Warum überhaupt ein Datenschutzaudit für die Website oder den Shop?

Die DSGVO legt jedem Betreiber einer Website bzw. eines Shops eine ganze Reihe an Verpflichtungen auf, deren Missachtung durchaus zu Beschwerden Betroffener, behördlichen Kontrollen und ggf. sogar Bußgeldern führen kann. Die wesentlichen Pflichten in der Kurzübersicht:

• Transparenz der Verarbeitung personenbezogener Daten,
• Verarbeitung nur mit ausreichendem Rechtsgrund,
• Gewährleistung der Sicherheit bei der Verarbeitung personenbezogener Daten und
• Beachtung der Rechte der Betroffenen, (Besucher, Interessenten, Abonnenten, Käufer etc.)

Ein datenschutzrechtliches Audit geht über die reine Sichtprüfung einschließlich der Quelltexte hinaus.

Prüfung der Verträge

Zunächst ermitteln wir, ob und ggf. mit welchen Partnern/Unternehmen und ggf. Subunternehmen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO vorliegen müssen. Das ist in aller Regel der Fall und entfällt nur bei Auftraggebern, die alle Prozesse inklusive eigener Webserver vollständig inhouse erledigen. Neben dem eigentlichen AV-Vertrag wird auch die vom Auftragsverarbeiter gelieferte Dokumentation der technisch-organisatorischen Maßnahmen des Datenschutzes (TOM) geprüft.

Die Verantwortung des Unternehmens

Auch im Falle des Vorliegens von Auftragsverarbeitungen durch Dritte bleibt der Unternehmer als Verantwortlicher in der primären Haftung für eventuelle Datenschutzverletzungen. Deshalb gesteht der Gesetzgeber dem Verantwortlichen weitreichende Kontrollrechte zur Durchsetzung seiner Weisungsbefugnis zu.

Gewährleistungsziele des Datenschutzes

Die Gewährleistungsziele des Datenschutzes gelten natürlich auch für alle Internetauftritte. Dies sind die Ziele der:

• Datenminimierung
• Verfügbarkeit
• Integrität
• Vertraulichkeit
• Nichtverkettung
• Transparenz und
• Intervenierbarkeit

Detailliert werden die Gewährleistungsziele des Datenschutzes im Standarddatenschutzmodell der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder, Version 2.0, beschrieben. Bei unseren Audits legen wir u.a. das SDM 2.0 und die Orientierungshilfe Telemedien der DSK sowie die aktuelle Rechtsprechung zugrunde.

Sichtprüfung der Website bzw. des Shops

Im nächsten Schritt wird der Internetauftritt einer Sichtprüfung unterzogen, die auch Quelltexte umfasst. Leitfragen der Sichtprüfung sind:

• Welche personenbezogenen Daten werden auf der Website bzw. dem Shop erhoben und verarbeitet?
• Werden personenbezogene Daten an Dritte weitergegeben? Wenn ja, an wen?
• Werden Cookies oder sog. „hidden identifiers“ eingesetzt? Wenn ja, zu welchem Zweck?
• Ist die Datenschutzerklärung ausreichend und auch für den Laien lesbar und verständlich?
• Welche Rechtsgründe für die Verarbeitung personenbezogener Daten liegen vor? Sind diese hinreichend in der Datenschutzerklärung dargestellt?
• Falls die Verarbeitung auf dem Rechtsgrund der Einwilligung des Betroffenen erfolgt, werden die Rechte der Betroffenen hinreichend gewahrt und die Betroffenen auf ihre Rechte hingewiesen?
• Erfolgt die Verarbeitung auf dem Stand der Technik oder werden schon bei der Sichtprüfung eklatante Mängel, wie beispielsweise die Übertragung von Formulardaten ohne SSL-Verschlüsselung erkennbar?

Sicherheit der Verarbeitung – erweiterte Prüfung

Über die reine Sichtprüfung hinaus werden bei einem Datenschutzaudit für die Website bzw. den Shop auch datenschutzrechtlich relevante Aspekte der Datenverarbeitung geprüft. Hierzu sind oftmals, sofern die Dokumentation der technisch-organisatorischen Maßnahmen des Datenschutzes keine hinreichenden Informationen liefert, Prüfungen der eingesetzten technischen Mittel erforderlich. Geprüft wird dabei

• das eingesetzte Serverbetriebssystem
• die Datenbank und weitere Software, wie beispielsweise die eingesetzte PHP-Version
• das CMS bzw. die Shopsoftware auf Version und Aktualität
• eventuelle weitere Softwarebestandteile wie Themes und Plugins
• das Vorhandensein (oder Fehlen) regelmäßig zu erstellender Backups
• das Vorhandensein von realistischen Tests auf Wiederherstellbarkeit
• die Aktualität der eingesetzten Betriebssysteme und aller Softwarebestandteile, regelmäßige Sicherheitsupdates

Mitunter ist die Dokumentation der technisch-organisatorischen Maßnahmen sowohl des Verantwortlichen als auch der beteiligten Auftragsverarbeiter nicht ausreichend und muss durch eine direkte Prüfung ergänzt werden. Art. 28 DSGVO stellt dabei ausdrücklich klar, dass gegebenenfalls auch Inspektionen bei Auftragsverarbeitern vor Ort durchzuführen sind.

Wer kann ein Datenschutzaudit veranlassen?

In aller Regel veranlassen Verantwortliche, also die Betreiber von Websites und Shops, selbst ein Datenschutzaudit. Größere Unternehmen, die als Dienstleister im Auftragsverhältnis tätig sind, haben oft eigene Datenschutzbeauftragte, die ihrerseits bereits Audits durchgeführt und deren Ergebnisse in den TOM dokumentiert haben. Rechenzentren sollten nach ISO 27001 zertifiziert sein. Generell sollten Auftragsverarbeiter bei der Erstellung der Dokumentation der TOM eine große Sorgfalt an den Tag legen, dies erspart Nachfragen und umständliche Prüfungen.

Auditbericht

Der abschließende Auditbericht gibt transparent über das Ergebnis der Prüfung und die dabei eingesetzten Mittel Auskunft. Er kann vom Auftraggeber ergänzend in die Dokumentation der TOM aufgenommen werden.

Ausblick

Aktuell laufen einige Gerichtsverfahren die erhebliche Auswirkungen auf die Gestaltung von Websites und Shops haben werden. Das schon benannte Urteil des EuGH zum Thema „Cookies und hidden identifiers“ behandelt nur einen Aspekt der oben angesprochenen Fragen. Weitere Urteile und Gesetzgebungsverfahren, insbesondere die immer noch nicht verabschiedete ePrivacy Verordnung werden folgen. Es bedarf keiner sonderlich prophetischen Gabe vorherzusagen, dass insbesondere das Thema „Usertracking und -verfolgung“ in den kommenden Jahren eine besondere Rolle in der Auseinandersetzung spielen wird.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutzaudits für Shops und Websites erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Was hat sich seit Inkrafttreten der DSGVO in Deutschland wirklich geändert?

Auch wenn es zunächst einmal banal klingt, viele Anforderungen des Datenschutzes sind keineswegs so neu, wie es für manche den Anschein hat. Wirklich neu sind vor allem folgende Punkte:

• erweitert und verbessert wurden die Rechte der Bürger auf Auskunft, Berichtigung, Einschränkung der Verarbeitung und Löschung,
• Betroffene haben nun das Recht auf Schadensersatz bei Verstößen gegen die DSGVO,
• die Sensibilität bei Bürgern ist deutlich höher, als noch vor wenigen Jahren,
• erstmals haben die Behörden mit den Bußgeldern und Strafvorschriften ein wirksames Mittel gegen Verstöße im Datenschutz in der Hand.

Nicht ganz so neu

sind dagegen, zumindest für Unternehmen in Deutschland, die Dokumentationspflichten. Die bestanden auch schon vor Inkrafttreten der DSGVO, wurden allerdings in vielen Fällen wirkungsvoll ignoriert. Hier muss gegebenenfalls nachgesteuert werden.

Datenschutz und Datensicherheit gehören zusammen

Ein wesentlicher Aspekt, das zeigen vor allem die Datenpannen der letzten Jahre, sind die zentralen Themen der Datensicherheit. Datenschutz kann ohne Datensicherheit nicht gewährleistet werden. Der Betrieb veralteter Software, schlecht oder gar nicht gewartete Internetauftritte oder menschliche Fehler können sich zu existenzbedrohenden Pannen ausweiten.

Kontinuität schafft Sicherheit

Datenschutz und Datensicherheit sind kein Einwegprojekt, das einmal aufgestellt und dann nie wieder angefasst wird. Unternehmen, die kontinuierlich an ihrer Datenschutz- und Sicherheitskonzeption arbeiten, Mitarbeiter regelmäßig schulen und Hard- und Software auf einem aktuellen Stand halten, sind deutlich weniger gefährdet, als Unternehmen, die ihre Hausaufgaben vernachlässigen. Werden die Aufgaben regelmäßig und kontinuierlich erledigt, bleiben die Kosten im überschaubaren Rahmen.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Überfordert uns der Datenschutz? erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Ein Thema, das in der Praxis allen Datenschutzbeauftragten, egal ob extern oder intern, immer wieder in vielfältiger Weise begegnet.

Neben den grundlegenden Rechtskenntnissen sollten Datenschutzbeauftragte über fundierte Grundlagen im Bereich der Datensicherheit verfügen. Der Blick auf die Gewährleistungsziele des Datenschutzes und der Datensicherheit macht deutlich, dass beide Themen miteinander verwoben, aber nicht identisch sind.

Ohne Datensicherheit ist Datenschutz nicht möglich

Die Gewährleistungsziele der Datensicherheit, Verfügbarkeit, Integrität und Vertraulichkeit, finden sich im Datenschutz wieder. Dort allerdings mit alleinigem Bezug zu personenbezogenen Daten. Gegenstand der Datensicherheit sind Daten allgemein, unabhängig, ob personenbezogen oder nicht. Datenschutz und Datensicherheit überschneiden sich also nur teilweise und können, in Einzelfällen, auch durchaus im Widerspruch zueinander stehen. Umgekehrt gilt aber auch, Mängel im Bereich der Datensicherheit schlagen in aller Regel auch auf den Datenschutz durch. Die aktuell nicht abreißenden Meldungen über Datenpannen im Gesundheitswesen machen dies schlaglichtartig deutlich. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit schlägt deshalb die Ausweitung des Gesetzes zum Schutz kritischer Infrastruktur auf Teile des Gesundheitswesens vor.

Datensicherheit im Standard-Datenschutzmodell der Datenschutzbeauftragten des Bundes und der Länder

In der nun vorliegenden Version des Standard-Datenschutzmodells (SDM) finden Verantwortliche elementare Hinweise zu den Gewährleistungszielen der Verfügbarkeit, Integrität und Vertraulichkeit. Verantwortliche sind gut beraten, die Praxishinweise des SDM im Unternehmen und in Behörden umzusetzen und dies entsprechend zu dokumentieren. Die Umsetzung des SDM kann einen Beitrag zur Verbesserung im Bereich der Datensicherheit leisten.

Insofern ist das SDM Teil eines iterativen Prozesses bestehend aus der rechtlichen Bewertung, der Gestaltung der Verarbeitungsvorgänge sowie der Auswahl und Umsetzung von begleitenden technischen und organisatorischen Maßnahmen. Das SDM bietet mit seinen Gewährleistungszielen eine Transformationshilfe zwischen Recht und Technik und unterstützt damit einen ständigen Dialog zwischen Beteiligten aus dem fachlichen, juristischen und technisch-organisatorischen Bereich. Dieser Prozess läuft während des gesamten Lebenszyklus einer Verarbeitung und kann somit die Forderung der DS-GVO nach regelmäßiger Bewertung und Evaluierung der technischen und organisatorischen Maßnahmen z. B. zur Gewährleistung der Sicherheit der Verarbeitung (Art. 32 Abs. 1 lit. d DS-GVO) unterstützen.

Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Das Standard-Datenschutzmodell, Version 2.0

Risiko = Schwere des möglichen Schadens + Eintrittswahrscheinlichkeit

Zwei Variablen bestimmen das mögliche Risiko für den Betroffenen, die Schwere des möglichen Schadens und die Wahrscheinlichkeit des Schadenseintritts. Je schwerer der mögliche Schaden für den Betroffenen wiegt, um so höhere Ansprüche sind an die technischen und organisatorischen Maßnahmen des Datenschutzes zu stellen. Ergibt die Analyse ein hohes Risiko, sollten umgehend Maßnahmen zur Verringerung der Eintrittswahrscheinlichkeit oder zur Minimierung der Verarbeitung, ggf. bis zum Verzicht auf die Verarbeitung, eingeleitet werden.

Mit speziellen Datenschutzaudits unterstützen wir Verantwortliche und interne DSB bei der Erfüllung ihrer Aufgaben.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutz und Datensicherheit erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Voraussetzungen

Die hier vorgestellte Lösung ist ideal für kleine und mittlere Unternehmen, die etwas für ihre Datensicherheit tun möchten und dabei eine DSGVO-konforme Lösung suchen. Die folgenden Voraussetzungen müssen dabei erfüllt sein:

• es soll ausreichend Speicherplatz zur Verfügung stehen
• mobile Geräte sollen einfach eingebunden werden können
• die Datensynchronisation soll auf Wunsch automatisch erfolgen
• es sollen zusätzliche collaborative Elemente wie Kalender und Aufgabenplaner zur Verfügung stehen
• der Serverstandort sollte in Deutschland oder der EU sein und nicht Drittlandgesetzen, wie beispielsweise dem amerikanischen Cloud Act, unterliegen
• die Lösung soll Gruppen und differenzierte Berechtigungen ermöglichen
• die Nutzung soll anwenderfreundlich gestaltet sein.

Die Mitarbeiter mitnehmen

Damit eine Lösung im Unternehmen funktionieren kann, muss sie Akzeptanz bei den Mitarbeitern finden. Sie muss einfach und intuitiv bedienbar sein und den Arbeitsalltag erleichtern. Werden diese simplen Prinzipien missachtet, ist häufig genug das Wachstum einer Schatten-IT innerhalb des Unternehmens die Folge.

DSGVO-konform und sicher

Damit eine Lösung als DSGVO-konform gelten kann, muss sie die im Standard-Datenschutzmodell der DSK genannten Gewährleistungsziele

• Datenminimierung
• Verfügbarkeit
• Integrität
• Vertraulichkeit
• Nichtverkettung
• Transparenz
• Intervenierbarkeit

unterstützen. Es gibt mittlerweile in der EU Angebote, die den Ansprüchen an eine rechtskonforme Cloudlösung genügen. Die Abrechnung der Lösungen richtet sich in der Regel nach dem verfügbaren Speicherplatz und der Anzahl der Benutzer, die die Cloud nutzen können. Bedauerlicherweise ist bei vielen Angeboten die Zahl der Nutzer begrenzt. Die hier vorgestellte Lösung ist prinzipiell weder bei der Zahl der Nutzer noch der Gruppen begrenzt, kann also mit der Unternehmensorganisation wachsen.

Dedizierter oder virtueller Server?

Der erste Schritt besteht in der Auswahl eines geeigneten dedizierten oder virtuellen Servers. Dabei sollte der erforderliche Speicherplatz eher großzügig kalkuliert werden, denn Umzüge einer solchen Lösung sind nun einmal mit Aufwand verbunden. Für kleinere und mittlere Unternehmen reichen gut ausgestattete virtuelle Server im Preissegment zwischen 10,- und 60,- Euro monatlich durchaus aus, größere Ansprüche erfordern eventuell einen entsprechend ausgestatteten dedizierten Server. Das Rechenzentrum, das den Server beherbergt, sollte nach ISO 27001 zertifiziert sein.

Nextcloud – mehr als nur Datensicherung

Die kurze Geschichte von Nextcloud, das als Fork 2016 bekannt gegeben wurde und seither von Frank Karlitschek und einem Team kontinuierlich fortgeführt wird, kann als Erfolgsgeschichte bezeichnet werden. 2018 hat das Informationstechnikzentrum Bund Nextcloud als Bundescloud-Lösung für 300.000 Mitarbeiter in Ministerien und Behörden frei gegeben. Nach Informationen arbeitet das ITZ gemeinsam mit Bundesamt für Sicherheit in der Informationstechnik daran, die Lösung für Verschlusssachen frei zu geben.

Mittlerweile arbeiten auch Behörden in Frankreich, Schweden und der Niederlande mit Nextcloud. Nextcloud ist freie Software und darf somit im Unternehmen auch kommerziell genutzt werden.

Datensicherung und Collaboration

Nextcloud bietet neben der reinen Datensicherung und Synchronisation von Rechnern und mobilen Devices eine Reihe kostenfreier Apps, beispielsweise Kalender oder Aufgabenplaner, an, die den Funktionsumfang erheblich erweitern. Der Zugriff auf den Nextcloud-Server erfolgt entweder über eine intuitive Weboberfläche, oder über WebDAV. Apps für Android und Apple-Smartphones können kostenfrei über die Stores bezogen werden.

Mit WebDAV können Windows-, MacOS- oder Linux Clients als Netzlaufwerke eingebunden werden. Mittels der kostenfrei verfügbaren Apps können Tablets und Smartphones eingebunden werden.

Die Einrichtung unterschiedlicher Gruppen ermöglicht ein ausdifferenziertes Rechte und Zugriffsmanagement. Alle Mitarbeiter bekommen nur die Daten, für die sie berechtigt sind.

Die Kosten-/Nutzenrechnung stimmt

Auch wenn die Einrichtung und Administration der Lösung Ressourcen in Anspruch nimmt, die Kosten- und Nutzenrechnung stimmt. Vor allem dann, wenn Unternehmen wachsen und neue Mitarbeiter und/oder Kunden integriert werden sollen.

Kunden einbeziehen

Unternehmen, die Ihren Kunden, Klienten oder Mandanten spezielle Dokumente und Informationen zur Verfügung stellen möchten, können über eine entsprechende Kundenverwaltung und passgenaue Differenzierung genau den Mehrwert bieten, der Sie vom Rest der Bewerber abhebt. Auch unseren Kunden, die wir als Datenschutzbeauftragte betreuen, bieten wir seit 2018 diesen Mehrwert.

Gerne beraten und helfen wir bei der Einführung und praktischen Umsetzung von Nextcloud in Ihrem Unternehmen.

Hier bekommen Sie Nextcloud. (Zur Unternehmensseite)

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Cloud? Aber sicher! erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Einführung

In den letzten Jahren, nicht erst mit dem Inkrafttreten der Datenschutzgrundverordnung (DS-GVO), ist die Thematik des „Webtracking“, also des Verfolgens von Benutzern im Internet, auch über die Grenzen von Websites hinweg, ein Thema des öffentlichen Interesses geworden. Den wenigsten Besuchern von Websites dürfte geläufig sein, wie weitreichend heutzutage die Möglichkeiten der Nachverfolgung und Identifikation konkreter Internetuser websiteübergreifend sind. Was können, was dürfen Anbieter im Internet auf ihren Websites und Shops technisch realisieren?

Mit Inkrafttreten der DS-GVO haben sich vor allem zwei Aspekte geändert, einerseits wurden die Rechte von Betroffenen deutlich gestärkt, andererseits müssen Verantwortliche der Datenverarbeitung mit erheblichen Konsequenzen bei Verstößen gegen datenschutzrechtliche Bestimmungen rechnen. Nach unserem Eindruck ist die Sensibilität von Internetusern seit Mai 2018, dem Inkrafttreten der DS-GVO, noch einmal deutlich angestiegen.

Dass Themen, die sich um gesundheitliche Fragestellungen drehen, für die Betroffenen eine besondere Brisanz darstellen, sollte auch ohne einen Blick in die Gesetze jedem klar sein. Nach dem jüngsten Urteil des Europäischen Gerichtshofs vom 1.10.2019 (Planet49/Verbraucherzentrale – AZ C673/17), das sich mit der Frage beschäftigte, welche Voraussetzungen für eine rechtskonforme Erhebung von Daten im Internet seitens der Betreiber realisiert werden müssen, ist die Brisanz der Thematik nochmals deutlicher geworden.

Setting

In der Zeit vom 12.11.2019 bis zum 15.11.2019 wurden insgesamt 45 Websites zu Gesundheits-themen untersucht. Alle Websites rangierten bei der Suchmaschine DuckDuckGo zu den jeweiligen Suchworten auf den ersten beiden Seiten. Suchworte waren:

• Schwangerschaftsbeschwerden
• AIDS Praxis
• Alkoholentzugsklinik
• Magengeschwür
• Pflegeheim
• Pflegedienst
• Palliativmedizin
• Migräne
• Herointherapie

Die Auswahl der zu analysierenden Websites erfolgte nach dem Sichtprinzip, wobei insbesondere darauf geachtet wurde, nicht nur professionelle Medien aus dem Gesundheitswesen zu analysieren. Unterschiedliche Institutionen, von der Universitätsklinik, über einzelne Ärzte oder Ärzteverbünde, gemeinnützige Organisationen, Behörden, aber auch die erwähnten Medienunternehmen wurden zu den obigen Suchbegriffen auf den ersten Seiten gefunden. Die Studie ist nicht geeignet, repräsentative Zahlen für den gesamten Gesundheitsbereich zu liefern, wohl aber ermöglicht sie einen ersten Eindruck, wie weitgehend die datenschutzrechtlichen Grundlagen der DS-GVO und des BDSG (neu) sowie des Telemediengesetzes in Deutschland umgesetzt werden.

Kurzfassung

Alle untersuchten Websites wiesen zum Zeitpunkt der Analyse datenschutzrechtlich zu kritisierende Verarbeitungen auf. Die Mehrzahl der Websites hatten Drittanbieter eingebunden, Cookies und teilweise auch Einträge in den local storage gesetzt, ohne den Besucher adäquat zu informieren oder gar die Möglichkeit der Verhinderung durch den Besucher zu ermöglichen. Lediglich ein Unternehmen setzte dabei ein Consent-Tool ein, das technisch den Vorgaben des EuGH entspricht, bedauerlicherweise war auch hier eine Zustimmung vorangekreuzt und somit der Einsatz des Tools ebenfalls nicht konform nach dem Urteil des EuGH.

Gemessen an der inhaltlichen Brisanz der aufgerufenen Informationen kann das Analyseergebnis nur als datenschutzrechtlich problematisch bezeichnet werden. In fast allen untersuchten Fällen können Dritte durch die nicht-legitimierte Weitergabe von Informationen über Besucher der Websites Rückschlüsse auf private, gesundheitliche Informationen ziehen, die nicht in fremde Hände gehören.

Rechtliche Grundlagen

Wer eine Webseite betreibt, muss sich zwangsläufig auch mit dem Thema Datenschutz beschäftigen. Dabei geht es nicht (nur) um die Inhalte, die auf der Webseite veröffentlicht werden. Es geht vielmehr und natürlich vor allem mit Bezug auf die vorliegende Studie um die personenbezogenen Daten der Besucher der Webseite. Denn selbst wer seine Webseite in nacktem HTML geschrieben hat, muss seine HTML-Dokumente auf einem Webserver hinterlegen, der zwangsläufig die IP-Adressen der Clients (also personenbezogene Daten der Besucher) in irgendeiner Weise verarbeiten muss. Moderne Webseiten beschränken sich aber kaum auf reine HTML Inhalte. Vielmehr werden Techniken eingesetzt, die den Unzulänglichkeiten des wichtigen Protokolls HTTP, welches „zustandslos“ ist, begegnen sollen, so z.B. das Setzen und Auslesen von Cookies.

Der Anwendungsbereich der DSGVO ist also eröffnet. Als abstrakt generelle Regelung enthält die DSGVO freilich keine expliziten Erlaubnistatbestände für Cookies oder andere Trackingmethoden. Es ist aber mitunter schwierig, die allgemeinen Erlaubnistatbestände des Art. 6 DSGVO auf spezielle Einzelprobleme anzuwenden. Ein Gesetz, das sich speziell mit dem Datenschutz beim Betreiben von Webseiten befasst, wäre also wünschenswert. Die Betreiber von Webseiten warten jedoch bislang vergeblich auf die Verabschiedung der geplanten ePrivacy-Verordnung, die die DSGVO in diesem Punkt (etwas allgemeiner: im Bereich der elektronischen Kommunikation) bereichsspezifisch präzisieren, ergänzen und die alte Richtlinie RL 2002/58/EG ersetzen soll.¹

Solange eine besondere Regelung auf sich warten lässt, muss der Erlaubnistatbestand in der DSGVO gefunden werden.² Die deutschen Aufsichtsbehörden wenden Art. 6 Abs. 1 lit. f DSGVO an. Nach dieser Vorschrift dürfen personenbezogene Daten verarbeitet werden, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Für Sitzungscookies, die z.B. in einem Internet-Shop eine Warenkorbfunktionalität technisch ermöglichen, dürften die Voraussetzungen dieser Erlaubnisnorm unproblematisch vorliegen. Beim Tracking, das Internetnutzer „gläsern“ und verfolgbar machen soll, kann das nicht so einfach gelten. Die Aufsichtsbehörden fordern beim Einsatz solcher Technologien die Einholung einer Einwilligung der betroffenen Person. Diese Forderung dürfte zu pauschal erhoben sein, vielmehr muss eine Abwägung im Einzelfall erfolgen. Das ist keine leichte Aufgabe, sieht man sich nur die Vielzahl der unbestimmten Rechtsbegriffe an, mit denen Art. 6 Abs. 1 lit. f DSG VO hantiert.

Es kommt daher nicht von ungefähr, dass sich der EuGH mit eben solchen Fragestellungen zu beschäftigen hat, zumal dem EuGH als Hüter der Verträge die Auslegungskompetenz bezüglich europäischer Rechtsetzungsakte wie dem der DSGVO zusteht. Auf Vorlage des BGH³ erging eine wichtige Entscheidung des EuGH am 01.10.2019.⁴ Der EuGH stellt in dieser klar, dass Cookies, die nicht zwingend technisch erforderlich sind, die (aktive) Einwilligung der Nutzer voraussetzen. Ein „opt out“ ist nicht ausreichend, d.h. der Nutzer muss aktiv z.B. durch das Anklicken eines Kästchens in die Datenverarbeitung einwilligen.⁵ Das Ankreuzkästchen darf nicht vorausgewählt sein, denn das würde einem passiven Verhalten des Nutzers entsprechen und wäre damit nicht als Einwilligung zu werten. Dem Urteil des EuGH lässt sich indes nicht entnehmen, dass bei jedem Cookie eine Einwilligung vorliegen muss. Webseitenbetreiber werden daher sorgfältig zu den technisch notwendigen Cookies abzugrenzen haben, was im Einzelfall schwierig sein könnte. Dem normalen Rechtsanwender dürfte sich kaum erschließen, was der EuGH mit „hidden identifiers“ meint, die ohne Wissen der Nutzer in deren Endgeräte „eindringen“. Es gibt Spielraum für Auslegung und Diskussionen. Sicher aber ist: Die Regelungs- und Prüfdichte im Datenschutz steigt.

1 Ein aktualisierter Entwurf ist am 04.10.2019 von der finnischen Ratspräsidentschaft veröffentlicht worden. Dieser Entwurf soll in der zuständigen Ratsarbeitsgruppe diskutiert werden, um zu einem gemeinsamen Standpunkt der Mitgliedstaaten zu gelangen.

2 Dass § 15 Abs. 3 TMG keine Erlaubnisnorm in Bezug auf Tracking ist, dürfte mittlerweile herrschende Meinung in der Rechtswissenschaft sein. Praktische Unterschiede dürfte es ohnehin im Vergleich zur Anwendung des Art. 6 Abs. 1 lit. f DSGVO nicht geben.

3 BGH GRUR 2018, 96; Vorinstanz OLG Frankfurt a.M. v. 17.12.2015, Az. 6 U 30/15.

4 EuGH, Urt. v. 1.10.2019, Az. C-673/17, abgedruckt u.a. in NJW 2019, 3433 = MMR 2019, 732 m.Anm. Moos, Rothkegel.

5 Damit dürfte § 15 Abs. 3 TMG als nicht richtlinienkonform gelten, eine Anpassung durch den Gesetzgeber steht aus. Die sog. Cookie-Richtlinie (2009/136/EG) sieht ebenjene ausdrückliche Einwilligung vor.

Ergebnisse der Studie

SSL-Verschlüsselung

Zwei der untersuchten 45 Websites verfügten zum Zeitpunkt der Erfassung nicht über eine SSL-Verschlüsselung. Zwei weitere Websites verfügten zwar über die Möglichkeit der SSL-Verschlüsselung, hatten diese aber nicht als Standard voreingestellt. Die Abdeckung der untersuchten Websites mit SSL-Verschlüsselung, die als Standard voreingestellt wurde und beim Aufruf einer Seite ohne https zur sicheren Version umleitete, kann als gut bezeichnet werden. Zu diesem positiven Ergebnis mag neben einer gewachsenen Sensibilität auch die Tatsache, dass es mittlerweile kostenfreie Zertifikate gibt, beigetragen haben. In einem Fall war ein Webformular ohne SSL-Verschlüsselung eingebunden.

Cookies

Fast alle der untersuchten Websites setzen Cookies ein, insgesamt wurden von 45 Websites 851 Cookies gesetzt, davon waren 590 sogenannte „third-party-cookies“, also Cookies, die von Dritten ausgelesen werden können. Fünf von 45 Websites kamen gänzlich ohne das Setzen von Cookies aus, drei Unternehmen setzten jeweils mehr als 100 Cookies pro Website. Den Rest teilten sich die verbleibenden Unternehmen mit unterschiedlicher Intensität auf.

Die Mehrzahl der untersuchten Websites (62,22%=28 Websites) setzten 1 bis 10 Cookies ein. Der Spitzenwert lag bei 148 Cookies.

Wie aus der Verteilung sichtbar wird, setzen 40% der untersuchten Websites keine third-party-cookies ein, bei 42,22% waren es bis einschließlich 10 Cookies. Der Rest der untersuchten Websites lag teilweise deutlich über diesen Werten.

Cookie Popup

Obwohl nur fünf Unternehmen auf eine adäquate Information vor dem Setzen von Cookies verzichten konnten, wiesen nur 28 von 43 Unternehmen darauf hin, dass Sie Cookies auf der Website einsetzen. Lediglich ein Unternehmen setzte ein Consent-Tool mit weiteren Informationen und Auswahlmöglichkeiten ein. Bei den 28 Websites, die ein Cookie-Popup einsetzten, handelte es sich in fast allen Fällen um einen unspezifizierten Hinweis. In keinem der untersuchten Fälle bestand die Möglichkeit, dem Setzen von Cookies zu widersprechen und das Setzen wirkungsvoll zu verhindern. Die Anzeige des Cookie-Popup konnte in der Regel lediglich mit dem Klick auf „OK“ oder eine andere Form der „Einwilligung“ unterbunden werden.

Nicht einwilligungspflichtig sind hierbei nur Cookies, die der technischen Funktionsfähigkeit der Website und der Leistungserbringung dienen. Für alle anderen Cookies gilt, dass die informierte und freiwillige Einwilligung nach dem EuGH Urteil die einzige legitime Variante darstellt.

Local Storage („hidden identifiers“)

14 von 45 Unternehmen hatten insgesamt 171 Einträge in den local storage des Besuchers vorgenommen. Im Unterschied zu Cookies ist hier der Speicherplatz nicht begrenzt, so dass erheblich größere Datenmengen übermittelt werden können. Einträge in den local storage können unter Umständen dazu verwendet werden, Besucher zu verfolgen und Profilbildungen zu ermöglichen. Durch eine reine Sichtprüfung kann die konkrete Verwendung von Daten-speichervorgängen im local storage nicht bestimmt werden.

Consent-Tools

Obwohl schon eine Weile auf dem Markt, hat derzeit nur ein Anbieter ein echtes Conset-Tool eingebunden, das vor einem Eingriff in den Rechner des Users, diesen informiert und die freie Wahl der Zustimmung oder Ablehnung lässt. Nicht rechtskonform war dabei das vorangekreuzte Kästchen im Consent-Tool.

Einbindung von Drittanbietern

Lediglich drei von 45 Websites verzichteten auf die Einbindung von Drittanbietern. Die verbleibenden 42 Websites banden insgesamt 2769 sogenannte „third-party-requests“ in ihren Webauftritt ein. 20 Websites nutzten Google Fonts von externen Google Servern, 30 Websites banden andere CDNs in ihrem Auftritt ein.

Zwei der fünf Unternehmen, die keine Cookies einsetzten, banden Drittanbieter in ihr Webangebot ein. In beiden Fällen handelte es sich um die Einbindung von Google Fonts von den Google-Servern. Generell kann festgestellt werden, dass die Anzahl der Cookies mit der Anzahl der third-party-requests korreliert. Je mehr Cookies eingesetzt werden, um so höher ist auch die Anzahl der Einbindung von Drittanbietern auf der Website. Diese werden so zu (ungewollten?) Datenlieferanten vor allem für die großen Datensammler des Internets.

20 von 45 untersuchten Websites hatten unnötigerweise Google Fonts per Abruf von den Google Servern eingebunden und damit personenbezogene Daten an das amerikanische Unternehmen übermittelt.

8 von 45 Websites (17,7%) hatten facebook connect direkt eingebunden und damit direkt eine Datenübermittlung an Facebook angestoßen, die es Facebook ermöglicht, die Daten mit weiteren zu einem Profil zusammenzuführen.

Tracking

32 von 45 Websites nutzten Trackingtools externer Anbieter zur Analyse der Besucherströme auf der Website. Der weitaus größte Teil davon entfiel auf Google Analytics. Zwar wurde in den meisten Fällen in der Datenschutzerklärung auf die Nutzung von Analysetools hingewiesen, in keinem Fall jedoch hatte der Besucher die Möglichkeit, vor der Erfassung zu widersprechen und diese damit wirkungsvoll zu verhindern. Eine rechtskonforme Einwilligung wurde nicht eingeholt.

Fazit

Wer über Gesundheitsthemen informiert, vor allem über solche, bei denen erwartbar der Besucher der Website ein hohes Bedürfnis nach Schutz und Privatheit hat, sollte noch sensibler als andere Betreiber von Websites mit der Weitergabe von Informationen an Dritte umgehen. Diese Form der Rücksichtnahme konnten wir mit wenigen Ausnahmen nicht antreffen. Ein nicht geringer Teil der Betreiber der untersuchten Websites riskiert nicht nur Anfragen und Beschwerden der Besucher, sondern bei Bekanntwerden unter Umständen auch Anordnungen und Bußgelder der Behörden.

Langen und Baden-Baden, den 05.12.2019

Autoren der Studie:

Dr. jur. Wolfhard Steinmetz, Langen

Peter Dippold, Baden-Baden

Impressum:

Peter Dippold

Eichelgartenstr. 6

76530 Baden-Baden

info@dsb-baden-baden.de

Telefon: 07221 8589943

Urheberrechtlich geschützt. Nachdruck auch auszugsweise nur mit schriftlicher Genehmigung durch die Herausgeber.

Der Beitrag Studie: Tracking auf Websites im Gesundheitswesen erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

So wird der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Ulrich Kelber, zitiert:

Wer Angebote einbindet, die wie zum Beispiel Google Analytics rechtlich zwingend eine Einwilligung erfordern, muss dafür sorgen, von seinen Websitenutzern eine datenschutzkonforme Einwilligung einzuholen. Dass dies nicht mit einfachen Informationen über sogenannte Cookie-Banner oder voraktivierte Kästchen bei Einwilligungserklärungen funktioniert, sollte hoffentlich mittlerweile jedem klar sein. Jeder Websitebetreiber sollte sich daher genau damit auseinandersetzen, welche Dienste bei ihm eingebunden sind und diese notfalls deaktivieren, bis er sichergestellt hat, dass ein datenschutzkonformer Einsatz gewährleistet werden kann.

Quelle: Newsletter des BfD vom 14.11.2019

Behörden kündigen Prüfungen an.

In mehreren Bundesländern kündigten die jeweiligen Landesdatenschutzbeauftragten an, den Beschwerden von Websitebesuchern nachzugehen. Die nahezu gleichlautenden Formulierungen lassen vermuten, dass sich die Behörden abgestimmt haben und vermutlich Prüfungen bundesweit durchführen werden.

Die informierte Einwilligung wird Pflicht

Wer eine Website betreibt und Dienste von Drittanbietern eingebunden hat, ist also gut beraten, sich umgehend Gedanken über eine rechtskonforme Einwilligung der Besucher zu machen. Die derzeit üblichen Cookie-Banner genügen diesem Rechtsanspruch nicht.

Was Websitebetreiber tun sollten, finden Sie auf dieser Seite.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Nach dem EuGH Urteil: Datenschutzbehörden leiten Prüfungen von Websites ein erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Anmeldung zu unserem Newsletter.

E-Mail*

Der Beitrag Newsletter erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) stellte am 6.11.2019 das Standard-Datenschutzmodell in Version 2.0 vor. Ausgehend von den Rechten der Betroffenen und den darauf aufbauenden Gewährleistungszielen des Datenschutzes werden auf 68 Seiten die Anforderungen der DS-GVO erfasst und systematisiert. Das Dokument finden Sie hier.

Verantwortliche in Wirtschaft und Verwaltung erhalten Hilfestellung

In der Pressemitteilung schreibt die DSK:

Die Anwendungsbereiche des Standard-Datenschutzmodells sind Planung, Einführung und Betrieb von Verarbeitungstätigkeiten, mit denen personenbezogene Daten verarbeitet werden (personenbezogene Verarbeitungen) sowie deren Prüfung und Beurteilung. Damit unterstützt das SDM Verantwortliche in Wirtschaft und Verwaltung, die von der DS-GVO auferlegten Nachweis-und Rechenschaftspflichten zu erfüllen.“

Quelle: https://www.datenschutzkonferenz-online.de/media/pm/20191111_pm_sdm2.pdf

Verantwortliche in Wirtschaft und Verwaltung erhalten mit dem SDM einen guten Überblick, womit bei möglichen Prüfungen durch die Behörden zu rechnen ist.

Die Anforderungen gelten unabhängig von der Unternehmensgröße oder der Art des Unternehmens.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Hier können Sie unseren Newsletter abonnieren. Der Newsletter ist kostenfrei, die Abmeldung jederzeit möglich.

Anmeldung zu unserem Newsletter.

E-Mail*

Der Beitrag DSK stellt das Standard-Datenschutzmodell in Version 2.0 vor erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Bußgeldrahmen kann künftig ausgeschöpft werden

Der Rahmen erleichtert die Orientierung und macht deutlich, dass je nach Schwere der Verstöße und Häufigkeit künftig die maximal mögliche Höhe Höhe durchaus ausgeschöpft werden kann und wird.

Das Konzept

Die Zuweisung von Bußgeldern erfolgt in fünf Schritten:
1. Zuordnung eines Unternehmens zu einer Größenklasse
2. Bestimmung des mittleren Jahresumsatzes der jeweiligen Untergruppe des Unternehmens
3. Ermittlung des wirtschaftlichen Grundwerts
4. Ermittlung des Faktors der Tatumstände
5. Berücksichtigung sonstiger noch nicht berücksichtigter Umstände der Tat

1. Die Größenklassen

A: Kleinstunternehmen
A1: Jahresumsatz bis 700.000,00 Euro
A2: Jahresumsatz über 700.000,00 bis 1,4 Mio. Euro
A3: Jahresumsatz über 1,4 Mio. bis 2 Mio. Euro
__________________________________________

B: Kleinunternehmen
B1: Jahresumsatz über 2 Mio. bis 5 Mio. Euro
B2: Jahresumsatz über 5 Mio. bis 7,5 Mio. Euro
B3: Jahresumsatz über 7,5 Mio. bis 10 Mio. Euro

__________________________________________

C: Mittlere Unternehmen
C1: Jahresumsatz über 10 Mio. bis 12,5 Mio. Euro
C2: Jahresumsatz über 12,5 Mio. bis 15 Mio. Euro
C3: Jahresumsatz über 15 Mio. bis 20 Mio. Euro
C4: Jahresumsatz über 20 Mio. bis 25 Mio. Euro
C5: Jahresumsatz über 25 Mio. bis 30 Mio. Euro
C6: Jahresumsatz über 30 Mio. bis 40 Mio. Euro
C7: Jahresumsatz über 40 Mio. bis 50 Mio. Euro

__________________________________________

D: Großunternehmen
D1: Jahresumsatz über 50 Mio. bis 75 Mio. Euro
D2: Jahresumsatz über 75 Mio. bis 100 Mio. Euro
D3: Jahresumsatz über 100 Mio. bis 200 Mio. Euro
D4: Jahresumsatz über 200 Mio. bis 300 Mio. Euro
D5: Jahresumsatz über 300 Mio. bis 400 Mio. Euro
D6: Jahresumsatz über 400 Mio. bis 500 Mio. Euro
D7: Jahresumsatz über 500 Mio. Euro

2. Bestimmung des mittleren Jahresumsatzes der jeweiligen Untergruppe der Größenklasse

A1: 350.000,00 Euro
A2: 1.050.000,00 Euro
A3: 1,7 Mio. Euro

__________________________________________

B1: 3,5 Mio. Euro
B2: 6,25 Mio. Euro
B3: 8,75 Mio. Euro

__________________________________________

C1: 11,25 Mio. Euro
C2: 13,75 Mio. Euro
C3: 17,5 Mio. Euro
C4: 22,5 Mio. Euro
C5: 27,5 Mio. Euro
C6: 35 Mio. Euro
C7: 45 Mio. Euro

__________________________________________

D1: 62,5 Mio. Euro
D2: 87,5 Mio. Euro
D3: 150 Mio. Euro
D4: 250 Mio. Euro
D5: 350 Mio. Euro
D6: 450 Mio. Euro
D7: konkreter Jahresumsatz

__________________________________________

3. Ermittlung des wirtschaftlichen Grundwerts

Hier wird der mittlere Jahresumsatz der Gruppe durch 360 geteilt und so der Tagesumsatz ermittelt.

A1: 972 Euro
A2: 2.917 Euro
A3: 4.722 Mio. Euro

__________________________________________

B1: 9.722 Euro
B2: 17.361 Euro
B3: 24.306 Euro

__________________________________________

C1: 31.250 Euro
C2: 38.194 Euro
C3: 48.611 Euro
C4: 62.500 Euro
C5: 76.389 Euro
C6: 97.222 Euro
C7: 125.000 Euro

__________________________________________

D1: 173.611 Euro
D2: 243.056 Euro
D3: 416.667 Euro
D4: 694.444 Euro
D5: 972.222 Euro
D6: 1,25 Mio. Euro
D7: konkreter Tagessatz

__________________________________________

4. Multiplikation des Grundwertes mit dem Schweregrad der Tat

Leicht
Faktor für formelle Verstöße gemäß Art. 83 Abs. 4 DS-GVO: 1 bis 2
Faktor für materielle Verstöße gemäß Art. 83 Abs. 5, 6 DS-GVO: 1 bis 4

Mittel
Faktor für formelle Verstöße gemäß Art. 83 Abs. 4 DS-GVO: 2 bis 4
Faktor für materielle Verstöße gemäß Art. 83 Abs. 5, 6 DS-GVO: 4 bis 8

Schwer
Faktor für formelle Verstöße gemäß Art. 83 Abs. 4 DS-GVO: 4 bis 6
Faktor für materielle Verstöße gemäß Art. 83 Abs. 5, 6 DS-GVO: 8 bis 12

Sehr schwer
Faktor für formelle Verstöße gemäß Art. 83 Abs. 4 DS-GVO: 6 <
Faktor für materielle Verstöße gemäß Art. 83 Abs. 5, 6 DS-GVO: 12 <

5. Anpassung des Grundwertes anhand aller sonstigen für und gegen den Betroffenen sprechenden Umstände

Zu nennen sind täterbezogene Umstände nach Art. 83 Abs. 2 DS-GVO sowie sonstige Umstände (Verfahrensdauer, drohende Zahlungsunfähigkeit).

Die Botschaft der Behörden

Für Unternehmen jeglicher Größenklasse sollte klar sein, Verstöße gegen den Datenschutz sind keine Kavaliersdelikte, über die man mit einem Augenzwinkern hinweg sehen kann. Angemessen, aber wirksam sollen Bußgelder sein.

Die Praxis in den Unternehmen

Die praktische Erfahrung zeigt, dass in nahezu allen Unternehmen ein Beratungsbedarf und, in sehr vielen Fällen, eine Notwendigkeit zur Um- und Reorganisation von Prozessen besteht. In vielen Fällen führt dieser Prozess zudem zu einem höheren Sicherheitsniveau in der Datenverarbeitung. Datenschutz und Datensicherheit verhalten sich häufig wie kommunizierende Röhren. Ein höheres Datenschutzniveau geht oftmals mit einem höheren Sicherheitsniveau einher.

Datenschutz rechnet sich

Natürlich verursacht die Umsetzung der DS-GVO im Unternehmen zunächst einmal Kosten, denen in aller Regel zunächst kein (sichtbarer) Ertrag gegenübersteht. Dies dürfte der Hauptgrund für die nach wie vor häufig anzutreffenden „Datenschutzverweigerer“ sein.

Die Rechnung verändert sich deutlich, wenn ein Unternehmen von einer Kontrolle oder einem Datenunfall (data breach) betroffen ist.

Der wichtigste Grund, warum es sinnvoll ist, in Datenschutz zu investieren, dürfte mittelfristig darin liegen, dass die Zahl der Bürgerinnen und Bürger, die eine höhere Sensibilität für den Umgang mit ihren Daten entwickelt, ansteigen wird.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutzkonferenz beschließt Bußgeldrahmen erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Die insgesamt 250 Kontrollmaßnahmen betreffen die Bereiche öffentliche Sicherheit, Verkehr, Kommunales sowie das Gesundheits- und das Bildungswesen. Geprüft werden im Einzelnen unter anderem städtische und private Videoüberwachungen, Datenspeicherungen bei der Polizei, im Auto generierte Daten, Ratsinformationssysteme, Krankenhäuser, Arztpraxen und Apotheken, Versicherungen und Museen. Weiterhin werden eine größere Anzahl an Webseiten von Online-Shops auf die Datenweitergabe an Dritte (sog. Tracking) untersucht.“

https://www.baden-wuerttemberg.datenschutz.de/kontrollmassnahmen-zur-eu-dsgvo-stehen-fest/

Die bereits im vergangenen Jahr veröffentlichten Kontrollmaßnahmen des bayrischen Landesamtes für Datenschutzaufsicht geben einen Vorgeschmack auf die Kontrolltätigkeiten in diesem Jahr.

Hausaufgaben und Pflichten

Unternehmen, die ihre Hausaufgaben und Pflichten bearbeitet haben, sollten den Kontrollen einigermaßen gelassen entgegensehen können. Wer jetzt erst anfängt, sollte sich allerdings darüber im Klaren sein, dass alleine die Erstellung der Pflichtdokumentation nach DS-GVO ihre Zeit benötigt. Ganz abgesehen von möglichen notwendigen Veränderungen in Prozessen und Technologie.

Sollten Sie Hilfe benötigen, hier finden Sie einige grundlegende Informationen.

Abmahnverein gegründet

In Brandenburg hat sich ein Verein gegründet, der aktuell bundesweit Betreiber von Webseiten abmahnt die Formulare unverschlüsselt im Internet einsetzen. Natürlich ist der unverschlüsselte Einsatz von Formularen ein klarer Verstoß gegen den Datenschutz. Dennoch ist vor einer allzu schnellen Unterzeichnung der beigefügte Unterlassungserklärung und Bezahlung der geforderten Abmahngebühren zu warnen. Denn erstens ist aktuell noch vollkommen unklar, ob der selbsternannte Hüter des Datenschutzes überhaupt abmahnberechtigt ist und zweitens kann ein unbedachtes Handeln zu hohen Folgekosten führen. Unternehmen und Vereinen die eine derartige Abmahnung erhalten, ist die Konsultation eines Fachanwalts dringend zu raten.

Der Beitrag 2019 – Das Jahr der Kontrollen und erste Abmahnwellen erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.