Unternehmen kann es nur gelingen, die Vorgaben der Datenschutzgrundverordnung (DSGVO) flächendeckend einzuhalten, wenn ihre Mitarbeiter, Auszubildende, Praktikanten und Leiharbeiter, die an der Datenverarbeitung mitwirken, ausreichend zum Thema Datenschutz geschult sind.
Die gesetzliche Regelung zur Durchführung von Datenschutzschulungen sowie die Rechtsgrundlage für den Nachweis, dass solche durchgeführt wurden, findet sich in Art. 5 Abs. 2, 24 Abs. 1, Art. 38, 39 Abs. 1 lit. a), b) DSGVO. Daher sollten Unternehmen zunächst ein Schulungskonzept implementieren und in den Datenschutzschulungen die Beschäftigten über die wesentlichen Datenschutz-Themen unterrichten und entsprechend im Umgang mit personenbezogenen Daten sensibilisieren:
- Begriffe, Beteiligte und Grundsätze der Datenschutzgrundverordnung
- Zulässigkeit der Datenverarbeitung
- Informationspflichten und Rechte der betroffenen Personen
- Datenschutzbeauftragter
- Verzeichnis von Verarbeitungstätigkeiten
- Technische & organisatorische Maßnahmen
- Besonderheiten im Konzern
- Auftragsverarbeitung
- Datenübermittlung an Dritte
- Datentransfer in Drittstaaten
- Datenlöschung
- Datenschutz-Folgenabschätzung
- Melde- und Benachrichtigungspflichten
Die Datenschutz-Schulungen sollten jährlich wiederholt werden. Zusätzlich sollten spezielle Datenschutz-Schulungen für Personalwesen, Marketing & Vertrieb sowie IT angeboten werden.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.
Ein Grundsatz des Datenschutzes ist es, dass personenbezogene Daten irgendwann auch wieder gelöscht werden müssen.
Unternehmen sind daher grundsätzlich verpflichtet, die bei ihnen verarbeiteten personenbezogenen Daten nach Zweckwegfall bzw. nach Ablauf sich daran anschließender Aufbewahrungsfristen zu löschen (Grundsatz der Speicherbegrenzung, „Recht auf Vergessenwerden“).
Gerade bei Einsatz von Datenverarbeitungssystemen ist dies jedoch nicht immer so einfach, da man auf die Funktionen, die der Hersteller zur Löschung bereitstellt oder eben nicht bereitgestellt hat, angewiesen ist. Selbst wenn eine solche Löschfunktion vorhanden ist, bedeutet das noch nicht, dass die Daten dann auch gelöscht sind i.S.e. irreversiblen Entfernung der Daten vom Datenträger (Festplatte, Speicherchip etc.).
Unternehmen können sich auch nicht darauf berufen, dass die Löschung aufgrund technischer Gründe unmöglich oder aufgrund des Aufwands einer entsprechenden Nachrüstung unzumutbar ist. Gemäß § 35 BDSG-Neu kann die Pflicht zur Löschung zwar entfallen, wenn dies mit einem unverhältnismäßig hohen Aufwand verbunden ist. Dies gilt jedoch nur im Fall einer nicht-automatisierten Datenverarbeitung.
Daher dürfen Unternehmen nur solche Technik einsetzen, die eine datenschutzgerechte Löschung durch entsprechende Funktionalitäten erlaubt (Grundsatz von Privacy by Design). Die Pflicht zur Löschung und zur Einhaltung von Privacy by Design trifft eben denjenigen, der die Technik einsetzt und damit personenbezogene Daten verarbeitet.
Die Landesbeauftragte für Datenschutz in Schleswig-Holstein (ULD) hätte sich zwar „gewünscht, dass die Datenschutz-Grundverordnung auch die Hersteller unmittelbar zu eingebautem Datenschutz verpflichtet“, aber dies sei „immerhin für die kommende europäische e-Privacy-Verordnung so geplant“ (vgl. unter https://www.datenschutzzentrum.de/artikel/1208-Datenschutz-einbauen!-Appell-an-die-Hersteller-und-Betreiber-am-Safer-Internet-Day.html).
Man kann nur hoffen, dass Produkte, deren Einsatz Bußgelder auslösen können (Art. 83 Abs. 4 lit. a), Abs. 5 lit. a), b) DSGVO), sich zukünftig schwerer verkaufen lassen. Denn nur somit lässt sich derzeit überhaupt Druck auf Hersteller und Entwickler aufbauen, wenn sie den Markt der Europäischen Union auch weiterhin beliefern möchten.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.
Auch die Hardware der Beschäftigten sollte mit Bedacht und Verstand ausgewählt werden. Hacker können nun auch die Verbindung zwischen Tastatur und Computer hacken und somit eigene Befehle an den Computer senden. Mit solchen MouseJack-Angriffen können nicht nur Programme am Computer gestartet werden, sondern auch Scripte geschrieben und ausgeführt, sowie Dateien ins Internet hochgeladen werden.
Ziel der Hacker ist es, sensible Daten zu entwenden oder Schadsoftware auf Ihrem Computer zu installieren. Es sind aktuell beinahe alle gängigen Funktastaturen im 2,4-GHz-Band anfällig für einen solchen Angriff. Mit Hilfe von Updates kann auf dieses Risiko reagiert werden. Idealerweise sollten zukünftig nur noch Tastaturen angeschafft werden, die über Bluetooth oder das alt bewerte Kabel funktionieren. Bluetooth ist durch die oben beschriebenen Angriffe nicht gefährdet.
Der Angriff ist schnell und einfach durchzuführen. Benötigt wird hierfür nur ein Empfänger und eine Antenne, mit denen dann die Funksignale der Tastatur abgefangen und so die Adressen aktiver Mäuse und Tastaturen ermittelt werden können. Die Reichweite des Empfängers liegt bei bis zu 1.000 m im Freien und 50 m in geschlossenen Räumen.
Vor allem in sensiblen Bereichen wie beispielsweise der Personalabteilung sollte auf solche Funktastaturen verzichtet werden.
Dr. Bettina Kraft
Volljuristin, Senior Consultant für Datenschutz