketingstrategie neu. Denn die Kunden (hier: Auftraggeber) werden aufgrund der aktuellen Entwicklungen gesteigerten Wert darauf legen, dass sorgsam mit Ihren persönlichen Daten umgegangen wird. Als Dienstleister für Dienstleister bieten wir Ihnen die passende §-11-Zertifizierung - für KMU sponsored by ESF.

Vor allem bei internationalem Datentransfer und/oder in internationalen Konzernen sollten Sie einen Datenschutzbeauftragten haben, der sich damit auskennt. Dass wir von yourIT Ahnung von Konzern-Strukturen und -Abläufen haben, belegen unsere Lösungen zur Konzernkonsolidierung (www.intercompanyWEB.com und www.groupreportWEB.com). Lesen Sier hierzu auch meinen Beitrag auf diesem Blog.

Wir bieten Ihnen die Möglichkeit, einen geprüften Datenschutzbeauftragten (externer DSB) gemäß §4f des Bundesdatenschutzgesetzes (BDSG) zu bestellen, der Sie bei der Umsetzung der o.g. Vorschriften unterstützt.

Um den Weg in das Thema Datenschutz so einfach wie möglich zu gestalten, bieten wir unseren Kunden und Interessenten einen halbtägigen Workshop Datenschutz an. In 5 Schritten zeigt unser Datenschutzberater Ihnen die wichtigsten Punkte des BDSG incl. Novellen 2009 und erklären dabei, wie Sie aus eigener Power mit externer Unterstützung die Anforderungen schnellstmöglich erreichen. Wir machen Ihnen gerne ein Angebot!

Ihre Möglichkeiten einer Zusammenarbeit mit yourIT:

- Sie haben einen betrieblichen / internen Beauftragten für den Datenschutz bestellt? Über einen Beratervertrag unterstützen und schulen wir diesen gerne ab sofort bei der Durchführung seiner Tätigkeit.
- Alternativ bestellen Sie einen unserer Mitarbeiter zu Ihrem externen Datenschutzbeauftragten.

In dieser Region macht eine Zusammenarbeit mit yourIT auf jeden Fall Sinn:

Bestellen Sie einen externen Datenschutzbeauftragten von yourIT, wenn Sie aus folgenden Regionen kommen - denn unsere Mitarbeiter sind auch von hier.

Landkreise

Städte

Böblingen, Calw, Esslingen, Freudenstadt, Reutlingen, Rottweil, Schwarzwald-Baar, Sigmaringen, Stuttgart, Tübingen, Tuttlingen, Zollern-Alb, Zollernalbkreis

Aichtal, Albstadt, Alpirsbach, Altensteig, Bad Cannstatt, Bad Dürrheim , Bad Herrenalb, Bad Liebenzell, Bad Saulgau ,Bad Teinach-Zavelstein, Bad Urach, Bad Wildbad, Balingen, Birkach, Blumberg, Botnang, Böblingen, Bräunlingen ,Burladingen, Degerloch, Donaueschingen, Dornhan, Dornstetten, Esslingen, Feuerbach, Filderstadt, Freudenstadt, Fridingen an der Donau, Furtwangen im Schwarzwald, Geislingen, Gammertingen, Geisingen, Haigerloch, Haiterbach, Hayingen , Hechingen, Hedelfingen, Herrenberg, Hettingen, Horb am Neckar, Hüfingen ,Kirchheim unter Teck, Leinfelden-Echterdingen, Mengen ,Meßstetten, Meßkirch , Metzingen , Möhringen,, Mössingen, Mühlhausen, Mühlheim an der Donau, Münsingen, Münster Nagold, Neubulach, Neuffen, Nürttingen, Oberndorf am Neckar, Obertürkheim, Ostfildern, Owen, Pfullendorf, Pfullingen , Plieningen, Plochingen, Reutlingen, Rottenburg am Neckar, Rottweil, Rosenfeld, Scheer, Schiltach , Schömberg, Schramberg, Sigmaringen, Sillenbuch, Sindelfingen, Spaichingen, Starzach, Stammheim , St. Georgen im Schwarzwald, Stuttgart, Sulz am Neckar, Triberg im Schwarzwald, Trochtelfingen, Trossingen, Tübingen, Tuttlingen, Untertürkheim, Vaihingen, Veringenstadt, Villingen-Schwenningen, Vöhrenbach , Wangen, Weilheim an der Teck

Sollten Sie Ihren Firmensitz außerhalb unserer Region haben, können wir Sie auf Wunsch gerne trotzdem betreuen. Gerne nennen wir Ihnen aber auch einen unserer deutschlandweit vertretenen und ebenso qualifizierten Partner.

Möchten auch Sie unseren Weg ins Thema Datenschutz kennenlernen? Ich freue mich auf Ihre Projektanfrage. Fordern Sie uns!

Ihr Thomas Ströbele

Das Landratsamt Zollernalbkreis weist aktuell auf die Verpflichtung von Unternehmen hin, einen Datenschutzbeauftragten zu bestellen.

Der Artikel umfasst sowohl die Rechtsgrundlagen als auch ein Musterformular für die Bestellung des internen oder externen Datenschutzbauftragten und nennt die mit bis zu 50.000 EUR bußgeldbewehrten Rechtsfolgen einer vorsätzlichen oder fahrlässigen Nicht-Bestellung.

Wir von yourIT, Ihrem IT-Systemhaus im Zollernalbkreis, helfen Ihnen gerne bei der Entscheidung, ob für Ihr Unternehmen ein interner oder ein externer Datenschutzbauftragter sinnvoller ist. Unser Beratervertrag bietet Ihnen in beiden Fälle unsere Unterstützung an. Wir schulen und beraten interne Datenschutzbeauftragte. Gleichzeitig können Sie mich auch zu Ihrem externen Datenschutzbeauftragten bestellen. Fordern Sie uns!

Den gesamten Beitrag finden Sie auf der Webseite des Landratsamtes Zollernalbkreis www.zollernalbkreis.de. Dieser Text ist in enger Zusammenarbeit mit den fachlich zuständigen Stellen entstanden. Der Landesbeauftragte für den Datenschutz hat dessen ausführliche Fassung am 10.08.2012 freigegeben.