Home / Aktuelles & Termine / it.sec blog

Im Rahmen der eSafety-Initiative der Europäischen Kommission zur Erhöhung der Straßenverkehrssicherheit durch Nutzung von Informations- und Kommunikationstechnologien (vgl. unter http://ec.europa.eu/information_society/doc/factsheets/048-esafety-de.pdf) soll die Ausstattung von Neufahrzeugen mit der eCall-Technologie verbindlich werden. Ein eCall ist ein vom PKW im Falle eines Unfalls automatisch oder manuell ausgehender Notruf an die Rufnummer 112. Die automatische Auslösung erfolgt über im Fahrzeug eingebaute Sensoren. Über das Mobilfunknetz werden Daten zum Unfall übermittelt und es wird eine Tonverbindung hergestellt (Art. 2 der Delegierten Verordnung (EU) Nr. 305/2013 der Kommission).

Ursprünglich sollte nach einem entsprechenden Beschluss der Europäischen Kommission die Verfügbarkeit dieser Technologie für Neuwagen ab Oktober 2015 verbindlich sein (vgl. unter http://europa.eu/rapid/press-release_IP-13-534_de.htm). Aufgrund datenschutzrechtlicher Bedenken kam es jedoch zu Verzögerungen im Gesetzgebungsverfahren. Nun sollen erst ab Ende März 2018 Neuwagenkäufer von dem System profitieren können.

Aus Sicht des Datenschutzes ist aber das Folgende zu beachten: Der automatisch im Falle eines Verkehrsunfalles übertragene Mininmaldatensatz (vgl. unter http://standards.globalspec.com/std/1383302/cen-en-15722) ist standardisiert und enthält unter anderem den Unfallzeitpunkt, die Koordinaten des Unfallortes, die Fahrtrichtung und die Fahrzeugidentifikationsnummer. Zu den damit einhergehenden datenschutzrechtlichen Gefährdungen hat sich bereits im Jahr 2014 die Süddeutsche Zeitung geäußert (vgl. unter http://www.sueddeutsche.de/auto/speicherung-von-bordcomputerdaten-der-spion-in-meinem-auto-1.1875596). Artikel 6 "Privatsphäre und Datenschutz" der Verordnung (EU) 2015/758 enthält bereichsspezifische datenschutzrechtliche Regelungen. Danach dürfen z.B. die erhobenen personenbezogenen Daten nur für die Handhabung von Notfallsituationen verwendet werden (vgl. unter http://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32015R0758&from=DE). Die internen Speicher des eCall-Systems müssen automatisch und kontinuierlich gelöscht werden.

Es versteht sich von selbst, dass die über die eCall-Technologie erhobenen Daten auch für Versicherungen (zur Erstellung von Risikoprofilen) und für Drittanbieter (Angebot von kostenpflichtigen Diensten) sehr interessant sind. Daher bleibt abzuwarten, ob Lobbyisten den Erlass von Öffnungsklauseln durchsetzen können.

Dr. Wolfhard Steinmetz
Consultant für Datenschutz

Laut heute veröffentlichter Pressemitteilung Nr. 74/2017 hat der VI. Zivilsenat des BGH mit Urteil ebenfalls vom heutigen Tage (Aktenzeichen VI ZR 135/13) im Rechtsstreit eines Piratenpolitikers gegen die Bundesrepublik Deutschland auf die Revisionen des Klägers und der Beklagten das Urteil des Landgerichts Berlin (Aktenzeichen 57 S 87/08) aufgehoben und den Rechtsstreit zur erneuten Entscheidung zurückverwiesen.

Hintergrund des Streits ist die Speicherung von dynamischen IP-Adressen durch Webseiten-Betreiber, hier durch verschiedene Bundesministerien. Diese speichern Nutzerdaten wie IP-Adressen, Zugriffszeiten und aufgerufene Seiten. Kern des Rechtsstreits war die Frage, ob dynamische IP-Adressen personenbezogene Daten sind, so dass diese Speicherung unzulässig sein könnte.

Der BGH ist laut Pressemitteilung der Auffassung, dynamische IP-Adressen seien personenbezogene Daten. Daher dürften IP-Adressen nur unter den Voraussetzungen des § 15 Abs. 1 Telemediengesetz gespeichert werden:

Ohne Einwilligung des Nutzers dürfen von diesem genutzte IP-Adressen über den Nutzungsvorgang hinaus nur dann erhoben und gespeichert werden, soweit die Erhebung und Verwendung erforderlich ist, um die generelle Funktionsfähigkeit der Dienste zu gewährleisten. Dabei bedarf es laut BGH einer Abwägung mit den Interessen und den Grundrechten und Grundfreiheiten der Nutzer. Da der BGH diese Abwägung nicht vornehmen konnte – es sind noch tatsächliche Feststellungen zu treffen –, hat er den Rechtsstreit zur Klärung dieser Frage zurückverwiesen.

Schon jetzt kann festgehalten werden, dass ohne Einwilligung des Nutzers die Speicherung von IP-Adressen bei kostenfreien Webseiten im Grundsatz unzulässig sein dürfte. Der Nutzungsvorgang ist mit Abruf und Auslieferung einer Webseite, also in der Regel binnen weniger Zehntelsekunden, beendet. Im Einzelfall kann anderes gelten, dazu sind die näheren Umstände zu beurteilen.

Wir beraten hierzu nach ausführlicher Analyse der hoffentlich bald vorliegenden Urteilsgründe gerne.

Dr. Wolfhard Steinmetz
Consultant für Datenschutz

Gemäß Art. 33 und 34 Datenschutzgrundverordnung (DSGVO) ist ein Unternehmen verpflichtet, eingetretene Datenschutzverletzungen (z.B. Liegenlassen des Notebooks im Zug, E-Mail-Versand an falschen Empfänger, Hacker-Angriffe) der Aufsichtsbehörde unverzüglich zu melden und ggf. die Personen, deren personenbezogene Daten hiervon betroffen sind, zu benachrichtigen. Ein Verstoß gegen diese Melde- und Benachrichtigungspflichten ist bußgeldbewehrt.

Die Regelungen in Art. 33 und 34 DSGVO sind dabei strenger als die bisherige Regelung in § 42a BDSG, die lediglich eine Meldepflicht vorsah, wenn durch die Datenpanne besonders sensible Daten (z.B. Gesundheitsdaten oder Bankdaten) Dritten zur Kenntnis gelangt sind und den betroffenen Personen dadurch schwerwiegende Beeinträchtigungen drohen.

Mit der Datenschutzgrundverordnung muss der Verantwortliche nämlich nun jede Datenschutzverletzung der Aufsichtsbehörde melden, unabhängig davon ob die Datenschutzverletzung fahrlässig oder vorsätzlich herbeigeführt wurde oder ob dabei Unbefugten tatsächlich personenbezogene Daten offengelegt wurden oder ein Zugang zu personenbezogenen Daten nur eventuell ermöglicht wurde.

Die Meldung muss dabei unverzüglich und innerhalb von 72 Stunden erfolgen. Eine Meldung darf nur dann unterbleiben, wenn der Verantwortliche nachweisen kann, dass die betroffenen Personen durch die Datenschutzverletzung gegenwärtig und zukünftig keinen physischen, materiellen oder immateriellen Schaden (z.B. Identitätsdiebstahl oder -betrug, finanzielle Verluste, Diskriminierung, Rufschädigung) erleiden werden.

Es empfiehlt sich daher, einen entsprechenden Ablaufplan im Unternehmen zu implementieren, um auf solche Datenschutzverletzungen unverzüglich reagieren und die Fristen zur Meldung bzw. Benachrichtigung einhalten zu können.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Oftmals wird innerhalb einer Unternehmensgruppe nicht zwischen den einzelnen Unternehmen unterschieden und es werden personenbezogene Daten unüberlegt ausgetauscht, z.B. im Personalwesen oder bei der Einbindung von Kollegen aus anderen Unternehmen in den Kundensupport.

Dabei sind auch die einzelnen Unternehmen einer Unternehmensgruppe zueinander grundsätzlich Dritte. Auch die Datenschutzgrundverordnung (DSGVO) enthält kein Konzernprivileg. Sofern ein Unternehmen personenbezogene Daten, für die es verantwortlich ist, gegenüber anderen Unternehmen, die derselben Unternehmensgruppe angehören, offenlegt, muss diese Offenlegung daher datenschutzrechtlich abgesichert werden:

Der Verantwortliche kann die anderen Unternehmen, die derselben Unternehmensgruppe angehören, als Auftragsverarbeiter einsetzen und diese Auftragsverhältnisse über Verträge zur Auftragsverarbeitung absichern. Hierzu muss der Verantwortliche einen Vertrag zur Auftragsverarbeitung mit jedem Unternehmen oder mit dem Mutterkonzern, welcher wiederum die anderen Unternehmen als weitere Auftragsverarbeiter einsetzt, abschließen. Dies kann über einen Intercompany-Vertrag geregelt werden. Die Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f) DSGVO i.V.m. der bestehenden Datenschutzvereinbarung bzw. dem Intercompany-Vertrag i.S.v. Art. 28 Abs. 3 DSGVO.

Der Datenaustausch innerhalb eines Konzerns ist durch den Erwägungsgrund 48 der DSGVO als „berechtigtes Interesse“ privilegiert. Der Verantwortliche, der Teil einer Unternehmensgruppe ist, darf daher personenbezogene Daten innerhalb der Unternehmensgruppe übermitteln, sofern die empfangenden Unternehmen dieser Unternehmensgruppe ebenso angehören, die empfangenden Unternehmen dieser Unternehmensgruppe ihren Sitz innerhalb der EU/EWR haben, es internen Verwaltungszwecken dient und im Falle einer gemeinsamen Verarbeitung eine Vereinbarung i.S.v. Art. 26 Abs. 1 S. 2 DSGVO geschlossen wurde. Im Fall der gemeinsamen Verarbeitung kann dies in den Intercompany-Vertrag aufgenommen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f) DSGVO.

Sofern mit dem konzerninternen Datenaustausch Datenübermittlungen in Drittstaaten verbunden sind (z.B. weil ein Unternehmen seinen Sitz in den USA hat), müssen zusätzlich die Vorgaben der Art. 44 ff DSGVO beachtet werden.

Wir empfehlen, die konzerninternen Datenflüsse zu ermitteln, zu prüfen, auf welcher Rechtsgrundlage diese beruhen und etwaige damit verbundene Datenübermittlungen in Drittstaaten ohne angemessenes Datenschutzniveau datenschutzrechtlich abzusichern.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Da die Datenübermittlung an Dritte und die dadurch bedingte Offenlegung personenbezogener Daten eine für die betroffene Person besonders belastende Datenverarbeitung darstellt, muss der Verantwortliche prüfen, ob diese Datenverarbeitung zulässig ist.

Dritte sind dabei Personen oder Stellen außerhalb des Verantwortlichen, davon ausgenommen sind die betroffene Personen selbst sowie die Auftragsverarbeiter.

Die Zulässigkeit der Übermittlung personenbezogener Daten an Dritte bestimmt sich ebenso nach Art. 6 Abs. 1 Datenschutzgrundverordnung (DSGVO). Danach ist die Übermittlung personenbezogener Daten an Dritte nur zulässig

  • mit wirksamer Einwilligung der betroffenen Person,
  • zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist,
  • zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person,
  • zur Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses,
  • zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt,
  • zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, sofern nicht schutzwürdige Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person am Ausschluss einer solchen Übermittlung überwiegen,
  • zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person oder
  • zur Erfüllung hoheitlicher Aufgaben, die dem Verantwortlichen übertragen wurden.

Eine mit der Datenübermittlung verbundene Begründung gemeinsamer Kontrolle ist abzusichern über einen Joint Control-Vertrag nach Art. 26 DSGVO.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Sobald in einem Unternehmen oder einer Behörde eine Verletzung der Informationssicherheit vorliegt, kann es erforderlich sein, eine IT-forensische Untersuchung einzuleiten. Für das methodische Vorgehen derartiger Analysen bestehen zahlreiche Anforderungen, insbesondere zum Datenschutz. Wichtig ist aber auch, die Nachweispflichten im Blick zu haben.

Nachweispflichten bei IT-forensischen Untersuchungen

Zu jedem Zeitpunkt muss die mit der Durchführung der IT-forensischen Untersuchung beauftragte Stelle nachweisen können, dass die analysierten Datenbestände (inkl. Metadaten!) nicht manipuliert wurden bzw. werden konnten. Daher sichert diese Stelle stets zu Beginn Ihrer Tätigkeit relevante Datenbestände in einer Form (üblicherweise mittels bitweiser Imagesicherung und Angabe der zugehörigen Hashwerte), die eine Veränderung infolge von Analysearbeiten faktisch ausreichend ausschließt. Bei einer Post-Mortem-Analyse erfolgt die detaillierte IT-forensische Untersuchung im Labor, bei Live-Forensik muss dagegen direkt am System während der Laufzeit gearbeitet werden („Operation am offenen Herzen“). Deshalb werden bei der Live-Forensik vor allem flüchtige Statusdaten (zu Speicherinhalten, Netzwerkverbindungen und laufenden Prozessen) entsprechend (aber ohne Verwendung der üblichen Systembefehle) gesichert.

Jeder einzelne Analyseschritt muss nachvollziehbar dokumentiert werden. Die Dokumentationen selbst müssen allerdings datensparsam sein und dürfen nur dann personenbezogene bzw. ‑beziehbare Daten angeben, wenn dies für den zu erbringenden Nachweis erforderlich ist. Wenn also beispielsweise bei einem Screenshot ein Personenbezug entbehrlich ist, sind die irrelevanten Stellen, die personenbezogene bzw. ‑beziehbare Daten ausweisen, zu verpixeln. Aus der Dokumentation muss jederzeit zudem ersichtlich sein, dass die durchgeführten Analysen verhältnismäßig waren.

Grundsätzlich sind IT-forensische Untersuchungen ergebnisoffen durchzuführen, so dass sowohl nach belastenden als auch nach entlastenden Belegen zu suchen ist. Ergebnisse durchgeführter IT-forensischer Untersuchungen sind schließlich von dem durchführenden Spezialisten hinsichtlich ihrer Aussagekraft verständlich und für Dritte nachvollziehbar zu bewerten.

DOs and DON’Ts zur IT-Forensik

Zu den absoluten DOs zählen:
  • Vorfall dokumentieren: Was? Wann? Wer? Wie? Wo?
  • Vorfall gemäß Meldewege kommunizieren!
  • Alle Schritte dokumentieren!
  • Keine Daten verändern!
  • Kompetente Beweissicherung einleiten
Zu den absoluten DON’Ts zählen dagegen:
  • NIEMALS den Vorfall außerhalb der Meldewege kommunizieren
  • KEINE direkte Information des/der Betroffenen oder Verursachers
  • KEIN vorschnelles Abschalten von Systemen
  • KEIN zu langes Abwarten vor der Analyse
  • KEIN Zerstören von Beweisen durch gut gemeinte, aber unqualifizierte Handlungen

Bernhard C. Witt
Dipl.-Inf., Senior Consultant für Datenschutz und Informationssicherheit
bcwitt@it-sec.de

Die it.sec bietet für Unternehmen eine EU-DSGVO konforme Datenschutz-Zertifizierung, das ADCERT Datenschutzsiegel, an.

Das ADCERT Siegel bietet mit Stand heute das erste (uns und den befragten Aufsichtsbehörden bekannte), anwendungsfertige, voll EU-DSGVO konforme Datenschutz-Zertifizierungsverfahren an. Es integriert sich zudem vollständig in ein ISO/IEC 27001 ISMS, kann aber auch "Stand Alone" betrieben werden.

Das Siegel bildet alle Anforderungen der aktuellen EU-Gesetzgebung (wie z.B. Management System, Privacy Impact Analyse) ab und adressiert außerdem die besonderen Anforderungen der Aufsichtsbehörden im Düsseldorfer Kreis. Konzeptionell ist es international und multiregulatorisch konzipiert – das heißt, dass auch andere Rechtsräume oder interne Zielsetzungen durch entsprechende Anforderungsdefinition leicht darstellbar sind.

Das Verfahren kann daher innerhalb und außerhalb der EU angewendet werden, um die Konformität mit der EU-DSGVO und/oder anderen Vorgaben nachzuweisen.

Ein Highlight für Kenner: das gesamte Verfahren ist gemäß der offiziellen Erweiterungsschnittstelle für Sektor-spezifische Standards (ISO/IEC 27009) entwickelt. Es lässt sich stand-alone einsetzen, aber auch als Ergänzung zu einem bestehenden ISO/IEC 27001 ISMS.

Der Vorteil liegt auf der Hand: die Herangehensweise ist mittlerweile vielerorts bekannt und vertraut, sie ist international anerkannt und entsprechend zukunftssicher.

Das Verfahren ist zwar ebenso neu, wie die zugrundeliegende Gesetzgebung, hat aber schon Kunden wie die Deutschen Post AG überzeugen können.

Mehr Informationen gibt es bei unserem akkreditierten Auditor Hrn. Witt (bcwitt@it-sec.de) oder direkt über die ADCERT mit Sitz in Berlin.

Holger Heimann
Geschäftsführer it.sec

Wie der Heise Verlag meldet, hat das Amtsgericht Hamburg einen Erlass des Datenschutzbeauftragten Johannes Caspar bestätigt, wonach der Schufa-Konkurrent Bürgel eine Strafe von 15.000 € wegen Geoscoring zahlen soll. Bürgel hatte auf eine Bonitätsanfrage hin eine Scorewert alleine über die Wohnanschrift eines Kunden übermittelt.

Das Urteil ist noch nicht rechtskräftig und Bürgel will es nicht akzeptieren. Dennoch geht Caspar davon aus, dass er derartige Verfahren künftig gar nicht mehr führen müsse. Hintergrund sei, so Heise, dass die von Mai 2018 an geltende EU-Datenschutzverordnung die hiesigen Schranken beim Geoscoring nicht aufhebt, den Bußgeldrahmen aber um ein Vielfaches erhöht.

Im Rahmen der Datenschutzgrundverordnung sind Strafen von bis zu 4% des Vorjahresumsatzes möglich!

Zum Heise-Artikel geht’s hier!

In diesem Beitrag werden fünf in der Praxis oft anzutreffende Fallstricke benannt, die bei einem Aufbau eines Informations-Sicherheits-Management-Systems (ISMS) einer kritischen Infrastruktur besser vermieden werden sollten.

Fehler Nr. 1: Das ISMS falsch ausrichten

Noch vor Inkrafttreten des IT-Sicherheitsgesetzes wurden insbesondere im Energiesektor zahlreiche Projekte ausgeschrieben, die faktisch zu einem ISMS führen, das nur bedingt mit dem IT-Sicherheitskatalog der Bundesnetzagentur im Einklang steht.

Hier ist der Fehler, zu Beginn eines ISMS-Projekts nicht präzise erhoben zu haben, welche Anforderungen tatsächlich zu erfüllen sind. Das ISMS ist jedoch nur so passgenau, wie in seiner Spezifikation angelegt. Eine fehlerhafte Spezifikation verschlingt unnötig viele Ressourcen. Ein ISMS ist ein fortlaufender Prozess und kein irgendwann mal abgeschlossenes Projekt.

Fehler Nr. 2: Das ISMS falsch steuern

Die Zielgenauigkeit und Wirksamkeit eines ISMS hängt maßgeblich davon ab, ob im Rahmen der Risikoanalyse die richtigen Risiken erkannt und anschließend verantwortungsgerecht behandelt werden. In der Praxis ist jedoch ausgerechnet die Risikoanalyse oft das ungeliebte Stiefkind:

  • Hier werden entweder solche Methoden verwendet, die ein bereits vorhandenes oder billig erwerbbares Tool unterstützt, unabhängig davon, ob das wirklich zu dem Kontext der kritischen Infrastruktur passt.
  • Oder es werden ausschließlich vordefinierte Gefährdungskataloge eingesetzt, ohne zu prüfen, ob kontextbezogen ggf. eine andere Gefährdung zusätzlich bzw. vorrangig betrachtet werden sollte.

Hier ist der Fehler, dass eine Risikoanalyse als lästige Übung angesehen wird. Ein ISMS wird aber tatsächlich im Wesentlichen über eine adäquate Betrachtung der Risiken gesteuert.

Fehler Nr. 3: Den falschen IT-Sicherheitsbeauftragten einsetzen

Die Güte eines ISMS steht und fällt in der Praxis mit dem IT-Sicherheitsbeauftragten bzw. Informations-Sicherheitsbeauftragten (SiBe). Doch gerade bei der Besetzung dieser Funktion werden besonders viele Zugeständnisse zugunsten des operativen Geschäfts gemacht oder Funktionsträger faktisch in operative Interessenskonflikte gebracht.

Hier ist der Fehler, die Aufgaben des SiBe zu unterschätzen. Die tatsächlich geforderte Aufgabenvielfalt erfordert erfahrene und für Informationssicherheit ausdrücklich ausgewiesene Spezialisten. Und die findet man oft nur bei externen Beratungshäusern.

Fehler Nr. 4: Die falschen Dinge regeln

Wohlklingende Regelungen in Sicherheitskonzepten oder Organisationsrichtlinien sind nutzlos, wenn diese nicht der Praxis entsprechen und/oder nicht effizient überprüfbar sind. Bei einem ISMS werden Schutzvorkehrungen im Rahmen der Risikobehandlung festgelegt. Simplifizierte Musterpolicies oder Dokumentationen „von der Stange“ helfen daher ebenso wenig, wie Regelungen, die für den Anwender nicht klar verständlich sind oder in der Praxis nicht umgesetzt werden.

Hier ist der Fehler, die organisatorischen Vorgaben als Zielsetzung und nicht als Beschreibung der Umsetzung anzusehen. Solche Inkonsistenzen führen in der Praxis dazu, dass vorgesehene Maßnahmen wirkungslos sind und der Eindruck entsteht, dass ja schon das Wesentliche mit der Festlegung des Ziels bei einem ISMS gemacht sei.

Fehler Nr. 5: Sicherheitsvorfälle falsch adressieren

Der Schutz kritischer Infrastrukturen hängt oft empfindlich vom Aufbau eines wirksamen Security Incident Response Managements ab. Dabei ist sowohl wichtig, wie man entsprechende Vorfälle einstufen und dementsprechend behandeln sollte als auch wie man aufgestellt sein muss, um mit Vorfällen adäquat umgehen zu können (Incident Response Readiness).

Hier ist der Fehler, das Vorfallmanagement erst damit beginnen zu lassen, wenn und wie ein Vorfall gemeldet wird. Im Zuge eines konsequenten Incident Response Managements ist dafür zu sorgen, dass nach einer Ausnahmeregelung wieder geordnet in den Regelbetrieb übergegangen wird.

Bernhard C. Witt

Dipl.-Inf., Senior Consultant für Datenschutz und Informationssicherheit

bcwitt@it-sec.de

Die EU-Justizkommissarin Vera Jourova droht mit Kündigung des Privacy Shield. Von Beginn an stand das Privacy Shield Abkommen zwischen der Europäischen Union und den USA unter Kritik.

Das Privacy Shield (Nachfolger von Safe Harbour) ist ein informelles Übereinkommen im Bereich des Datenschutzrechts, das zwischen der Europäischen Union und den USA ausgehandelt wurde. Die Kommission hat am 12. Juli 2016 beschlossen, dass die Vorgaben des Privacy Shields dem Datenschutzniveau der Europäischen Union entsprechen.

Das Übereinkommen regelt den Schutz personenbezogener Daten, die aus einem Mitgliedsstaat der Europäischen Union in die USA übertragen werden.

Jetzt soll damit eventuell schon wieder Schluss sein. Die EU-Justizkommissarin will sich Ende März mit Vertretern der neuen US-Regierung treffen um das Thema neu zu besprechen. Nach Trumps Executive Order vom 25.01.2017 werden Nicht-US-Bürger nämlich vom Schutz des Privacy Act ausgenommen. Das US-Justizministerium hat jedoch versichert, dass die USA weiter zum Privacy Shield stehe. Bei dem Termin Ende März soll nun geklärt werden, ob die bisher zugesagten Bedingungen von der USA tatsächlich eingehalten werden.

Andernfalls will die EU-Justizkommissarin das Privacy Shield-Abkommen außer Kraft setzen.

Dr. Bettina Kraft
Beraterin für Datenschutz
Justiziarin

ADCERT Anwendbarkeit Art. 17 DSGVO Art. 26 DSGVO Art. 32 DSGVO Audit Aufsichtsbehörde Auftragsverarbeitung Auskunftsrecht Automatisierte Einzelentscheidung Autsch Begrifflichkeiten Beherbergungsstätten Benachrichtigungspflicht Betroffenenrechte BGH Compliance Datenlöschung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutzgrundverordnung Datenschutzverletzung Datenübermittlung Datenübermittlung in Drittstaaten Datenverarbeitung Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau DSGVO dynamische IP-Adresse eCall-Technologie Einwilligung Einwilligungserklärung Entsorgung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative EU-Datenschutz-Grundverordnung Gemeinsam Verantwortliche Home Office Informationspflichten Informationssicherheit IP-Adresse IT-Forensik IT-forensische Untersuchung IT-Sicherheit Joint Control Konzern konzerninterner Datentransfer Löschung personenbezogener Daten Meldepflicht Meldescheine Passwörter. 2016 Personalausweiskopien personenbezogene Daten Privacy Shield Profiling Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte der betroffenen Person Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Siegel Sony PSN Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telemediengesetz Tracking Tools Übermittlung personenbezogener Daten unpersonalisierter Benutzer-Account Unternehmensgruppe USA Vereinbarung Vernichtung von Datenträgern Verordnung (EU) 2015/758 Vertrag zur Auftragsverarbeitung Videoüberwachung Vorteile Webseite Webseiten Webtrecking Werbung Widerrufsrecht Widerspruchsrecht Zertifikat Zertifizierung Zulässigkeit § 15 TMG § 42a BDSG

An dieser Stelle wollen wir von Zeit zu Zeit unsere Web-Logs ("blogs") pflegen und unsere Meinung zu bestimmten Themen kundtun.

Die einzelnen Posts stellen jeweils die Meinung des Autors dar und nicht zwangsläufig jene der it.sec. Die Inhalte sind stellen keine Beratung dar und übernehmen für die Inhalte keine Haftung.

Tags

Mo Di Mi Do Fr Sa So
1 2 3 4 5 6 7
8 9 10 11 12 13 14
15 16 17 18 19 20 21
22 23 24 25 26 27 28
29 30 31