Reaktion von Microsoft auf die Empfehlungen des Europäischen Datenschutzausschusses in Folge des „Schrems II“-Urteils des EuGH
Seit der EuGH in seinem „Schrems II"-Urteil das „Privacy Shield“ zwischen der EU und den USA gekippt hat, kann eine Datenübermittlung in die USA nicht mehr hierauf gestützt werden. Wir haben hierüber bereits berichtet (siehe Blog-Beitrag "EU-US-Datenschutzvereinbarung „Privacy Shield“ ungültig").
Einzig praktikable Möglichkeit zur Absicherung der Datenübermittlung in die USA ist derzeit der Abschluss der EU-Standardvertragsklauseln mit dem Datenimporteur. Allerdings müssen hierbei zusätzlich weitere Maßnahmen ergriffen werden, um ein Datenschutzniveau, das dem innerhalb des Europäischen Wirtschaftsraums entspricht, sicherzustellen. In diesem Zusammenhang hat der Europäische Datenschutzausschuss am 11.11.2020 Empfehlungen für Transfer- und Überwachungsmaßnahmen im Rahmen des internationalen Datentransfers ausgesprochen.
Als Reaktion auf diese Empfehlungen hat Microsoft in einem Anhang zu den Standardvertragsklauseln („Additional Safeguards Addendum to Standard Contractual Clauses“ – abrufbar unter https://aka.ms/defendingyourdataterms) neue Datenschutzmaßnahmen festgelegt, die neben den bereits implementierten Maßnahmen zum Einsatz kommen sollen und nach Angaben von Microsoft die Empfehlungen des Europäischen Datenschutzausschusses sogar übersteigen:
- Microsoft verpflichtet sich dazu, jede Anfrage einer staatlichen Stelle nach Daten seiner Kunden anzufechten, wenn es dafür eine rechtliche Grundlage gibt.
- Microsoft gewährt Nutzern seiner Kunden, deren Daten aufgrund einer Anfrage einer staatlichen Stelle unter Verletzung der EU-Datenschutz-Grundverordnung (EU-DSGVO) von Microsoft offengelegt werden mussten, eine finanzielle Entschädigung.
Geltung nur für Unternehmenskunden und Kunden aus dem öffentlichen Sektor
Zu beachten ist, dass die neuen Maßnahmen nur für Unternehmenskunden und Kunden aus dem öffentlichen Sektor gelten sollen. Privatkunden sind demnach hiervon nicht erfasst.
Zumindest teilweise positive Rezeption durch die Aufsichtsbehörden
Zwar wird durch die neuen Datenschutzmaßnahmen von Microsoft die bei der Datenübermittlung in die USA problematische Möglichkeit des Zugriffs von amerikanischen Behörden auf personenbezogene Daten nicht verhindert. Dennoch werden sie zumindest von den bayerischen, baden-württembergischen und hessischen Aufsichtsbehörden honoriert, die die Bereitschaft von Microsoft, europäische Datenschutzstandards einzuhalten, und die dahingehende Anpassung der Verträge begrüßen.
Fazit
Da die neuen Maßnahmen von Microsoft zwar einen Schritt in die richtige Richtung darstellen, jedoch letztlich die Problematik des Drittlandtransfers nicht abschließend lösen, sind Unternehmen gut damit beraten, die sich bei der Verwendung von Microsoft-Produkten ergebenden Risiken im Rahmen einer Datenschutz-Folgenabschätzung (DSFA) abzuwägen.
Bettina Förster
Consultant für Datenschutz
Der Europäische Gerichtshof hat heute Morgen die Datenschutzvereinbarung „Privacy Shield“ zwischen der EU und den USA gekippt. Dies war die informelle Absprache auf dem Gebiet des Datenschutzrechts, die zwischen der Europäischen Union und der USA ausgehandelt wurde. Die Absprache regelte den Schutz personenbezogener Daten, die aus einem Mitgliedsstaat der Europäischen Union in die USA übertragen wurden. Eine Datenübertragung in die USA und andere Staaten ist aber weiterhin auf Grundlage der sog. EU-Standardvertragsklauseln möglich. Diese bieten Garantien dafür, dass bei der Übermittlung von Daten das europäische Datenschutzniveau eingehalten wird.
Auch das „Privacy Shield“ hat Standards für den Umgang mit europäischen Daten in den USA festgelegt. Die Unternehmen, die ihre Datenübertragung darauf gestützt haben, stehen jedoch nun vor dem Problem, dass diese mit dem Wegfall des Privacy Shields unzulässig geworden ist. Diese Unternehmen müssen jetzt also nach Alternativen suchen. In Betracht kommt entweder die Nutzung von o.g. EU- Standardvertragsklauseln oder der Wechsel zu Dienstleistern und Rechenzentren ausschließlich in Europa oder in Staaten mit einem angemessenen Datenschutzniveau. Bei Verstößen gegen die DSGVO kann es jedenfalls teuer werden, wie einige Fälle bereits gezeigt haben. Es drohen Geldbußen von bis zu 20 Millionen Euro oder bis zu 4% des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens, wenn man Daten ohne angemessenes Datenschutzniveau in ein Drittland übermittelt.
Der österreichische Datenschutzaktivist Max Schrems hatte in diesem Fall beanstandet, dass Facebook Irland seine Daten an den Mutterkonzern in den USA weiterleitet. Denn dort ist Facebook dazu verpflichtet, den US-Behörden (z.B. FBI, NSA) Zugang zu den Daten zu gewähren – und das ohne richterlichen Beschluss oder die Möglichkeit der betroffenen Personen dagegen vorzugehen. Der Rechtsschutz ist für die betroffenen Personen daher unzureichend. Aufgrund dieser Zugriffsmöglichkeiten ist nach Ansicht der Luxemburger Richter der Datenschutz nicht gewährleistet und erklärte dem EU-US Privacy Shield eine Absage.
Unternehmen müssen nun dringend handeln und entweder die Datenverarbeitung mit ehemals Privacy Shield zertifizierten Unternehmen einstellen oder mit diesen unverzüglich EU-Standardvertragsklauseln schließen.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
EU-US-Datenschutzvereinbarung „Privacy Shield“ ungültig
Corona macht auch vor dem Datenschutz nicht halt. Die jetzt notwendigen Maßnahmen verlangen Unternehmen und ihren Mitarbeitern einiges ab. Umso besser, wenn datenschutzrechtliche Bestimmungen frühzeitig in die Überlegungen einbezogen werden, um betroffene Personen nicht noch stärker zu belasten.
Wir haben nachfolgend die wichtigsten Themen für Sie zusammengefasst:
Rundmail vom Mutterkonzern
Es gibt vermehrt Konzerne, die eine Richtlinie mit Verhaltensregeln herausgeben, um die Gefahr der Ansteckung mit dem Coronavirus innerhalb der Belegschaft einzudämmen (z.B. Verbot des Händeschüttelns). Hier müssen ggf. mitbestimmungsrechtliche Vorgaben beachtet und der Betriebsrat vorab eingebunden werden. Die Erhebung der betrieblichen E-Mail-Adressen aller aktiven Mitarbeiter konzernweit zum Versand der Rundmail, um über die Konzernrichtlinie zu informieren, kann auf ein berechtigtes Interesse gestützt werden, da es internen Verwaltungszwecken dient. Sehen Betriebsvereinbarungen Einschränkungen vor bei der konzernweiten Adressverarbeitung, müssen diese beachtet werden. Die konzernweite Adressverarbeitung sollte auch bereits in den Intercompany-Vertrag aufgenommen worden sein. Vor Versand der Rundmail müssen die E-Mail-Adressen ins „BCC“-Feld eingetragen werden. Ein offener E-Mail-Verteiler stellt ggf. eine unbefugte Datenverarbeitung dar.
Frage des Arbeitgebers nach der letzten Urlaubsreise
So ist eine in Zusammenhang mit dem Coronavirus erfolgte Umfrage bei Mitarbeitern nach der letzten Urlaubsreise nach Art. 9 DSGVO, §§ 26 Abs. 3, 22 Abs. 1 Nr. 1 lit. b) BDSG abgedeckt. Im Sinne des Verhältnismäßigkeitsgrundsatzes gilt jedoch: Die Frage des Arbeitgebers muss sich darauf beschränken, ob der Mitarbeiter sich in einem Risikogebiet aufgehalten hat. Die Erhebung des genauen Urlaubsortes ist nicht zulässig. Um Missverständnissen vorzubeugen, sollte der Arbeitgeber die aktuellen Risikogebiete aufzählen.
Abklärung von Risikogruppen
Der Arbeitgeber darf ebenso abklären, ob einzelne Beschäftigte zu einer Risikogruppe[1] gehören. Zweck muss dabei sein, diese bereits im besonderen Maße vor der Gefahr einer Ansteckung zu schützen, bspw. in dem sie von Schulungen, Seminaren, Messen oder sonstigen Veranstaltungen befreit werden oder die Erlaubnis für einen Home-Office-Arbeitsplatz erhalten.
Umgang mit Verdachtsfällen
Aufgrund seiner arbeitsvertraglichen Nebenpflichten hat der Mitarbeiter eine Informationspflicht, wenn eine Ansteckungsgefahr mit dem Coronavirus besteht, bspw. weil er selbst positiv auf das Virus getestet wurde oder möglicherweise infiziert ist, weil er in den letzten 14 Tagen unmittelbaren Kontakt hatte mit einer infizierten Person. Der Arbeitgeber muss aufgrund seiner Fürsorgepflicht die übrigen Beschäftigten informieren, wenn diese einer Ansteckungsgefahr durch einen Kollegen ausgesetzt waren. Eine Übermittlung der Namensangaben oder sonstiger Angaben, die den (möglicherweise) infizierten Kollegen identifizieren, ist in der Regel jedoch nicht zulässig.
Notfallkontakte für Warnungen / Schließungen / Quarantäne-Maßnahmen etc.
Grundsätzlich ist die Preisgabe der privaten Telefonnummern ein erheblicher Eingriff in die Persönlichkeitsrechte der Mitarbeiter. Für Notfälle wie die jetzige Pandemie mit dem Coronavirus ist die Erhebung von Notfallkontaktdaten wie privaten Telefonnummern ausnahmsweise nach Art. 6 Abs. 1 lit. f) DSGVO zulässig, seitens des Mitarbeiters jedoch freiwillig und widerrufbar. Der Arbeitgeber darf die Daten ausschließlich verwenden, um die Mitarbeiter kurzfristig über die aktuellen internen Maßnahmen zur Eindämmung der Pandemie (z.B. Standortschließungen) zu informieren oder vor einer Ansteckungsgefahr zu waren.
Home-Office
Als Präventionsmaßnahme sowie wegen der vorläufigen Schließung von Kitas und Schulen, weichen Mitarbeiter nun vermehrt auf Home-Office-Arbeitsplätze aus.
Sofern in Privatwohnungen personenbezogene Daten, für die der Arbeitgeber verantwortlich ist, verarbeitet werden, muss der Arbeitgeber dafür Sorge tragen, dass die Sicherheit der Daten an diesen Verarbeitungsstandorten ebenso gewährleistet ist. Der Arbeitgeber sollte daher frühzeitig entsprechende Arbeitsmittel bereitstellen (festplattenverschlüsselte Notebooks, sichere VPN-Verbindung, Sichtschutzfolien etc.) und Mitarbeitern konkrete Vorgaben machen zum vertraulichen Umgang mit Daten im Home-Office.
Die Liste an Maßnahmen, sowohl für den Arbeitgeber als auch den Arbeitnehmer, ist sehr umfassend, kommen Sie bei Fragen dazu bitte direkt auf uns zu!
Gerne unterstützen und beraten wir Sie auch kurzfristig zu weiteren Themen wie z.B.
- Zugriffsrechte, Speicherdauer und Informationspflichten
- Umgang mit Besucherdaten
- Übermittlung von Betroffenendaten an Öffentliche Stellen
Unsere Kontaktdaten für Ihre Datenschutz-Fragen:
Dr. Bettina Kraft
Tel. +49 731 20589-0
Bleiben Sie gesund!
Ihre it.sec GmbH
[1]https://www.rki.de/DE/Content/InfAZ/N/Neuartiges_Coronavirus/Steckbrief.html#doc13776792bodyText2
AppLocker ist eine geläufige Black- bzw. Whitelisting Technologie zur Zugriffsverwaltung auf Applikationen und Dateien durch Benutzer. Mittels AppLocker ist es beispielsweise möglich, den Zugriff auf ausführbare Dateien, Skripte, Windows Installer-Dateien, DLLs (Dynamic Link Libraries), o.ä. einzuschränken. In vielen Fällen wird AppLocker auf gehärteten Windows Systemen eingesetzt, um beispielsweise das Ausführen von Standardprogrammen wie cmd.exe oder powershell.exe zu unterbinden.
Mit einem einfachen Hack lassen sich AppLocker Einschränkungen jedoch unter gewissen Voraussetzungen umgehen. Dafür ist lediglich ein installiertes .NET Framework auf dem betroffenen System erforderlich. InstallUtil ist ein Tool, das Teil des .NET Frameworks ist und Benutzern die Installation und Deinstallation von Anwendungen über die Eingabeaufforderung ermöglicht. Da InstallUtil von Microsoft signiert ist und im Windows-Ordner vorgefunden wird, ist die Ausführung unter AppLocker standardmäßig erlaubt. Genau diese Tatsache ermöglicht schließlich die Umgehung von bestimmten AppLocker-Restriktionen, wie die Installation von ausführbaren Dateien.
Beispielsweise kann mit diesem Trick eine PowerShell-Umgebung auf einem System bereitgestellt werden, auf welchem PowerShell grundsätzlich von AppLocker blockiert wird. Der Security Spezialist Casey Smith veröffentlichte hierzu C#-Code (siehe: GitHub-Projekt InstallUtil-Powershell.cs), welcher auf dem betroffenen System mit dem im .NET-Framework enthaltenen Compiler in eine ausführbare Datei kompiliert werden muss. Um eine PowerShell-Umgebung zu schaffen, wird im C#-Code die DLL System.Management.Automation eingebunden. Diese DLL enthält eine Klasse Runspaces, welche die Interpretation und Ausführung von PowerShell-Instruktionen ermöglicht. Durch Überschreiben der Installationsroutine, welche bei Ausführung von InstallUtil aufgerufen wird, erfolgt die Instantiierung eines Objekts der Klasse Runspaces. Nebenbei wird in einer Endlosschleife Benutzereingaben von der von InstallUtil geöffneten Eingabeaufforderung gelesen. Diese Eingaben werden dabei als PowerShell-Befehle vom Runspaces-Objekt interpretiert und auf dem betroffenen System ausgeführt. Sollten auf dem System .exe-Dateien generell von AppLocker blockiert werden, kann der angegebene C#-Code auch als DLL kompiliert werden (siehe: GitHub-Projekt pshell.cs).
Mit der hier vorgestellten Methode ist es einem Angreifer möglich, beliebige DLLs als auch ausführbare Dateien zu laden und auszuführen. AppLocker-Restriktionen können damit effektiv ausgehebelt werden, was unter Umständen zu einer vollständigen Kompromittierung des betroffenen Systems führen kann. Um einen derartigen Angriff abzuwenden, können beispielsweise AppLocker-Pfadregeln definiert werden. Diese Regeln definieren Pfade, von welchen ausschließlich das Laden von DLLs sowie die Ausführung von ausführbaren Dateien erlaubt ist. Es sollten dabei nur Pfade erlaubt werden, die privilegierte Zugriffsberechtigungen für einen Schreibzugriff voraussetzen. Damit soll verhindert werden, dass Standardbenutzer DLLs oder ausführbare Dateien an definierten Pfaden ablegen und in weitere Folge für Angriffe verwendet werden können.
Dipl.-Ing. Christoph Leo Mahrl
IT Security Consultant
Beim Verlust oder Diebstahl des Notebooks denken die Mitarbeiter oft an den finanziellen Schaden. Jedoch kann der Verlust für das Unternehmen im Hinblick auf den Datenschutz wesentlich schlimmer sein. Es gilt eine mögliche Datenpanne zu verhindern.
Ein verlorenes oder entwendetes Notebook ist aus datenschutzrechtlicher Sicht immer kritisch. Die auf dem Rechner gespeicherten Daten sind nicht selten solche mit Personenbezug, wie Kontaktdaten von Kollegen, oder Geschäftspartnern, aber auch von Kunden. Mit dem Laptop sind auch diese Daten verloren gegangen und befinden sich nun im Besitz des Finders oder Diebes.
Zu ergreifende Maßnahmen durch das Unternehmen
Auch wenn der Rechner passwortgeschützt ist, muss schnell gehandelt werden, da keine Kontrolle mehr über die Daten vorhanden ist. Daher ist die unverzügliche Meldung des Verlustes an den Vorgesetzen unumgänglich, um so schnell wie möglich Schutzmaßnahmen zu ergreifen. Es gilt den Zugriff auf die Festplatte und damit eine Datenpanne im Sinne des Art. 33 DSGVO zu verhindern. Die Konsequenzen des Verlusts / Diebstahls sind zu ermitteln. Möglicherweise befinden sich auf dem Rechner keine personenbezogenen Daten. Falls vorhanden, ist der/die Datenschutzbeauftragte zu beteiligen.
Es ist zu prüfen, ob der Verlust eine Datenpanne bedeutet; diese müsste innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde gemeldet werden.
Prävention
Die Schutzmaßnahmen müssen schon vorher festgelegt worden sein. So kann z.B. festgelegt werden, dass dort, wo es technisch möglich ist, Zugänge gesperrt und Passwörter geändert werden. Ein Verfahren zum Löschen von Daten aus der Ferne sollte, wenn möglich, beschrieben sein. Passwortschutz durch ein starkes Passwort. Verschlüsselung der Festplatte und der Daten auf der Festplatte. Sind die Daten verschlüsselt, könnte es sich ggf. um keine meldepflichtige Datenpanne im Sinne des Art. 33 DSGVO handeln.
Michaela Dötsch
Rechtsanwältin
Die Datenschutzgrundverordnung (DSGVO) ist nun bald ein halbes Jahr alt. Die anfängliche Aufregung war spürbar, doch seit ein paar Monaten ist es ruhiger geworden um die DSGVO. Nun droht aber das erste ernstzunehmende europäische Bußgeld für ein Krankenhaus in Portugal.
Ein Krankenhaus bei Lissabon soll insgesamt 400.000 Euro Strafe zahlen, weil u.a. zu viele Personen Zugriff auf Patientendaten hatten. Das Krankenhaus will nun gerichtlich gegen das Bußgeld vorgehen.
Obwohl aktuell nur knapp 300 Ärzte in dem Krankenhaus arbeiten, waren im System knapp 1000 aktive Benutzer als „Arzt“ registriert. Es wurde somit ein umfangreicher Zugriff auf besonders schützenswerte Gesundheitsdaten ermöglicht. Gesundheitsdaten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen, Art. 4 Nr. 15 DSGVO. Gerade für diese Daten müssen die Zugriffe so eng wie möglich ausgestaltet sein.
Aufgrund der Sensibilität der hier verarbeiteten Daten und des doch erheblichen Verstoßes hätte die Strafe hier auch durchaus noch höher ausfallen können.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin