About martin.henkel@computerfritze.de

Computer haben mich schon als Kind fasziniert. Meinen ersten Computer kaufte ich mir 1982 und seit dem hat mich dieses Thema nicht mehr losgelassen. Bereits 1993 machte ich mich als IT-Service für kleine und mittelständische Unternehmen in Erkelenz selbständig. Seinerzeit bestand die Haupttätigkeit noch im Vertrieb und der Installation geeigneter Hardware, sowie die damals noch recht komplizierte Einrichtung von Netzwerken. Zum Ende der 90-iger Jahre bin ich zusätzlich in Großprojekten tätig geworden. Dort habe ich für mittlere und große Firmen PC- und Software- Rollouts (5.000 -100.000 PCs) geplant und durchgeführt. Darüber hinaus habe ich Konzerne und mittelständisch IT-Service-Unternehmen im Aufbau eigener IT-Service-Bereich unterstützt. Seit 2016 bin ich wieder ausschließlich lokal in Erkelenz und Umgebung tätig.

Posts by Martin Henkel:

oeffnungszeiten

/ , / 0 comments

Sommerzeit? Winterzeit? Öffnungszeit!

Es steht ja nun wieder einmal die Umstellung auf die sogenannten Sommerzeit bevor. Aus diesem Anlass habe ich auch mal meine Öffnungs- und Arbeitszeiten überdacht.

Die medizinische Forschung und besonders die Schlafforschung ist sich ja weitgehend darüber einig, dass ein Wechsel zwischen Sommerzeit und Winterzeit der Gesundheit nicht gut tut. Die DAK kommt in einer Untersuchung sogar zu dem Ergebnis, dass in den ersten drei Tagen nach der Zeitumstellung bis zu 25% mehr Herzinfarkte auftreten.

Für mich ein guter Grund hieran etwas zu ändern und ich habe mich entschieden meine Öffnungszeiten ab sofort der Sommer- bzw. Winterzeit anzupassen. Für mich wieder ein Stückchen mehr Gesundheit und Lebensqualität!

Die Öffnungszeiten ändern sich also wie folgt:

Winterzeit (28.10.2018 – 31.03.2019)

Montag – Freitag 08:00-16:00 Uhr
Tel.: 02164/4400

Sommerzeit (31.03.2019 – 27.10.2019)

Montag – Freitag 09:00-17:00 Uhr
Tel.: 02164/4400

Außerhalb der Öffnungszeiten erreichen Sie mich natürlich immer per EMail an info[at]computerfritze.de oder über das Kontaktformular.

windows_aktualisieren

/ / 0 comments

Windows 7 aktualisieren? Wie? Alternativen?

Es hat sich vielleicht schon herumgesprochen. Ab dem 01.01.2020 (also in 11 Monaten) wird Windows 7 von Microsoft nicht mehr unterstützt.

Dies bedeutet konkret, dass Microsoft für Windows 7 keine Sicherheitsupdates mehr zur Verfügung stellt. Und wer dann noch Windows 7 nutzt, läuft Gefahr zum Opfer von Hackern oder anderen Sicherheitsvorfällen zu werden.

Aber was tun? Ich stelle Ihnen hier kurz vier Wege vor, wie Sie zu einem aktuellen und/oder sicheren Betriebssystem kommen.

In den meisten Fällen sind Windows 7 oder Windows 8.1 in der Leistung auch für Windows 10 geeignet. Ist der PC aber unter Windows 7/8.1 schon sehr träge, ist es evtl. sinnvoll auch über ein Hardware-Update (Aufrüstung oder Neukauf) nachzudenken. Da berate ich Sie aber auch gerne – wie immer kostenlos und unverbindlich.

1. Auf Windows 10 aktualisieren

Was nur wenige wissen: noch (!!!) gibt es die Möglichkeit kostenlos auf Windows 10 zu aktualisieren. So richtig offiziell wird dieser Weg von Microsoft aber nicht mehr beworben, jedoch gelten die Aktivierungsschlüssel für Windows 7 und Windows 8.1 auch noch für die Aktivierung von Windows 10 nach einem Update.

Wer sich für diesen Weg entscheidet, sollte dies aber bald tun. Es ist denkbar dass Microsoft diese Möglichkeit über kurz oder lang deaktiviert. Eine Anleitung wie man dieses Update durchführen kann, findet sich z. B. in dem Computerbild-Artikel ‘Windows-10-Upgrade kostenlos: So steigen Sie gratis um!‘

Aber bitte nicht vergessen: VORHER Daten sichern!

Wenn Sie sich das Update nicht selbst zutrauen oder eine neue WIndows 10 Lizenz benötigen, helfe ich Ihnen natürlich gerne!

2. Alles neu mit Windows 10

Manchmal ist es auch sinnvoll ein System mit Windows 10 neu zu installieren. Etwa wenn Sie Ihre Hardware aufrüsten (z.B. schnelle SSD statt lahme HDD Festplatte) oder einen neuen PC kaufen.

Eine Neuinstallation hat auch oft den Charme, dass man sich gleichzeitig auch des über Jahre angesammelten Ballastes in Windows 7/8.1 entledigen kann. Bei einem neuen PC fallen da i.d.R nicht mal die Lizenzkosten an, da Windows 10 meist bereits vorinstalliert ist.

Aber denken Sie bitte daran, dass Sie im Falle einer Neuinstallation auch die Lizenzen für die anderen Programme (z. B. MS Office) mit umziehen oder ggf. auch neu kaufen müssen! Also besser vorher mal eine Liste der häufig genutzten Programme, deren Installationsquellen (CD oder so) und Lizenzen machen.

Haben Sie Fragen zur Neuinstallation bzw. zum Umzug Ihrer Daten oder Programme, sollten Sie inzwischen wissen wer Ihnen hilft: Der Computerfritze! 🙂


3. Linux! Es muss nicht immer Windows sein!

Viele Anwender im Business Bereich sind leider auf Programme angewiesen die nur unter Windows funktionieren. Wer aber nicht in dieser Zwickmühle steckt und bereit ist sich an ein sehr benutzerfreundliches und extrem stabiles, sicheres System zu gewöhnen, sollte prüfen ob nicht auch Linux eine gute Alternative ist.

Linux ist ein kostenloses und freies Betriebssystem, dass bereits die meisten benötigten Programme (z. B. für EMail, Office Programme) kostenlos mitliefert. Eben weil Linux so sicher ist, wird es auch überall gerne eingesetzt wo besonders hohe Anforderungen an Sicherheit und Stabilität gestellt werden (z. B. Polizei- und Sicherheitsbehörden, Raumfahrt, Industrie, Router usw.).

Gleichzeitig glänzt Linux mit einer Benutzerfreundlichkeit die oft weit über die kommerziellen Systeme, also Windows und Apple, hinausgeht. Und das Beste ist: Praktische Hilfe bei der Umstellung und Beratung gibt es ganz kostenlos bei der Linux User Gruppe in Erkelenz!

Ich selbst nutze übrigens Linux seit mehr als 20 Jahren und kenne Installations-, Update- und Lizenzprobleme nur noch von meinen Kunden.

4. Windows 7 behalten und härten

Auch diese Option sei erwähnt. Tatsächlich kommt es gar nicht so selten vor, dass eine Aktualisierung gar nicht möglich ist. Etwa weil die liebgewonnene oder betriebswichtige Software gar nicht unter Windows 10 läuft. Oder weil es für eine spezielle Hardware keine Treiber für das neueste Windows gibt. Ich treffe immer noch Windows XP (!!!) Rechner bei Kunden an, die z. B. bestimmte Maschinen in der Produktion steuern, aber vom Hersteller nie aktualisiert wurden (Maschinen sind eben langlebiger als Software …).

Aber kann man solche Geräte noch sicher betreiben? Ja, man kann! Dazu braucht es allerdings zwei Dinge:

Einen Administrator der sämtliche Systemzugriffe auf das absolute notwendige Minimum reduziert (Stichwort Systemhärtung) und sicherstellt, dass im Falle einer Kompromittierung der Schaden begrenzt werden kann.

Die zweite wichtige Komponente ist das Sicherheitsbewusstsein der Anwender. Wer ein “altes” System betreibt, sollte sehr genau darüber informiert sein, welche Dinge er damit (noch) tun darf ohne sein System und seine Daten zu gefährden. Ggf. ist hier eine Fachberatung oder Schulung sinnvoll. (Sie wissen schon, einfach anrufen … 🙂

Als typischer Büro Arbeitsplatz mit EMails, Web-Surfen, Sozialen Netzwerken und evtl. noch selbst installierter Software ist so ein PC definitiv nicht mehr geeignet!

Ich hoffe, dass Ihnen dieser Artikel einen Überblick über Ihre Möglichkeiten gegeben hat wie Sie mit dem Support Ende von Windows 7 umgehen möchten. Wenn Ihnen dieser Artikel gefallen hat oder Sie noch Fragen haben, können Sie auch gerne die Kommentarfunktion nutzen.

microsoft_windows_defender

/ / 2 comments

Windows 10: Antivirus-Software überflüssig?

Es hat sich in den letzten Jahren herumgesprochen: Ohne zusätzlichen, kostenpflichtigen Virenscanner lässt sich Windows nicht sicher betreiben! Dabei liefert doch Microsoft schon seit Windows 8 den kostenlosen Virenscanner ‘Windows Defender’ gleich mit. Grund genug einmal genauer hinzuschauen. 

In der Anfangsphase des ‘Windows Defender’ fiel die Erkennungsrate bei Schadsoftware deutlich gegenüber den anderen kommerziellen Virenscannern ab. Aber Microsoft hat zwischenzeitlich viel getan. Wie  aktuelle Tests zeigen hat der ‘Windows Defender’ mittlerweile zu den anderen Anti-Viren Produkten aufgeschlossen .

Virenschutz gefährlich?

Eine Anti-Viren Software muss sich sehr tief in Windows verankern um den Computer vor Schaden zu bewahren. Und wir haben in den letzten Jahren immer wieder erlebt, dass auch Anti-Viren Programme Fehler enthalten können, die aufgrund der tiefen Verankerung im System, erhebliche Sicherheitsrisiken mit sich bringen!

Warum also nicht gleich den Virenscanner von Microsoft nehmen? Man sollte doch denken, dass der Hersteller von Windows am besten weiß, wie man einen Virenscanner sicher in einem Betriebssystem wie Windows 10 integriert?

Während vor gut einem Jahr der Windows Virencanner ‘Defender’ mit einer Schutzwirkung von 4.5 Punkten zu den schlechtesten gehörte, sieht das inzwischen ganz anders aus! Inzwischen hat aber der ‘Windows Defender’ mit einer Schutzwirkung von 5.5 Punkten deutlich zu den anderen Anti-Viren Produkten aufgeschlossen!

‘Windows Defender’ reicht?

Immer mehr Sicherheitsexperten halten daher den Schutz des ‘Windows Defenders’ für ausreichend, wie auch das Fachmagazin ‘ct’ auf heise online berichtet. Und immerhin wird der ‘Windows Defender’ mit jedem neuen Windows System kostenlos mit ausgeliefert!

Dennoch gibt es natürlich guten Gründe auch nach wie vor auf zusätzliche, kommerzielle Virenscanner zu setzen. Wer z. B. die zusätzlichen Features nutzt wie Kindersicherung, Passwort Manager usw. möchte vielleicht gerne bei den bisher vertrauten Produkten bleiben. Und da spricht auch nichts dagegen, zumal sich die Kosten (20-40 € pro Jahr)  meist auch in Grenzen halten.

Wer jedoch einfach nur einen Virenschutz benötigt, kann auch einfach bei dem in Windows 10 bereits vorinstallierten ‘Windows Defender’ bleiben!

Eine Warnung zum Schluss!

Ein grundsätzliches Problem bleibt allerdings: Ein Virenscanner kann immer nur die Viren erkennen, welche bereits bekannt sind! Für die Erkennung greifen Virenscanner auf eine Datenbank zurück in der die Erkennungsmerkmale der Schädlinge gespeichert sind. Neue Viren, Trojaner oder Würmer werden also erst erkannt, wenn sie in dieser Datenbank aufgeführt sind!

Der vorsichtige Umgang mit unbekannten EMails, Daten oder zweifelhaften Internetseiten ist daher neben dem Virenscanner die vielleicht wichtigste Ergänzung für ein sicheres Computer-System!

DSGVO_ErstesFazit

/ / 2 comments

DSGVO – Ein erstes Fazit

Die DSGVO ist nun seit einer Woche in Kraft. Die Datenschutzbeauftragen berichten von ihren Prioritäten, erste Abmahnungen wurden bekannt und viele Unklarheiten bleiben.

Erste Abmahnungen – Ist das legal?

Schon in der ersten Woche nach Inkrafttreten der DSGVO tauchen erste Abmahnungen auf! Wie die Anwaltskanzlei Hechler berichtet, sind dort 3 Abmahnungen eingegangen. Moniert wurde ein fehlendes Opt-Out bei Google Analytics Nutzung, fehlende Angabe des Verantwortlichen und nicht ausreichende Festlegung über Dauer und Zweck der Datenspeicherung. Auch die Anwaltskanzlei Weiß & Partner berichten von einer Abmahnung eines Ihrer Mandanten wegen einer fehlenden Datenschutzerklärung

Aber sind wettbewerbsrechtliche Abmahnungen bei Verletzungen des Datenschutz überhaupt zulässig? Zur Zeit entscheiden die Gerichte in Deutschland sehr unterschiedlich. Während das OLG Hamburg (Urteil vom 27.06.2013 – 3 U 26/12) diese Frage 2013 bejaht, lehnte das Kammergericht Berlin (Beschluss vom 29.04.2011 – 5 W 88/11) 2011 eine wettbewerbsrechtliche Ahndung bei Datenschutzverstößen ab.

Was machen die Aufsichtsbehörden?

Wie erste Veröffentlichungen einiger Datenschutzbeauftragen zeigen, liegen die Prioritäten der Behörden bei Firmen die eine Datenschutzfolgeabschätzung nach Artikel 35 DSGVO vornehmen müssen. Im Fokus sollen dabei Soziale Netzwerke, Scoring und Fahrzeugdaten stehen.

Obwohl das neue Gesetz eigentlich zur Harmonisierung des Datenschutzes in Europa beitragen sollte, scheint dies schon innerhalb Deutschlands schwierig zu sein. So sind die Listen der Verarbeitungstätigkeiten die eine Datenschutzfolgeabschätzung  erfordern, im Bund und in den einzelnen Ländern unterschiedlich (z. B. Liste Hamburg, Liste Baden-Württemberg, Liste Bund).

Immerhin stehen auf den Listen ganze Branchen wie Insolvenzverzeichnisse, Inkassodienstleister, Scoring-Institute (wie z. B. Schufa), Banken. Auch ganze Technologien wie Offline-Tracking von Kundenbewegungen in Supermärkten, Verkehrsstromdaten mittel Mobilfunk, Geolokalisierung von Beschäftigten und auch das Online Tracking werden in diesen Listen genannt.

Und die Community?

Die Datenschutz-Community noyb hat bereits vier Beschwerden gegen Google, Instagram, Whatsapp und Facebook eingereicht. Das könnte interessant werden! Weiter Beschwerden gegen Soziale Netzwerke sind bei noyb in Vorbereitung. Unterstützung erhält noyb dabei von einigen europäischen Datenschützern.

Ein Reihe von Community-Portalen und Foren habe ihr Seiten offline genommen, da den Betreibern das Risiko möglicher Abmahnungen zu hoch ist.

Welche Blüten die unklare Rechtssituation mitunter treibt, beschreibt heise online im DSGVO Absurditätenkabinett. Ganz besonders schön finde ich, wie sich die Fleischerei Walter in Salzbug (s. Bild) um den Datenschutz Ihrer Kunden kümmert 🙂

Ein erstes Fazit

Konnte man noch vor gut einer Woche glauben das der Untergang des (europäischen) Abendlandes mit der Einführung der DSGVO unmittelbar bevorsteht, scheint sich die Lage etwas zu beruhigen.

Bedenklich bleibt m.E.  allerdings, dass offenkundig sowohl die EU- als auch die Bundespolitik die Sorgen und Nöte der Netzgemeinde mit der Einführung der DSGVO scheinbar völlig ignoriert. Vielen Betreibern von kleinen Homepages, ehrenamtlichen Communities sind derzeit offline, weil wesentliche Klarstellungen im Gesetz fehlen. Offenbar sind digitale Communities für viele Politiker immer noch Neuland…

Während kleine Seiten von Vereinen, Comunities und kleine Firmen vorsichtshalber offline gehen, macht Google einfach so weiter wie bisher und Facebook nutzt die DSGVO um den Datenschutz noch weiter auszuhöhlen. Bleibt nur die vage Hoffnung, dass die Aufsichtsbehörden und Gerichte hier die notwendigen Korrekturen veranlassen!


eu-dsgvo-verfahrensverzeichnis

/ / 1 comment

DSGVO: Verzeichnis der Verabeitungtätigkeiten

oder: Datenschutz ist Qualität!

Die Angst geht um bei kleinen Unternehmen. Und sie hat einen Namen: EU-DSGVO.

Einer der größten Angstmacher ist wohl das „Verzeichnis der Verarbeitungstätigkeiten“ nach Art. 30 DSGVO. Eine Ursache ist wohl, dass einige Passagen in diesem Artikel etwas unklar formuliert wurden.

Ich bringe mit diesem Artikel Licht ins Dunkle, zeige Ihnen was konkret zu tun ist und wie Ihnen die DSGVO sogar helfen kann die Qualität in Ihrem Unternehmen zu verbessern!

Nun aber los! „Jeder Verantwortliche … „ führt „ein Verzeichnis aller Verarbeitungstätigkeiten“ (1). Der Satz ist ja eigentlich klar, oder? Aber der Gesetzgeber hat auch Ausnahmen geschaffen: Die Pflicht gilt nicht „für Unternehmen …, die weniger als 250 Mitarbeiter beschäftigen …“ (2).

Ist nun alles gut für KMUs? Nein, natürlich nicht! Die EU wäre nicht die EU wenn sie es nicht schaffen würde noch Ausnahmen von der Ausnahme zu schaffen :-). Dies bedeutet konkret: Auch wenn Ihr Unternehmen weniger als 250 Mitarbeiter hat, müssen Sie dieses Verzeichnis führen, wenn die Verarbeitung der Daten

  • ein Risiko für die Rechte und Freiheiten der betroffenen Personen bergen (z. B. Bonitätsscoringverfahren, Betrugspräventionsverfahren)
  • besondere Datenkategorien gemäß Art. 9 Abs. 1 DS-GVO oder über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DS-GVO betreffen
  • nicht nur gelegentlich erfolgen (alle sonstigen Verarbeitungen, z. B. Lohnabrechnungen, Kundendatenverwaltung, IT-Internet-/E-Mail-Protokollierung, Schulnoten) (3)

Also konkret: Betreiben Sie eine Kundendatenverwaltung, z. B. weil Sie Ihren Kunden Rechnungen schreiben, sind Sie schon dabei! Haben Sie aber z. B. einen Laden oder einen Kiosk und speichern keine Kundendaten (ausschließlich Bargeschäft) sind Sie evtl. von der Pflicht ein Verzeichnis zu führen befreit! Schade, damit haben Sie eine Chance verpasst, die Qualität Ihres Unternehmens zu verbessern…

Datenschutz und Qualität

OK, machen wir uns an die Arbeit! Schreiben wir endlich dieses verflixte Verzeichnis!

Aber Moment, was sind eigentlich Verarbeitungstätigkeiten? „Als Verarbeitungstätigkeit wird im Allgemeinen ein Geschäftsprozess auf geeignetem Abstraktionsniveau verstanden.“ (Auszug aus Hinweise für das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DS-GVO). Ah, das kommt mir bekannt vor: Geschäftsprozesse! Da kommt mir doch gleich das Thema Qualitätsmanagement in den Sinn! Richtig, das hatten wir doch schon mal mit ISO 9000 / ISO 9001!

Wow, wer also bereits nach ISO 9000/9001 zertifiziert ist, sollte es nun einfach haben: Die Liste mit den Geschäftsprozessen durchgehen und prüfen ob Personendaten verarbeitet werden und diese Prozesse dann in das Verzeichnis der Verarbeitungstätigkeiten übernehmen.

Wer, wie ich, diesen ISO Papiertiger noch nicht erlegt hat, muss nun erst einmal seine Geschäftsprozesse identifizieren. Aber wie geht das?

Nun, zu dem Thema gibt es jede Menge Literatur, wissenschaftlich Abhandlungen und reihenweise sehr ermüdender Fortbildungen. Aber wir wollen ja kein ganzes QMS aufbauen sondern nur die Geschäftsprozesse suchen, bei denen Personendaten verarbeitet werden. (Für die Prozessprofis unter Ihnen: Wir verfolgen hier den sog. „bottom-up“-Ansatz, auch „ist-orientierte Prozessidentifikation genannt“.)

In 3 Schritten zum Verfahrensverzeichnis

OK. wieder zurück zur Wirklichkeit. Die DS-GVO relevanten Prozesse können Sie ganz einfach identifizieren:

 

Schritt 1:

TIPP
Lassen Sie alle Arbeitsschritte weg, wo keine Personendaten verarbeitet werden!

Beispiele: „Zu Kunde gefahren“, „Mitarbeiter zusammen gestaucht“ 🙂

Gehen Sie einfach mal in Ruhe Ihre täglichen Arbeitsschritte durch oder schreiben Sie sich diese über einen gewissen Zeitraum auf (z. B. „Kunde ruft an“, „Angebot geschrieben“, „Kontaktdaten gespeichert“).

Ergebnis: Sie haben nun eine ziemlich chaotische Liste mit Tätigkeiten bei den Sie Personendaten erarbeiten

 

Schritt 2:

HINWEIS
Es gibt übrigens keine feste Regel wie diese „Verdichtung“ zu erfolgen hat und ob hier evtl. noch einmal in Geschäftsprozesse und Teilprozesse unterschieden werden muss! Bei größeren Firmen kann dies durchaus zu 5-6 Ebenen (z. B. Geschäftsprozesse, Teilprozesse, Unterprozesse, Prozesschritte, Arbeitsschritte) führen.

Versuchen Sie nun zusammengehörige Tätigkeiten zur größeren Prozessschritten oder Geschäftsprozessen zu „verdichten“.

Beispiel: Die beiden Tätigkeiten „Kunde ruft an“, „Termin vereinbart“ werden bei mir zum Geschäftsprozess „Supportanfrage“ zusammengefasst. Als kleines Unternehmen sollten Sie die Prozessstrukturen flach halten (2-3 Ebenen, z. B. Arbeitsschritte, Geschäftsprozesse)

Ergebnis: Sie haben jetzt eine übersichtliche Liste von Geschäftsprozessen bzw. eine Liste ihrer Verarbeitungstätigkeiten!

Schritt 3:

Beispiel Verfahrensverzeichnis vom LDA Bayern

Machen Sie eine Tabelle mit Ihren Verarbeitungstätigkeiten wie hier in dem Beispiel des LDA Bayern oder nutzen Sie das etwas umfangreichere Muster des LDI NRW.

Tragen Sie dort die Verarbeitungstätigkeiten ein bzw. füllen Sie die Vorlagen entsprechend aus

Ergebnis: Verzeichnis der Verarbeitungstätigkeiten nach Art 30 DSGVO

 

Nun, das war es auch schon. Für eine typischen Ein-Mann Betrieb dauert das höchstens 2-3 Stunden. Aber auch größere KMUs sollten mit dieser Anleitung schnell zum Ergebnis kommen!

 

Und was habe ich jetzt davon?

Natürlich haben Sie jetzt schon eine der großen Hürden für die DSGVO Konformität geschafft!

Und darüber hinaus haben Sie jetzt einen guten Überblick darüber wie Sie arbeiten (Geschäftsprozesse) und wie Ihre Geschäftsprozesse funktionieren! Damit habe Sie gleichzeitig eine erste Grundlage geschaffen um Ihre eigenen Geschäftsprozesse noch einmal zu überprüfen und vielleicht zu verbessern – heißt es doch “Wer aufhört, besser zu werden, hat aufgehört, gut zu sein.” (Philip Rosenthal).

 

 

Einzelnachweise

  1. Auszug aus DS_GVO Art. 30 Abs. 1, Satz 1 DSGVO
  2. Auszug DS-GVO Art. 30, Abs. 5, Satz 1
  3. Auszug aus “Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO”, Abruf am 17.04.18 von www.ldi.nrw.de
keine zeit für EU-DSGVO?

/ / 0 comments

EU-DSGVO? Mit dem Computerfritzen kein Problem!

Die neue EU Datenschutzverordnung tritt am 25.05.2018 in kraft. Das neue Datenschutzrecht schreibt u. a. vor, dass bei Verstößen gegen den Datenschutz Bußgelder verhängt werden müssen. Nun muss ja nicht jeder direkt mit der Höchststrafe von 20.000.000 € rechnen. Aber nach Art. 83 EU-DSGVO müssen die die Strafen im Einzelfall wirksam, verhältnismäßig und abschreckend sein. Die Bußgelder sollen also wirksam und abschreckend sein, d. h. wohl konkret: die Bußgelder sollen also ernsthaft wehtun!

Eine Reihe von Datenschutzexperten rechnen damit, dass die Datenschutzbeauftragen der Länder als Aufsichtsbehörde bereits in der Anfangszeit des Gesetzes einige Exempel mit abschreckenden Bußgeldern statuieren wird. Aber selbst wenn Sie als kleines oder mittelständisches  Unternehmen (noch) nicht im Fokus der Landesdatenschutzbeauftragten stehen – es reicht ja schon wenn ein (vielleicht unzufriedener) Kunde vorgebliche Verstöße gegen die EU-DSGVO meldet.

Sie sind schuldig bis Sie das Gegenteil beweisen!

Neu ist nämlich in der EU-DSGVO die Umkehr der Beweislast! Nicht die Aufsichtsbehörde oder Ihr Kunde muss den (vorgeblichen) Verstoß gegen das EU-DSGVO beweisen. Nein, Sie müssen beweisen, dass so etwas unmöglich in Ihrem Unternehmen vorkommen kann!

Aber wie macht man das? Aber auch da gibt das EU-DSGVO natürlich eine Antwort: Dokumentation!

Ja, aber, welche Dokumente müssen erstellt werden? und was muss d’rin stehen? Genau für diese Frage biete ich Ihnen jetzt drei Lösungen an:

  1. Besuchen Sie eine Fortbildung – das Internet schwappt vor Angeboten da gerade förmlich über 😉
  2. Haben Sie etwas Geduld, lesen Sie meine Artikelserie zur EU-DSGVO und machen Sie Ihre eigenen Dokumentation
  3. Holen Sie sich einen Dienstleister der das alles für Sie erledigt, z. B. mich 🙂

Der schnelle Weg zur EU-DSGVO Konformität

Ab sofort biete ich für Firmenkunden einen großen und umfassenden Check zur EU DSGVO Konformität an. Ich prüfe für Sie, welche Dokumente Sie erstellen müssen und welche weitere Maßnahmen (z. B. Bestellung Datenschutzbeauftragten) Sie ggf. nach EU-DSGVO ergreifen müssen.

In einem weiteren Schritt erstelle ich für Sie die erforderlichen Dokumente, z. B.:

  • die Risikobewertung nach Art. 35, Abs. 1 EU-DSGVO zur Feststellung ob ein hohes Risiko gegen ist
  • einen Projektplan zur Umsetzung der EU-DSGVO (nur für größere Unternehmen)
  • eine Datenschutz-Folgeabschätzung wenn nach Art. 35 Abs. 1 EU-DSGVO (hohes Risiko) erforderlich
  • Auflistung / Identifikation der Verarbeitungstätigkeiten (nicht immer zwingend, aber immer empfohlen!)
  • das Verzeichnis der Verarbeitungstätigkeiten, soweit erforderlich (Ausnahmen s. Art 30 Abs. 5 EU-DSGVO)
  • Bewertung des Datenschutzes durch Technikgestaltung i. S. d. Art 25 EU-DSGVO (Verschlüsselung, Daten-Separierung, Datensparsamkeit etc.)

Wie gesagt, wenn Sie Geduld haben und das alles selber machen wollen: kein Problem! Lesen Sie in den nächsten Wochen einfach meine Blog-Artikel zur EU-DSGVO und lernen Sie wie Sie die erforderlichen Dokumente selber erstellen. Aber natürlich berate und unterstütze ich Sie auch gerne dabei:

Montag – Freitag 08:00 -16:00 Uhr
Tel.: 02164/4400

Noch Fragen?

Ist das Thema EU-DSGVO noch komplett neu für Sie und Sie wollen einen ersten Eindruck bekommen, was da genau auf Sie zukommt? Dann lesen Sie doch einfach mal den freundlichen Folterfragebogen.

Wenn Sie Wünsche zu bestimmten Themen und/oder Artikeln rund um die EU-DSGBVO haben, schreiben Sie doch einfach einen Kommentar (weiter unten)! Gerne greife ich Ihr Thema auf und schreibe dazu einen Artikel1

 

 

 

eu-dsgvo-schnelleinstieg-sie-haben-post

/ / 0 comments

Schnellstart in die EU-DSGVO: Der freundliche Folterfragebogen

Sie möchten sich schnell einen Überblick über die wesentlichen Punkte der neuen EU-DSGVO (EU-Datenschutzgrundverordnung) verschaffen und wissen, was genau da auf Sie zukommt?

In dem unten stehenden fiktiven Brief – auch Folterfragebogen genannt – wird ein Auskunftsersuchen nach Art. 15 EU-DSGVO gestellt. Wenn Sie diese Fragen alle wahrheitsgemäß, vollständig und fristgerecht beantworten können, haben Sie schon ein großen Teil der Anforderungen der EU-DSGVO verstanden und erfüllt. Um Ihnen hier etwas zu helfen, haben Sie die Möglichkeit zu jeder Frage im Brief meine persönlichen Kommentare und eine Beispielantwort anzusehen.

EU-DSGVO Schnellstart

  1. Brief ohne Kommentare lesen oder hier herunterladen
  2. Die Fragen durcharbeiten und – soweit möglich – beantworten
  3. Bei Bedarf meine Kommentare und Beispielantworten zur Hilfe nehmen
  4. Die kommentierte Version gibt es hier als Download!

Super, der Einstieg ist geschafft! Sie wissen jetzt schon einiges mehr über die EU-DSGVO als vorher!

Wenn Sie diesen Brief  und seine Kommentare komplett durcharbeiten, haben Sie schon ein gutes Stück auf dem Weg zu einem modernen Datenschutz gemeistert! Die weiteren Schritte in den folgenden Artikeln sollten Ihnen dann keine großen Probleme mehr bereiten.

Sie können hier sowohl die unkommentierte als auch die kommentierte Version des Briefes herunterladen. Die Beispielbriefe unterliegen keinen urheberrechtlichen Beschränkungen und können von Ihnen nach Lust und Laune verwendet oder verändert werden.

Max Mustermann
Datenschutzweg 17
12345 Musterdorf

Firma
Beispielfirma GmbH
Auf dem Platz 21
D-54321 Musterstadt

Mai 2018

Datenschutzrechtliche Selbstauskunft nach Art. 15 DSGVO

Kommentar

Die Kommentare geben lediglich die Meinung des Verfassers wieder und stellen keine verbindliche Rechtsberatung i. S. d. Rechtsberatungsgesetzes dar. Das wäre ja auch verboten. Meine Weisheiten beziehe ich im Wesentlichen aus dem Gesetzestext, den von der EU veröffentlichten Erwägungsgründen sowie den Webseiten der Datenschutzbeauftragen der Bundes der Länder.

Die Kommentare und Beispiele richten sich an den typischen Verarbeitungsbedarf von KMUs. Bitte beachten Sie, dass insbesondere wenn Sie besonders sensible Daten i. S. d. Art. 9 DSGVO möglicherweise weitergehende Pflichten unterworfen sind!


Beispielantwort

Die Beispielantworten beziehen sich ganz konkret auf die Tätigkeit meine Firma Der Computerfritze. Wir erbringen Service-Dienstleistungen für die Beschaffung, Inbetriebnahme, Fehlerbehebung / Entstörung und Ablösung bzw. Entsorgung von IT-Anlagen (auch Computer genannt

Sehr geehrte Damen und Herren,

nach Art 15 DSGVO habe ich das Recht eine Bestätigung darüber zu verlangen, ob Sie personenbezogene Daten über meine Person gespeichert haben und bitte um entsprechende Mitteilung.

Kommentar

Nach Art. 15 Abs. 1, Satz 1 hat eine betroffene Person das Recht eine Bestätigung darüber zu verlangen, ob Ihr Unternehmen sie betreffende personenbezogene Daten verarbeitet. Dies gilt unabhängig davon, dass Sie auch schon bei der Erhebung der Daten beim Betroffenen nach Art. 13 DSGVO verpflichtet sind, dies der Person mitzuteilen. Haben Sie die Daten nicht bei der betroffenen Person erhoben (z. B. die Daten eines Kunden von einem Geschäftspartner erhalten) sind Sie nach Art. 14 DSGVO verpflichtet dies innerhalb eines Monats (i. d. R max. 1 Monat) – unabhängig von der hier besprochenen Selbstauskunft – der betroffenen Person mitzuteilen!

Sofern Sie keine Daten über die betroffene Person verarbeiten oder die Daten unumkehrbar (!!!) anonymisiert haben, sind Sie dennoch verpflichtet eine Negativauskunft abzugeben (z. B. „Ihre Personendaten sind bei uns weder gespeichert noch anderweitig verarbeitet.“


Beispielantwort

Wie wir Ihnen bereits bei der Terminvereinbarung telefonisch mitgeteilt haben, werden die für die Erfüllung Ihres Auftrages erforderlichen Daten und uns gespeichert und verarbeitet. Die Detailinformationen zu Ihren Daten und deren Verarbeitung erhalten wunschgemäß nachstehend.

Soweit dies zutrifft, mache ich von von meinen Recht auf Auskunft nach Art. 15 DSGVO gebrauch und bitte um vollständig Übermittlung der bei Ihnen über mich gespeicherten persönlichen Daten (z. B. Name, Vorname, Anschrift, Email-Adresse, Geburtsdatum etc.).

Kommentar

Eine betroffene Person hat nach Art. 15 ein Auskunftsrecht welches er in angemessenen Abständen wahrnehmen kann um die Rechtmäßigkeit der Verarbeitung zu prüfen. Eine betroffene Person hat das Recht auf umfassende Auskunft über alle personenbezogenen Daten. In den Erwägungsgründen werden hier auch explizit medizinische Daten (Arztberichte, Diagnosen etc.) aufgeführt.

Sofern sehr umfangreiche Informationen über die betroffene Person verarbeitet werden, kann der Verantwortliche in Ihrem Unternehmen die Präzisierung des Auskunftsanspruch bzw. der Verarbeitungsvorgänge (z. B. „Alle Untersuchungsergebnisse meines Krankenhausaufenthaltes vom 01.01.18-20-01.18“) verlangen.

Eine weitere Grenze findet das Auskunftsrecht in den Rechten und Freiheiten anderer Personen, sowie ggf. Geschäftsgeheimnissen, Recht am geistigen Eigentum und Urheberrecht an Software. Allerdings dürfen diese Gründe nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird.


Beispielantwort

Damit wir Ihren Auftrag wunschgemäß und in gewohnt hoher Qualität erledigen konnten, haben wir folgende Daten und Informationen über Sie gespeichert und verarbeitet:
Name, Vorname: Mustermann, Max
Anschrift: Datenschutzweg 17, 12345 Musterstadt
Telefonnummer(n): 01234/5678901, 0123/4567890123
Email-Adresse: max.mustermann@email.com

Darüber hinaus speichern wir im Rahmen unserer Aufzeichnungs- und Dokumentationspflichten und in persönlicher Ansprache mit Ihnen ggf. Zugangsdaten und Passwörter. Die Speicherung dieser Daten erfolgt jedoch nur auf Anweisung des Kunden und dient ausschließlich der Vorbeugung von Datenverlust.

Darüber hinaus bitte ich Sie mir gem. Art 15 DSGVO mir auch folgende Informationen in angemessener Zeit zur Verfügung zu stellen:

1. Welchen Verarbeitungszwecken dient die Speicherung bzw. Verarbeitung meiner Daten?

Kommentar

Der Begriff des „Verarbeitungszweckes“ wurde leider im Gesetzt nicht konkret definiert. Laut den Erwägungsgründen zum Gesetztestext sollte eine betroffene Person das Recht haben die Rechtmäßigkeit der Verarbeitung der sie betreffenden personenbezogenen Daten überprüfen zu können (Erwägungsgrund Nr. 63, Satz 1). „Jede betroffene Person sollte daher ein Anrecht drauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden….“ (Erwägungsgrund Nr. 63, Satz 3).

In diesem Sinne kann es hierbei also nur um die Frage gehen, ob eine Rechtmäßigkeit der Verarbeitung i. S. d. Art. 6 DSGVO gegeben ist. Entsprechend kommen nur folgende Verarbeitungszwecke in Betracht:

a) Zwecke zu denen die betroffene Person eingewilligt hat (z. B. Telefonnummer zur Abstimmung Liefertermin)
b) Verarbeitung ist zur Erfüllung eines Vertrages mit der betroffenen Person erforderlich (z. B. Adresse zur Lieferung)
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich (z. B. Adresse Rechnungsstellung nach USTG / USTAE)

Artikel 6 DSGVO erwähnt noch einige andere Gründe, die aber im privatrechtlichen Geschäftsverkehr eher wenige relevant sind. Die Verarbeitungszwecken sollten sich also daran orientieren, was Artikel 6 DSGVO vorgibt und wozu die betroffenen Person eingewilligt hat.


Beispielantwort

Name, Vorname, Adresse werden von uns benötigt, damit wir unserer Dienstleistungen und Dokumentation den richtigen Personen zuordnen können. Ferner benötigen wir Ihren Nachnamen und Ihre Adresse damit wir Sie bei VorOrt Terminen aufsuchen können. Und nicht zuletzt schreibt uns das Steuerrecht (USTG) vor, dass eine ordnungsgemäße Rechnung Namen und Adresse des Leistungsempfängers enthalten muss.

Ihr Telefonnummer verwenden wir ausschließlich für Rückfragen oder Terminabstimmungen.

Ihre EMail Adresse benötigen wir, um Ihnen den jeweiligen Arbeitsbericht sowie die Rechnung zukommen zu lassen.

2. Welche Kategorien der mich betreffenden personenbezogener Daten werden von Ihnen verarbeitet?

Kommentar

Die Nennung personenbezogener Daten in einem für alle zugänglichen Verzeichnis würde ja gegen die Grundsätze des Datenschutzes verstoßen. Daher wurden zusätzlich „Kategorien“ von Daten eingeführt, die auch in öffentlichen Verzeichnissen ausgeführt werden können. Dabei gilt, dass die Kategorien so konkret wie möglich den Inhalt der Daten beschreiben soll. z. B. wäre „Kundendaten“ zu ungenau. „Adressdaten“ wäre jedoch eine hinreichend genaue Kategorie, da wir ja alle wissen, das Adressdaten z.B. aus Name und Anschrift bestehen.

Dieser Punkt zielt aber auch auf die Frage ab, ob und inwieweit besondere Kategorien personenbezogener Daten i. S. d. Art. 9 DSVGO verarbeitet werden. Dazu zählen alle Daten aus denen die rassische und ethnische Herkunft oder religiöse / weltanschauliche Überzeugungen hervorgeht, sowie genetische und biometrische Daten die zur Identifizierung einer Person dienen und Daten zum Sexualleben oder zur sexuellen Orientierung einer Person. Die Erhebung und Verarbeitung dieser Daten ist grundsätzlich untersagt!

Allerdings zählen auch schon normale Personaldaten (z. B. Religionszugehörigkeit, Nationalität etc.) zu den besonderen Kategorien i. S. des Art. 9 EU-DSGVO. Hier ist zu beachten, dass Ihnen zumindest bewusst sein sollte, dass es sich hierbei um besondere Kategorien handelt, bei denen der Gesetzgeber auch strengere Regeln für die Erhebung und Verarbeitung vorgibt.

Auf jeden Fall müssen Sie diese Kategorien hier in der Selbstauskunft eindeutig benennen und am Besten auch gleich die Rechtsgrundlage dazu!


Beispielantwort

Wir speichern nur und ausschließlich Adress- und Telefondaten und auch nur soweit es zur Erfüllung unserer Aufgabe erforderlich ist. Auf keinen Fall erheben und verarbeiten wir besondere Kategorien personenbezogener Daten im Sinne des Artikel 9 DSGVO.

3. Welche Empfänger oder Kategorien von Empfängern haben meine Daten von Ihnen bereits erhalten oder werde diese von Ihnen erhalten?

Kommentar

Als Empfänger gelten nach Art 4 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle. Ausnahme sind eigentlich nur bestimmte Behörden (z. B. Ermittlungsbehörden). Wichtig zu Wissen ist, dass zu den Empfänger auch Auftragsverarbeiter (Art. 4 Abs. 1 Nr. 8) zählen. Nutzen Sie also zum Beispiel das zentrale Adressbuch Ihres Email-Anbieters oder nutzen Sie einen Dienstleister um z. B. Rechnungen zu erstellen, sind diese Empfänger hier aufzuführen. Hierbei können auch Kategorien von Empfängern genannt werden (z. B. Steuerberater, Banken, Personalabteilung) . Die Kategorien sollten allerdings so konkret sein, dass für die betroffene Person ein klares Bild über die Verarbeitung seiner personenbezogenen Daten entsteht. Die Kategorie „Mitarbeiter“ wäre z. B. zu ungenau, da diese Kategorie keine Hinweise auf die Art der Datenverarbeitung zulässt.


Beispielantwort

Zur Erstellung unserer Rechnungen nutzen wir als Auftragsverarbeiter einen Online Dienst der Firma Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg. Hier werden aber lediglich Ihre Adressdaten zur Erstellung einer rechtssicheren Rechnung verarbeitet.
Für den täglichen Email-Verkehr nutzen wir die das Webhosting Angebot der Fa. Strato AG, Pascalstraße 10, 10587 Berlin als Auftragsverarbeitung für die Verarbeitung (Senden und Empfangen von Emails. Dabei wird lediglich Ihr Name und Ihre Email-Adresse im zentralen Adressbuch der Firma Computerfritze verarbeitet. Diese Verarbeitung erfogt auf den Mailservern der Fa. Strato.

4. Für welche Dauer werden Sie meine persönlichen Daten speichern bzw. verarbeiten? Oder, sofern Sie hier keine Auskunft geben können, nach welchen Kriterien wird die Dauer der Speicherung bzw. Verarbeitung meiner Personendaten bei Ihnen festgelegt?

Kommentar

Auch hier sollten Sie die Dauer der Speicherung oder Verarbeitung möglichst genau angeben. In der Praxis dürfte dies jedoch schon häufig daran scheitern, dass der genau Zeitpunkt der Datenerfassung in vielen Fällen gar nicht genau dokumentiert wurde oder die verwendete Software diese Informationen einfach nicht verfügbar hält. In diesen Fällen sollten Kriterien definiert werden für die Festlegung der Speicher- bzw. Verarbeitungsdauer.

In vielen Fällen, sind die Speicherfristen ja auch schon durch gesetzliche Regelungen festgelegt. Z. B. muss ich Rechnungsdaten mit Name und Anschrift ja auf jeden Fall 10 Jahre für das Finanzamt aufheben.


Beispielantwort

Durch steuerliche Regelungen sind wir gezwungen Ihre Rechnungsdaten (Name, Adresse) 10 Jahre lang aufzubewahren. Nach Ablauf dieser Frist (letzte Rechnung älter als 10 Jahre) werden Ihre Daten bei uns und unseren Auftragsverarbeitern vollständig gelöscht.

Daten die bei uns im Rahmen unserer Dokumentationspflichten (z. B. auch zum Nachweise der Leistungserbringung) gespeichert und verarbeitet werden, bleiben ebenfalls für 10 Jahre gespeichert, da wir verpflichtet sind sämtliche Geschäftsvorfälle nachvollziehbar aufzuzeichnen (warum kam es hier zu einer Rechnungserstellung). Nach Ablauf von 10 Jahren werden diese Daten entweder gelöscht oder vollständig pseudonymisiert.

Daten die bei uns zu Sicherungszwecken (z. B. bei der Wiederherstellung defekter Datenträger) gespeichert und/oder verarbeitet wurden, werden bei uns innerhalb eines Jahres vollständig von unseren Systemen entfernt, sofern nicht ein ausdrücklicher Auftrag zur dauerhaften Archivierung erteilt wurde.

5. Welche Rechte habe ich die Berichtigung, Löschung und/oder Einschränkung der Verarbeitung meinen Personendaten zu verlangen oder gegen der Verarbeitung meiner Daten zu widersprechen? Und wer ist da bei Ihnen verantwortlich?

Kommentar

Jede von der Verarbeitung betroffenen Person hat jederzeit das Recht die Berichtigungen fehlerhafter sie betreffender Daten zu verlangen (Art. 16 DSGVO).

Die Löschung der personenbezogenen Daten (Art. 17 DSGVO) kann verlangt werden wenn
– der Zweck der zur Speicherung/Verarbeitung der Daten entfällt
– die betroffene Person der die Einwilligung zur Verarbeitung widerruft oder der Verarbeitung widerspricht
– die personenbezogenen Daten zu Unrecht verarbeitet wurden
– gesetzliche Regelungen die Löschung verlangen.

Selbstverständlich können andere rechtl. Gründe dazu führen, dass die Löschung nicht durchgeführt werden darf (z. B. Rechnungsdaten und das liebe USTG). Sofern aber eine gesetzliche Regelung der Löschung nicht widerspricht, ist dem Löschersuchen nachzukommen!

Ein Sonderfall ist die Einschränkung der Verarbeitung. Details hierzu sind in Art. 18 DSGVO aufgeführt. Dabei kann z. B. eine betroffenen Person der Löschung von Daten auch widersprechen (etwa zur Durchsetzung bzw. dem Nachweis eigener Rechtsansprüche) aber dennoch die Erlaubnis zur Verarbeitung der Daten einschränken.

Wichtig ist m. E. noch zu Wissen, dass die Berichtigung, Einschränkung der Verarbeitung und Löschung der Daten den Datenempfängern (Dritte, Auftragsverarbeiter etc.) mitgeteilt werden muss und die betroffenen Person auf Wunsch hierüber auch unterrichtet werden muss (Art. 19 DSGVO)!


Beispielantwort

Selbstverständlich sind auch wir an der Korrektheit Ihrer Daten interessiert. Bitte teilen Sie uns mit wenn Sie fehlerhafte Daten entdecken, damit wir diese korrigieren können.

Gerne Löschen wir Ihre Daten wenn Sie uns einen entsprechenden Wunsch mitteilen. Bitte beachten Sie dabei aber, dass wir aufgrund gesetzlicher Verpflichtungen (Steuerrecht) dazu gezwungen sind, bestimmte Daten (z. B. Adressdaten in Zusammenhang mit Rechnungen) 10 Jahre lang aufzuheben. Alle Daten zu deren Speicherung wir nicht gesetzlich verpflichtet sind, löschen wir selbstverständlich wenn Sie das wünschen!

6. Welche Rechte habe ich um mich bei Nichteinhaltung des DSGVO zu beschweren? Und welche Aufsichtsbehörde ist hier zuständig?

Kommentar

Nach Art. 77 DSGVO hat jede betroffene Person das recht auf eine Beschwerde bei einer Aufsichtsbehörde, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der Daten der DSGVO widerspricht.

Zuständig ist i. d.R. die Aufsichtsbehörde des Aufenthaltsortes der betroffenen Person, ihres Arbeitsplatzes oder die Behörde am Ort des mutmaßlichen Verstoßes. In Deutschland sind dies i. d. R. Die Landesbeauftragen für Datenschutz.
Hinweis: Bei Konzernen und Unternehmen mit mehreren Standorten ist die Zuordnung der Aufsichtsbehörden nicht immer ganz einfach herauszufinden!


Beispielantwort

Sind Sie der Meinung, dass wir den Schutz Ihrer Daten nicht hinreichend entsprechend den Regelungen der DSGVO gewährleisten, steht es Ihnen jederzeit frei bei dem Landesbeauftragen für Datenschutz eine Beschwerde zu führen. Den Datenschutzbeauftragen des Landes NRW erreichen Sie unter folgender Anschrift:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestr. 2-4
40213 Düsseldorf
Telefon: 0211/38424-0
Fax: 0211/38424-10
E-Mail: poststelle@ldi.nrw.de

7. Sofern Sie personenbezogene Daten verarbeiten, die Sie nicht von mir persönlich erhalten haben, teilen Sie mir bitte auch alle verfügbaren Informationen über die Herkunft der Daten mit.

Kommentar

Sofern Sie personenbezogene Daten über Dritte bezogen haben (z. B. die Visitenkarte eines Kunden durch Ihr Empfehlungsnetzwerk oder tolle Adressdatenbanken gekauft haben) sind Sie verpflichtet dies der betroffenen Personen mitzuteilen! Darüber hinaus ist in Art. 14 Abs. 1 definiert welche Informationen Sie noch mitteilen müssen, z. B. Namen des Verantwortlichen, Kontaktdaten des Datenschutzbeauftragten, Zweck und Rechtsgrundlagen der Verarbeitung und noch einiges anderer (die vollstänmdig Liste steht im Gesetzestext). Vorsicht Falle! Lt. DSGVO sind Sie verpflichtet der betroffenen Person mitzuteilen wenn Sie Daten von Dritten erhalten! Wenn Sie also erst hier bei der Anfrage der betzroffenen Person die Übernahme von Daten zugeben, ist dies bereits ein Verstoß nach DSGVO! Bitte beachten Sie auch, dass Sie zur Information der betroffenen Person verpflichtet sind über Änderung des Verarbeitungszweckes zu informieren (z. B. Sie übersenden Ihren Bestandskunden unaufgefordert einen Newsletter und die Kunden haben der Verarbeitung ihrer Email-Adresse für diesen Zweck nicht zugestimmt.)


Beispielantwort

Wir erheben Personendaten ausschließlich bei den betroffenen Personen! In einigen Fällen wurden uns Kontaktdaten von Dritten übermittelt um auf Wunsch der betroffenen Person Kontakt aufzunehmen. In diesen Fällen werden die personenbezogenen Daten ausschließlich für die erste Kontaktaufnahme genutzt und anschließend nur weiter verarbeitet wenn dies durch die betroffenen Person ausdrücklich gewünscht wird. In Ihrem Fall wurden die personenbezogenen Daten (Name, Anschrift) ausschließlich bei Ihnen erhoben.

8. Werden meine persönlichen Daten für eine automatisierte Entscheidungsfindung (z. B. auch Profiling) genutzt? In diesem Falle bitte ich um aussagekräftige Informationen über die involvierte Logik der Verarbeitung (z. B. Algorithmus), die Tragweite und die Auswirkungen der automatisierten Entscheidungsfindung.

Kommentar

Für den Fall dass Sie automatisiert Entscheidungsfindung (Profiling, Scoring usw.) betreiben, sind Sie zu recht umfangreichen Auskünften über die Art und Weise, den Auswirkungen und der verwendeten Technologien (z. B. Entscheidungslogik) verpflichtet. Selbstverständlich müssen Sie dabei keine Geschäftsgeheimnisse verraten. Aber Sie müssen dies zumindest so nachvollziehbar darstellen, dass für die betroffene Person ersichtlich ist, wie ihre Daten verarbeitet werden und welche Folgen die Verarbeitung oder auch der Widerspruch in die Verarbeitung für die betroffene Person haben.

Wenn Sie derartige Technologien betreiben (z. B. um die Solvenz eines neuen Kunden einzuschätzen) beachten Sie bitte unbedingt, dass dabei die Nutzung der besonderen Kategorien an personenbezogenen Daten (Art. 9 DSGVO) nicht (!!!) für das Profiling genutzt werden dürfen.


Beispielantwort

9. Sofern Sie meine personenbezogenen Daten an ein Drittland oder eine internationale Organisation übermittelt haben, bitte ich um Unterrichtung über die geeigneten Garantien gem. Art. 46 DSGVO hinsichtlich der übermittelten Daten.

Kommentar

Für den Fall, dass Sie Daten in Länder übertragen mit denen die EU Kommission keine Vereinbarung über ein angemessenes Schutzniveau getroffen hat (Angemessenheitsbeschluss nach Art 45 DSGVO) sind Sie verpflichtet, entsprechende Garantien aufzuzeigen, die ein angemessenes Schutzniveau sicher stellen. Dies können z. B. konzerninterne Datenschutzbestimmungen sein (bei Übertragung der Daten an eine Konzernstelle im Ausland) oder auch Gesetzte oder vertragliche Vereinbarungen mit dem jeweiligen Drittland oder der jeweiligen Organisiation.


Beispielantwort

Wir übertragen keine personenbezogenen Daten in Drittländer außerhalb des Geltungsbereiches der DSGVO.

Selbstverständlich erwarte ich, dass Sie mir diese Auskünfte entsprechen Art. 15 Abs. 3 DSGVO kostenlos zur Verfügung stellen.

Kommentar

Nach Art. 15 Abs. 3 stellt der Verantwortliche eine Kopie der personenbezogenen Daten kostenlos zur Verfügung. Für weitere Kopien kann ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt werden. Bitte beachten Sie auch, dass die Auskunft in angemessenen Zeitabständen erneut eingefordert werden darf!


Beispielantwort

Die erteilten Auskünfte sind selbstverständlich für Sie völlig kostenfrei!

Da ich Ihnen diese Anfrage elektronisch übermittle, erwarte ich auch eine elektronische Übermittlung Ihrer Informationen.

Kommentar

Stellt die Person das Auskunftsersuchen elektronisch, so sind die Information nach Art. 15 DSGVO Abs. 3 in einem gängigen elektronischen Format zur Verfügung zu stellen. Geeignet scheint hier aus techn. Sicht das „Portable Document Format“ auch als PDF bekannt. Die betroffene Person kann aber auch andere Wünsche der Datenübermittlung (z. B. Papier) äußern.

WICHTIG: Bevor Sie irgendjemanden irgendwelche Auskünfte erteilen, überprüfen Sie bitte unbedingt die Identität der Person! Dies kann mitunter sehr einfach sein, wenn z. B. eine Person Sie per EMail anschreibt und die EMail-Adresse bei Ihnen ohnehin schon als Kundenadresse unter dem Namen der betroffenen Person geführt wird. Es kann aber auch gar nicht so einfach sein, wenn Sie z. B. von einer Person angerufen werden (ja, die Auskunft kann auch telefonisch verlangt werden).


Beispielantwort

Die Informationen werden Ihnen im vorliegenden Dokument als PDF Datei zur Verfügung gestellt. Auf Wunsch erhalten Sie die Daten und Information auch im ASCII-Text Format.

Bitte beachten Sie auch, dass Auskunftserteilungen gem. Art 12 Abs. 4 DSGVO unverzüglich erfolgen müssen. Sollte ich daher innerhalb eines Monats keine Auskunft von Ihnen erhalten, wende ich mich an die zuständige Aufsichtsbehörde. In diesem Fall müssen Sie gem. Art. 84 Abs. 5 DSGVO mit einer Geldbuße.

Kommentar

Als angemessen gelten z. Zt. 1 Monat für die Bearbeitung einer Auskuntfsanfrage. In Anbetracht der ]möglicherweise recht hohen Bußgelder bei Verstößen gegen die DSGVO rate ich eindringlich dazu, diese Fristen wirklich ernst zu nehmen.

Mit freundlichen Grüßen

Max Mustermann
(Ein Kunde der es Wissen will!)

eu-dsgvo-in-der-praxis

/ / 0 comments

EU-DSGVO in der Praxis

“Grau, teurer Freund, ist alle Theorie….” (Mephistopheles in Goethes Faust 1). Um Licht ins Graue(n)  der neuen EU-DSGVO (Europäische Datenschutzgrundverordnung) zu bringen schreibe ich diese kleine Artikelserie, die sich mit praktischen Fragen und Lösungen der Umsetzung der EU-DSGVI beschäftigt.

Am 25. Mai kommt ein neues Datenschutz-Recht, die Europäische Datenschutzgrundverordnung (EU-DSGVO). Doch was bedeutet das konkret? Was muss ich tun, wenn ich z. B. eine Webseite betreibe? Oder einen Shop? Oder Personendaten speichern und verarbeiten muss?

Erfahren Sie hier, wie Sie schnell und praktisch in das Thema einsteigen können. Hier geht es also weniger um die Theorie der EU-DSGVO sondern ganz konkret um das “wie mache ich denn….” oder “was tue ich wenn …”. Im Ergebnis wird es hier also um konkrete Arbeitshilfen wie z. B.

gehen.

Wenn Interesse besteht, führe ich gerne noch weitere Themen mit praktischer Relevanz hinzu!

Ach ja, manchmal auch hilfreich: Der EUDSGVO Gesetzestext findet sich hier…

HINWEIS: Alle hier veröffentlichten Inhalte stellen nur mein persönlich  – aber wie ich finde, sehr fundierte – Meinung dar und stellen keinesfalls ein Form verbindliche Rechtsberatung dar. So etwas würde mir ja auch das Rechteberatungsgesetz verbieten! Also, für verbindliche Rechtsauskünfte konsultieren Sie bitte den Anwalt Ihres Vertrauens!

justitia_facebook

/ / 0 comments

Facebook: Denn Sie wissen nicht was Sie tun?

Sie haben sich bei Facebook angemeldet, die Nutzungsbedingungen komplett gelesen und verstanden? Glückwunsch! Sie gehören damit zu den 1% der Facebook-Nutzern die dies getan haben!

In einer Studie (die Kurzfassung gibt’s hier) im Rahmen seiner Dissertation an der Universität Wien kommt Robert Rothmann zu einem erschreckenden Ergebnis: nur 1% der Facebook Nutzer wollten den AGBs und Datenschutzrichtlinien von Facebook wirklich zustimmen!

Die meisten Anwender haben die umfangreichen Nutzungsbedingungen/AGB entweder gar nicht erst gelesen oder fanden sie unverständlich. Dabei war sich nur etwa ein Drittel der Nutzer überhaupt bewusst, dass sie irgendwelchen Nutzungsbedingungen zugestimmt haben.

Damit ist belegt, dass die Zustimmung der Nutzer zur Verarbeitung und Verwertung der persönlichen Daten in Facebook nicht freiwillig erfolgt. Zu einem ähnlichen Schluss kommt jüngst auch das Landgericht Berlin in seinem Urteil zu AZ 16 O 341/15.

Nach dem europäischen Datenschutzrecht muss die Zustimmung zur Datenverarbeitung von Facebook freiwillig erfolgen. Das Urteil und die Studie lassen jedoch erheblichen Zweifel an der Freiwilligkeit aufkommen. Oder wussten Sie, dass Sie z. B. in Facebook den folgenden Regelungen zugestimmt haben (Abruf 21.02.2018)?

  • Du stimmst zu, dass deine persönlichen Daten in die Vereinigten Staaten von Amerika übertragen und dort verarbeitet werden.
  • Du darfst dich nicht an kommerziellen Aktivitäten auf Facebook (wie Werbung oder Zahlungen) beteiligen oder eine Plattform-App bzw. -Webseite betreiben, wenn du in einem Land lebst, das von den USA mit einem Embargo belegt wurde, oder wenn du auf der Liste der „Specially Designated Nationals“ (SDN-Sanktionsliste) des US -Finanzministeriums geführt wirst. Du darfst Facebook nicht nutzen, wenn es dir untersagt ist, Produkte, Dienstleistungen oder Software zu empfangen, die ihren Ursprung in den Vereinigten Staaten von Amerika haben.

Übrigens ist es gar nicht so einfach die Nutzungsbedingungen auf Facebook zu finden! Ich habe die erst gefunden nachdem ich bei Google gesucht habe….

vorsicht-hacker-microsoft-ruft-nicht-an

/ / , , , /

Microsoft ruft an? Bitte sofort auflegen!

Es hört nicht auf! Ich werde in letzter Zeit wieder vermehrt von Kunden angesprochen, die angeblich einen Anruf von der Firma Microsoft erhalten haben. Meist wird behauptet, dass der Computer mit einem Virus infiziert sei und sich der freundliche Mitarbeiter am Telefon gerne auf den Computer aufschalten wolle um dieses Problem zu beheben. Auch beliebt ist die Behauptung, dass ein wichtiges Zertifikat fehle, welches nun kostenpflichtig nachinstalliert werden müsse.

Diese Anrufe kommen nicht von Microsoft! Hier sind Ganoven am Werke die entweder auf Ihrem Computer Schad- und  Ausspäh-Software installieren wollen oder sich für ihre vorgeblichen Dienste direkt, z. B. per Sofort-Überweisung, bezahlen lassen.

Social Engineering
Versuch der zwischenmenschlichen Beeinflussungen um Personen zur Preisgabe von vertraulichen Informationen oder zur Freigabe von Finanzmitteln zu bewegen. Häufig dient Social Engineering dem Eindringen in ein fremdes Computersystem. Man spricht dann auch von Social Hacking. Social Engineering ist häufig der Beginn eines zielgerichteten Hacker Angriffs!

Microsoft ruft Sie nicht an!

Ich habe noch mal bei Microsoft nachgefragt: Die Firma Microsoft ruft Sie nur an, wenn Sie ausdrücklich um einen Rückruf bitten! Alles andere ist eine schlichte Betrugsmasche aus dem Bereich des “Social Engineering” (s.a. Kasten rechts). Diese Masche wird schon seit einigen Jahren versucht und die Betrüger scheinen immer noch genügend Menschen zu finden die darauf hereinfallen.

Sollten Sie einen derartigen Anruf erhalten, legen Sie am Besten einfach auf.

Ich bin angerufen worden! Was soll ich tun?

Wenn Sie bereits Opfer dieser dreisten Masche geworden sind: Trennen Sie ihren Computer sofort vom Netz (Netzwerkkabel herausziehen und/oder WLAN deaktivieren) – oder noch besser, schalten Sie ihn umgehend aus! Sie können ziemlich sicher sein, dass Ihr Computer nun zum Komplizen dieser Betrüger gemacht wurde!

Lassen Sie Ihren Computer anschließend unbedingt von einem Experten überprüfen und ändern Sie alle (!!!) Passwörter!

Haben Sie bereits Passwörter, Bankdaten herausgegeben oder eine Zahlung getätigt ist eine Betrugsanzeige bei der Polizei angebracht (und erwünscht)!

Was kann den eigentlich passieren?

Die von den Betrügern installierte Software dient häufig dazu

  • entweder Ihren Rechner auszuspähen (Tastatureingaben mitschneiden) um z. B. an Ihre Passwörter zu kommen
  • Kamera und Mikrophone einzuschalten um Sie auszuspähen
  • Ihren Computer dazu zu benutzen andere Computer anzugreifen (solche Computer kann im Netz mieten!)

Damit Ihnen so etwas nicht passiert, seien Sie misstrauisch! Geben Sie niemals (wirklich niemals) Passwörter am Telefon. Lassen Sie nur Personen oder Firmen per Fernwartung auf Ihren Rechner zugreifen  die Sie persönlich kennen!

In diesem Sinne: Bleiben Sie wachsam!

 

 

1 2 3 4