Home / Aktuelles & Termine / it.sec blog

Ein Passwort ist eines der wichtigsten Mittel, die eigenen oder betrieblichen personenbezogenen Daten zu schützen. Dabei steht doch aber immer auch die Frage im Raum, wie ein solches Passwort zu gestalten ist, damit es die Daten auch nachhaltig schützen kann.

Bisher waren die Vorgaben, was ein sicheres Passwort ausmacht, recht klar. Die Verwendung von Passwörtern mit mind. 8 Zeichen bestehend aus einer Kombination von Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen sowie ein Passwortwechsel alle 90 Tage sollten einem Hacker die Arbeit besonders erschweren.

Vor Kurzem hat jedoch das National Institute of Standard and Technology (NIST), welches diese Regeln erst ins Leben rief, diese Annahme revidiert. Der ursprüngliche Autor dieser Vorgaben, Bill Burr, hatte dazu auch erklärt, dass die damaligen Annahmen ein Irrtum gewesen seien.

Dies ist nicht darauf zurückzuführen, dass die Vorgaben damals generell falsch waren, doch aber darauf, dass sich seit 2003, das Veröffentlichungsdatum der alten Passwort-Regeln, die Technik erheblich weiterentwickelt hat. Auch haben die zahlreichen Hackerangriffe der letzten Zeit dafür gesorgt, dass es ausführliche Wörterbücher von verwendeten Passwörtern gibt, in welchen Angreifer „nachschlagen“ können.

Es ist also in der heutigen Zeit um vieles einfacher als noch vor 14 Jahren, Passwörter mithilfe einer Software auszulesen.

Daher ist ein neues Herangehen an die Passworterstellung angebracht. Das NIST hat in seinem neu veröffentlichten Leitfaden festgestellt, dass besonders die Passwortlänge eine entscheidende Rolle bei der Sicherheit spielt.

Es wird geraten, möglichst lange Passwörter mit mindestens 12 Zeichen und einer zufälligen Zeichenabfolge zu vergeben, also z.B. eine Wortreihe, die logisch keinen Sinn ergibt, wie SchuhDatenschutzRegen. Sonderzeichen können ebenso nützlich sein, aber auch beim Einsatz dieser gilt, ein Muster bei der Passwortvergabe, das einfach zu identifizieren ist, sollte vermieden werden. Denn Software, welche versucht Passwörter auszulesen, kann dies schneller tun, wenn dem Passwort ein Muster zugrunde liegt.

Auch sollten zu jeder Zeit für unterschiedliche Portale oder Anwendungen verschiedene Passwörter verwendet werden. Denn sollte doch einmal ein Passwort in unbefugte Hände geraten, sind nicht auch noch alle anderen Anwendungen oder Benutzerkonten in Gefahr, ausgespäht zu werden.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Am 6. Juli 2017 hat das Verwaltungsgericht (VG) Karlsruhe in seinem Urteil eine Verfügung des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI) aufgehoben (VG Karlsruhe Urteil vom 6.7.2017, 10 K 7698/16).

Der Anfechtungsklage war die Verfügung des LfDI in Form eines Verwaltungsakts gegen eine Auskunftei vorangegangen, ihr Löschkonzept entsprechend der Datenschutzgrundverordnung (DSGVO) anzupassen. Die Auskunftei sollte personenbezogene Daten, die sie nach dem 24.5.2018 unter Einbeziehung von Informationen über Forderungen für Bonitätsauskünfte speichert, spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der Fälligkeit der Forderung, löschen, es sei denn, dass die betroffene Person zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig gewesen sei.

Die Auskunftei hatte daraufhin erklärt, sie werde ihr Löschkonzept bis zum 25.05.2018 entsprechend der DSGVO überarbeiten. Dabei wolle sie jedoch die noch ausstehende Absprache hierzu zwischen dem Düsseldorfer Kreis und dem Verband für Wirtschaftsauskunfteien abwarten.

Daraufhin erließ der LfDI einen entsprechenden Verwaltungsakt auf Grundlage von § 38 Abs. 5 S. 1 BDSG i.V.m. Erwägungsgrund 39 und Art. 58 Abs. 2 lit. e) DSGVO, der die Auskunftei dazu verpflichten sollte, ihr Löschkonzept auf oben erläuterte Weise bereits jetzt anzupassen. Zwar läge momentan noch kein Verstoß gegen datenschutzrechtliche Vorschriften vor, ein solcher sei jedoch ab dem 25.05.2018 „schon deutlich vorgezeichnet“, da die Auskunftei nicht verbindlich zugesichert hätte, ihre Löschpraxis entsprechend zu ändern.

Das VG Karlsruhe stellte fest, dass es für den Erlass eines solchen Verwaltungsaktes bereits an einer Ermächtigungsgrundlage mangele. Weder bestünden derzeit Datenschutz-Verstöße noch wären entsprechende „Missstände (…) nach dem 24.05.2018 zu erwarten.“ Die von der Aufsichtsbehörde vorgegebene Regellöschfrist ergebe sich weder aus der DSGVO noch aus dem BDSG-Neu und entsprechend sei die „Prüf- und Löschpraxis“ der Auskunftei „noch völlig ungewiss“. Des Weiteren sei auch fraglich, ob aus dem Erwägungsgrund 39 „eine Rechtsgrundlage hergeleitet werden kann“. Auf jeden Fall durfte sich die Aufsichtsbehörde schon nicht auf Art. 58 Abs. 2 lit. e) DSGVO stützen, „da diese Vorschrift erst ab dem 25.05.2018 Gültigkeit beanspruchen wird (…).“

Darüber hinaus erfülle die Aufsichtsbehörde mit ihrer datenschutzrechtlichen Verfügung auch nicht die „Anforderungen an die Bestimmtheit eines Verwaltungsaktes.“

Dieses Urteil lässt somit den Schluss zu, dass die Aufsichtsbehörden die Verantwortlichen nicht dazu verpflichten können, die Vorgaben der Datenschutzgrundverordnung bereits im Vorhinein zu erfüllen. Dem Verantwortlichen wird damit eingeräumt, tatsächlich die gesamte Zeit bis zum Ablauf der Umsetzungsfrist nutzen zu können, um die Prozesse des Unternehmens inhaltlich und formal an die Datenschutzgrundverordnung anzupassen. Weiterhin kann aus dem Urteil auch geschlossen werden, dass die bisher etablierten Regellöschfristen anhand der DSGVO tatsächlich neu bewertet werden müssen.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Der europäische Gerichtshof für Menschenrechte, im Folgenden ‚Gerichtshof‘ genannt, hat im Fall einer Kündigung eines Arbeitnehmers entschieden, dass die der Kündigung vorangegangene Aufzeichnung von dessen Online-Aktivitäten zu stark in sein Recht auf Achtung des Privat- und Familienlebens gemäß Art. 8 der Europäischen Menschenrechtskonvention (MRK) eingreife. Damit seien weder die Überwachung noch die Kündigung auf Basis der mit der Überwachung erhobenen Daten rechtens gewesen.

Der Arbeitnehmer war Angestellter in einem Unternehmen mit Sitz in Rumänien; dieses hatte den Mitarbeitern untersagt, die betrieblichen Arbeitsmittel und elektronischen Kommunikationsmedien für private Zwecke zu nutzen. Über einen Messenger-Dienst, der ausschließlich der Geschäftskorrespondenz diente, kommunizierte der Arbeitnehmer dennoch mit seinem Bruder und seiner Verlobten. Dabei wurden nicht nur die Verbindungsdaten, sondern ebenso die vollständigen Kommunikationsinhalte und damit sehr intime Gesprächsverläufe durch den Arbeitgeber aufgezeichnet. Auf Grundlage dieser Beweise für die Privatnutzung wurde dem Arbeitnehmer die Kündigung ausgesprochen.

Nachdem der Arbeitnehmer vor zwei nationalen Instanzen mit der Klage gegen seinen ehemaligen Arbeitgeber scheiterte, reichte der Arbeitnehmer Klage wegen Verletzung seines Rechts auf Achtung des Privat- und Familienlebens beim Gerichtshof ein.

Der Gerichtshof rügte in seinem Urteil, dass die Vorinstanzen in ihren Urteilen nicht ausreichend berücksichtigt hätten, inwiefern der Arbeitnehmer im Vorhinein über die Überwachungsmaßnahmen, die Art und Weise sowie den Umfang der Überwachung informiert worden war und inwieweit diese Überwachung unverhältnismäßig in das Privatleben des Arbeitnehmers eingegriffen hätte. Denn nach Feststellung des Gerichtshofs war die Überwachung unzulässig, so dass die dabei erhobenen Daten schon nicht zur Beendigung des Beschäftigungsverhältnisses hätten verarbeitet werden dürfen.

In seinem Urteil hat der Gerichtshof zugleich sechs Punkte festgelegt, welche zur Beurteilung der Zulässigkeit der Beschäftigtenüberwachung und der damit verbundenen Datenverarbeitung herangezogen werden sollen: Ausreichende Informierung der betroffenen Person (Transparenz), Rechtmäßigkeit der Datenverarbeitung, insbesondere ob ein berechtigtes Interesse des Arbeitgebers besteht, Einschränkung der Datenverarbeitung auf das erforderliche Maß (Datenminimierung), Zweckbindung und Verhältnismäßigkeit der Datenverarbeitung sowie Wahrung der Vertraulichkeit durch Schutzmaßnahmen, die den potenziellen Bedrohungen für die Rechte und Freiheiten der betroffenen Person bei einer solchen Überwachung Rechnung tragen.

Der Gerichtshof hat damit klargestellt, dass der Arbeitgeber sich auch bei der Überprüfung der Einhaltung des Privatnutzungsverbots an die Datenschutzprinzipien halten muss, so dass auch hier eine Datenverarbeitung, die zu einer anlass- und lückenlosen Beschäftigtenkontrolle führt, nicht zulässig ist.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Die technischen Möglichkeiten, miteinander zu kommunizieren, ohne dabei im gleichen Raum oder sogar im gleichen Land zu sein, nehmen in der heutigen Zeit immer stärker zu. Dabei ist die Videotelefonie eine jener Methoden, welche eine schnelle und dennoch auch persönliche Kommunikation ermöglichen.

Diese Möglichkeit nutzen Unternehmen bereits in vielen Bereichen. Insbesondere werden zunehmend Bewerbungsgespräche über den Online-Dienst Skype abgehalten, anstatt den potentiellen Kandidaten vor Ort zu empfangen. Dies erspart Arbeitgeber und Bewerbern Zeit und Kosten.

Zum Einsatz von Skype im Bewerberauswahlverfahren hat sich die Berliner Beauftragte für Datenschutz und Informationsfreiheit in ihrem aktuellen Jahresbericht geäußert. So werden bei einem Bewerbungsgespräch über den Online-Dienst Skype nicht nur die für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlichen personenbezogenen Daten verarbeitet, sondern darüber hinaus sowohl Bild- als auch Tonaufnahmen erhoben und etwaige Chatprotokolle sowie sonstige Nutzungsdaten für 90 Tage gespeichert. Gleichzeitig werden die Daten an die Microsoft Corporation und damit an einen Dritten übermittelt, womit ebenso eine Datenübermittlung in Drittstaaten verbunden ist. Die dabei notwendigen Einwilligungen der Bewerber für eine solche Datenverarbeitung lassen sich auch nicht wirksam einholen, da das Kriterium der Freiwilligkeit nur unzureichend erfüllt sei. Daher wird vom Einsatz des Online-Dienstes Skype abgeraten.

Leider wird dabei von der Aufsichtsbehörde unberücksichtigt gelassen, ob und wenn ja, welche Änderungen sich in dieser Bewertung ergäben, wenn Skype for Business eingesetzt und die Microsoft Corporation als Auftragsverarbeiter des Arbeitgebers tätig wird, ob durch deren Privacy Shield-Zertifizierung die Rechte der betroffenen Personen nicht doch ausreichend gewahrt und diese hinreichend informiert würden und unter welchen Voraussetzungen eine Einwilligung der Bewerber dennoch wirksam eingeholt werden könnte.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Am 22.08.2017 hatten wir über die bekannt gewordene Datenschutzverletzung der Berliner Verkehrsbetriebe (BVG) berichtet.

Mittlerweile hat die Berliner Beauftragte für Datenschutz und Informationsfreiheit in einer Prüfaktion bei der BVG herausgefunden, dass dem leitenden Angestellten Zugangsrechte für ein Laufwerk eingerichtet wurden, das nicht nur vom Personalrat, sondern ebenso von der Schwerbehindertenvertretung sowie der Frauenbeauftragten genutzt wird, und auf welchem sich auch Dateien befanden, die besondere Kategorien personenbezogener Daten enthielten. Der Führungskraft waren damit Zugriffe auf die dort liegenden Unterlagen möglich, wobei mindestens ein Dokument auch „geöffnet, angesehen und ausgedruckt“ worden sein soll (die Pressemitteilung ist abrufbar unter https://datenschutz-berlin.de/content/nachrichten/pressemitteilungen).

Die Aufsichtsbehörde stellte des Weiteren fest, dass nicht nur ein unbeabsichtigter Fehler der IT-Abteilung bei der Einrichtung der Berechtigungen, sondern „erhebliche Mängel in der Datenschutzorganisation“ zu der Datenschutzverletzung geführt hätten. Neben mangelnder Maßnahmen zur Trennungskontrolle, gebe es keinen ausreichend definierten Prozess, nach welchem Berechtigungen dokumentiert vergeben werden. Auch die zum Zwecke der Datenschutzkontrolle notwendigen Protokollierungen, um Zugänge zum Laufwerk sowie Zugriffe auf die dort enthaltenen Dateien aufzuzeichnen, wurden nicht vorgenommen. Zudem sei die BVG auch ihren Melde- und Benachrichtigungspflichten nach Bekanntwerden der Datenschutzverletzung nicht unverzüglich nachgekommen.

Richtigerweise betont die Aufsichtsbehörde in ihrer Pressemitteilung, dass die BVG kein Einzelfall sei, sondern viele Unternehmen immer noch zu wenig für den Schutz personenbezogener Daten, für die sie verantwortlich sind, täten. Diese sollten sich bewusst sein, dass ab dem 25.05.2018 hierfür Bußgelder in Höhe von bis zu 10.000.000 Euro oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden können.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Die Übermittlung personenbezogener Daten aus Europa in die USA ist in Zeiten von Cloud-Diensten und internationalen Unternehmen ein wichtiges Thema.

Gemäß dem Durchführungsbeschluss (EU) 2016/1250 der Europäischen Kommission vom 12.07.2016 bieten US-Unternehmen, die eine Privacy Shield-Zertifizierung besitzen, ein angemessenes Datenschutzniveau. Eine Übermittlung personenbezogener Daten ist dann gemäß Art. 45 DSGVO zulässig. Diese Zertifizierung muss erst durch die Unternehmen erworben werden, somit ist nicht jedes Unternehmen aus den USA zwingend auch nach den Richtlinien des Privacy-Shields zertifiziert.

Unter dem folgenden Link kann geprüft werden, ob das US-Unternehmen, dem man Daten übermitteln möchte, eine Privacy-Shield-Zertifizierung aufweist: https://www.privacyshield.gov/list.

Aufgrund der Abreden zum EU-US Privacy Shield müssen diese US-Unternehmen den betroffenen Personen verschiedene Rechte einräumen, welche dann direkt gegenüber den zertifizierten Unternehmen geltend gemacht werden können.

Bei vermuteten Datenschutzverstößen kann man sich auch an die nationalen Aufsichtsbehörden wenden. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat hierzu ein Beschwerdeformular veröffentlich, welches mit den anderen europäischen Datenschutzbehörden abgestimmt wurde. Auch die Aufsichtsbehörden von Bayern, NRW und Baden-Württemberg haben ebenfalls entsprechende Formulare veröffentlicht. Dieses gilt allerdings nur für Beschwerden gegenüber privaten Unternehmen. Sollte eine betroffene Person befürchten, dass auf ihre personenbezogenen Daten durch US-amerikanische Sicherheitsbehörden oder Nachrichtendienste zugegriffen wurde, kann auch dies einer Prüfung unterzogen werden. Für ein solches Vorgehen steht ein separates Formular zur Verfügung. Entsprechende Fälle werden dann durch eine Ombudsperson des US-Außenministeriums bearbeitet.

Die entsprechenden Formulare sind u.a. auf der Internetseite der Berliner Beauftragten für Datenschutz und Informationsfreiheit unter https://datenschutz-berlin.de/content/eu-us-privacy-shield-informationen-und-beschwerdemoeglichkeiten abrufbar.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Am Freitag der vergangenen Woche hat die Gewerkschaft Verdi den Berliner Verkehrsbetrieben (BVG) vorgeworfen, sich Dateien der Personalvertretung nicht nur zugänglich gemacht, sondern diese dann auch genutzt zu haben.

Einem leitenden Angestellten sollen Zugangsrechte für Laufwerke eingerichtet worden sein, die von den Personalräten für ihre Aufgaben genutzt werden und auf welchen zahlreiche Dokumente, u.a. mit sensiblen Beschäftigtendaten, zu finden gewesen sind.

Die Pressestelle der BVG dementiert eine vorsätzliche Handlung; es soll sich vielmehr um einen unbeabsichtigten Fehler der IT-Abteilung bei der Einrichtung der Berechtigungen gehandelt haben. Dieser Fehler wurde 14 Tage später bekannt, woraufhin die Zugangsrechte umgehend wieder entzogen wurden. Einsicht sei in die dort gespeicherten Dateien nicht genommen worden.

Dieser Darstellung des Vorfalls als einen bloßen IT-Fehler, folgt Verdi nicht. Im Gegenteil, es wird von der Gewerkschaft sogar die Erstattung einer Strafanzeige gegen die BVG geprüft.

Zumindest kann man hier wohl eine Datenschutzverletzung i.S.v. Art. 4 Nr. 12 Datenschutzgrundverordnung (DSGVO) annehmen, da personenbezogene Daten unbefugt offengelegt wurden; hierbei ist es unerheblich, ob dies fahrlässig oder vorsätzlich geschah oder ob der leitende Angestellte, dem die Daten angeblich offengelegt wurden, tatsächlich Einsicht genommen hat oder nicht. Daher bedarf es auf jeden Fall der Verbesserung der Datensicherheit, damit ein solcher Vorfall sich nicht wiederholt.

Sofern es sich tatsächlich um eine absichtliche Zugangs- und Zugriffsbeschaffung durch die BVG handelt, wäre dies allerdings eine schwerwiegende Datenschutzverletzung.

 

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Der Austritt von Großbritannien ist beschlossen. Neben zahlreichen Unklarheiten, blieb ebenso fraglich, in welcher Form das Land mit dem Datenschutz umgehen wird. Bis zum endgültigen Austritt besteht zwar auch für Großbritannien die Umsetzungspflicht der Datenschutzgrundverordnung (DSGVO), nicht aber danach.

In einer offiziellen Absichtserklärung vom 7. August dieses Jahres hat die Regierung des Landes erklärt, dass es die Bestimmungen der DSGVO in nationales Recht umsetzen will. Dabei erklärte die Regierung, dass mit der Reform des Datenschutzrechts der einzelnen Person mehr Kontrolle über seine Daten gegeben werden soll. Auch sollen die Bußgelder in gleicher Weise bemessen werden, wie es die DSGVO vorsieht, also in den schwerwiegendsten Fällen einer Datenschutzverletzung bis zu 20 Millionen Euro (oder hier bis zu 17 Millionen Pfund) oder bis zu 4% vom gesamten Jahresumsatz.

Weitere grundlegende Ziele und Pflichten aus der DSGVO sollen ebenfalls in britisches Recht umgesetzt werden (z.B. das Recht auf Vergessenwerden).

Oberster Zweck der Reform wird es wohl sein, dass sich Großbritannien als Drittland mit angemessenem Datenschutzniveau etablieren kann. um auch nach dem Brexit einen ungehinderten Fluss der personenbezogenen Daten zwischen dem Land und den EU-Staaten garantieren zu können.

Bisher konnte die Regierung noch keinen konkreten Gesetzesentwurf vorlegen, allerdings gibt es bereits Pläne, welche Reformen sich vollziehen sollen. Die Regierung hat hierzu ein PDF-Dokument veröffentlicht.

Ob und in welcher Form die Regierung garantieren kann, dass auch noch nach dem Austritt des Landes die neuen Regelungen in Kraft bleiben, ist abzuwarten.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Bereits im Bundesdatenschutzgesetz (BDSG) war eine Definition besonderer Arten personenbezogener Daten (gem. § 3 Abs. 9 BDSG-alt) festgelegt. Diese besonderen Arten stellten Daten dar, welche in besonders einschneidender Weise Auskunft über eine betroffene Person ermöglichten. Daher war eine Verarbeitung dieser Daten nur eingeschränkt möglich.

Die im BDSG enthaltenen Regelungen finden sich auch in der DSGVO wieder.

Laut der DSGVO sind gem. Art. 9 Abs. 1 DSGVO besondere Kategorien personenbezogener Daten Angaben über rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, sexuelle Orientierung sowie genetische oder biometrische Daten.

Genetische und biometrische Daten wurden in die Definition besonderer Kategorien personenbezogener Daten aufgenommen. Genetische Daten sind solche, die die ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person enthalten (Art. 4 Abs. 13 DSGVO). Biometrische Daten sind die physischen, physiologischen oder verhaltenstypischen Merkmale einer natürlichen Person, die mit speziellen technischen Verfahren gewonnen wurden (gem. Art. 4 Abs. 14 DSGVO).

Eine Datenpanne mit besonderen Kategorien personenbezogener Daten kann einen sehr viel erheblicheren Schaden bei der betroffenen Person bewirken. Sofern also das Unternehmen mit diesen Daten umgeht, sollte eine besondere Sorgfalt bezüglich der Sicherheit dieser Daten zukommen.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Gestern ist im Bahnhof Berlin-Südkreuz das angekündigte Pilotprojekt zur 6-monatigen Testphase zur Gesichtserkennung mittels Videoüberwachungssystems angelaufen.

Hierbei zeichnen die Videokameras nicht mehr „nur“ einfache Bilddaten der Passanten auf, sondern ermitteln auch die physiologischen Eigenschaften ihrer Gesichter. Die so erhobenen biometrischen Daten werden dann mithilfe einer Datenbank, die derzeit noch biometrische Daten ausgewählter Testpersonen enthält, abgeglichen. Während der Testphase soll ermittelt werden, ob eine Identifizierung der Testpersonen damit faktisch möglich ist. Funktioniert die Identifizierung, soll die Technik zukünftig für die frühzeitige Erkennung von Terroristen und gesuchten Straftätern eingesetzt werden. Den Passanten, die nicht als Testpersonen involviert sind, wird durch Kenntlichmachung der videoüberwachten Bereiche die Möglichkeit gegeben, dem Projekt auszuweichen.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit äußerte sich zu diesem Projekt mit äußerster Skepsis. In der entsprechenden Pressemitteilung teilte sie mit, dass der Einsatz einer solchen Technik nur unter strengen Voraussetzungen möglich sein darf, da die Erweiterung der Videoüberwachung um die biometrische Gesichtserkennung ein tiefgreifender Einschnitt in das Persönlichkeitsrecht der Menschen sei. Insbesondere schaffe der Gebrauch dieser Technik erhebliche Risiken für die betroffenen Personen (Testpersonen und Passanten). Sollten die biometrischen Informationen an Unbefugte gelangen, wären die Betroffenen lebenslang von Identitätsdiebstahl bedroht, da biometrische Daten nicht einfach abänderbar sind.

Biometrische Daten gehören zu den besonderen Kategorien personenbezogener Daten. Diese unterliegen noch strikterem Schutz, denn im Fall einer unbefugten Offenlegung dieser besonders sensiblen Angaben kann dies weitreichende Schäden für die betroffenen Personen erzeugen.

Näheres zu den besonderen Kategorien personenbezogener Daten finden Sie in unserem nächsten Blogbeitrag.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

ADCERT Angemessenheitsbeschluss Anwendbarkeit Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Audit Aufsichtsbehörde Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch BAG BDSG-Neu Begrifflichkeiten Beherbergungsstätten Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betrieblicher E-Mail-Account betrieblicher Internetzugang Betroffenenrechte BfDI BGH biometrische Daten Biometrische und genetische Daten Bonitätsprüfung Brexit Bundesarbeitsgericht Bußgeld BVG Cloud CNIL Compliance Cookie Datenlöschung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutzgrundverordnung Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung in Drittstaaten Datenverarbeitung Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau DSAnpUG-EU DSGVO dynamische IP-Adresse eCall-Technologie Einwilligung Einwilligungserklärung Entsorgung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative EU-Datenschutz-Grundverordnung EuGH Facebook Fahrzeugdaten Fahrzeuge Fernmeldegeheimnis Fluggastdaten Gemeinsam Verantwortliche Home Office Informationspflichten Informationssicherheit IP-Adresse IT-Forensik IT-forensische Untersuchung IT-Sicherheit Joint Control Kanada Konzern konzerninterner Datentransfer Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Marktortprinzip Meldepflicht Meldescheine Microsoft NIST One Stop Shop Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Personalausweiskopien personenbezogene Daten Privacy by Default Privacy by Design Privacy Shield Privatnutzung Privatnutzungsverbot Profiling Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte der betroffenen Person Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Siegel Skype Sony PSN Standardvertragsklauseln Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telemediendienst Telemediengesetz TKG TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe USA Vereinbarung Vernichtung von Datenträgern Verordnung (EU) 2015/758 Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Vorteile Webseite Webseiten Webtrecking Werbung Widerrufsrecht Widerspruchsrecht Zertifikat Zertifizierung Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 42a BDSG § 42b BDSG § 88 TKG

An dieser Stelle wollen wir von Zeit zu Zeit unsere Web-Logs ("blogs") pflegen und unsere Meinung zu bestimmten Themen kundtun.

Die einzelnen Posts stellen jeweils die Meinung des Autors dar und nicht zwangsläufig jene der it.sec. Die Inhalte sind stellen keine Beratung dar und übernehmen für die Inhalte keine Haftung.

Tags

Mo Di Mi Do Fr Sa So
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28 29 30