Warum überhaupt ein Datenschutzaudit für die Website oder den Shop?

Die DSGVO legt jedem Betreiber einer Website bzw. eines Shops eine ganze Reihe an Verpflichtungen auf, deren Missachtung durchaus zu Beschwerden Betroffener, behördlichen Kontrollen und ggf. sogar Bußgeldern führen kann. Die wesentlichen Pflichten in der Kurzübersicht:

• Transparenz der Verarbeitung personenbezogener Daten,
• Verarbeitung nur mit ausreichendem Rechtsgrund,
• Gewährleistung der Sicherheit bei der Verarbeitung personenbezogener Daten und
• Beachtung der Rechte der Betroffenen, (Besucher, Interessenten, Abonnenten, Käufer etc.)

Ein datenschutzrechtliches Audit geht über die reine Sichtprüfung einschließlich der Quelltexte hinaus.

Prüfung der Verträge

Zunächst ermitteln wir, ob und ggf. mit welchen Partnern/Unternehmen und ggf. Subunternehmen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO vorliegen müssen. Das ist in aller Regel der Fall und entfällt nur bei Auftraggebern, die alle Prozesse inklusive eigener Webserver vollständig inhouse erledigen. Neben dem eigentlichen AV-Vertrag wird auch die vom Auftragsverarbeiter gelieferte Dokumentation der technisch-organisatorischen Maßnahmen des Datenschutzes (TOM) geprüft.

Die Verantwortung des Unternehmens

Auch im Falle des Vorliegens von Auftragsverarbeitungen durch Dritte bleibt der Unternehmer als Verantwortlicher in der primären Haftung für eventuelle Datenschutzverletzungen. Deshalb gesteht der Gesetzgeber dem Verantwortlichen weitreichende Kontrollrechte zur Durchsetzung seiner Weisungsbefugnis zu.

Gewährleistungsziele des Datenschutzes

Die Gewährleistungsziele des Datenschutzes gelten natürlich auch für alle Internetauftritte. Dies sind die Ziele der:

• Datenminimierung
• Verfügbarkeit
• Integrität
• Vertraulichkeit
• Nichtverkettung
• Transparenz und
• Intervenierbarkeit

Detailliert werden die Gewährleistungsziele des Datenschutzes im Standarddatenschutzmodell der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder, Version 2.0, beschrieben. Bei unseren Audits legen wir u.a. das SDM 2.0 und die Orientierungshilfe Telemedien der DSK sowie die aktuelle Rechtsprechung zugrunde.

Sichtprüfung der Website bzw. des Shops

Im nächsten Schritt wird der Internetauftritt einer Sichtprüfung unterzogen, die auch Quelltexte umfasst. Leitfragen der Sichtprüfung sind:

• Welche personenbezogenen Daten werden auf der Website bzw. dem Shop erhoben und verarbeitet?
• Werden personenbezogene Daten an Dritte weitergegeben? Wenn ja, an wen?
• Werden Cookies oder sog. „hidden identifiers“ eingesetzt? Wenn ja, zu welchem Zweck?
• Ist die Datenschutzerklärung ausreichend und auch für den Laien lesbar und verständlich?
• Welche Rechtsgründe für die Verarbeitung personenbezogener Daten liegen vor? Sind diese hinreichend in der Datenschutzerklärung dargestellt?
• Falls die Verarbeitung auf dem Rechtsgrund der Einwilligung des Betroffenen erfolgt, werden die Rechte der Betroffenen hinreichend gewahrt und die Betroffenen auf ihre Rechte hingewiesen?
• Erfolgt die Verarbeitung auf dem Stand der Technik oder werden schon bei der Sichtprüfung eklatante Mängel, wie beispielsweise die Übertragung von Formulardaten ohne SSL-Verschlüsselung erkennbar?

Sicherheit der Verarbeitung – erweiterte Prüfung

Über die reine Sichtprüfung hinaus werden bei einem Datenschutzaudit für die Website bzw. den Shop auch datenschutzrechtlich relevante Aspekte der Datenverarbeitung geprüft. Hierzu sind oftmals, sofern die Dokumentation der technisch-organisatorischen Maßnahmen des Datenschutzes keine hinreichenden Informationen liefert, Prüfungen der eingesetzten technischen Mittel erforderlich. Geprüft wird dabei

• das eingesetzte Serverbetriebssystem
• die Datenbank und weitere Software, wie beispielsweise die eingesetzte PHP-Version
• das CMS bzw. die Shopsoftware auf Version und Aktualität
• eventuelle weitere Softwarebestandteile wie Themes und Plugins
• das Vorhandensein (oder Fehlen) regelmäßig zu erstellender Backups
• das Vorhandensein von realistischen Tests auf Wiederherstellbarkeit
• die Aktualität der eingesetzten Betriebssysteme und aller Softwarebestandteile, regelmäßige Sicherheitsupdates

Mitunter ist die Dokumentation der technisch-organisatorischen Maßnahmen sowohl des Verantwortlichen als auch der beteiligten Auftragsverarbeiter nicht ausreichend und muss durch eine direkte Prüfung ergänzt werden. Art. 28 DSGVO stellt dabei ausdrücklich klar, dass gegebenenfalls auch Inspektionen bei Auftragsverarbeitern vor Ort durchzuführen sind.

Wer kann ein Datenschutzaudit veranlassen?

In aller Regel veranlassen Verantwortliche, also die Betreiber von Websites und Shops, selbst ein Datenschutzaudit. Größere Unternehmen, die als Dienstleister im Auftragsverhältnis tätig sind, haben oft eigene Datenschutzbeauftragte, die ihrerseits bereits Audits durchgeführt und deren Ergebnisse in den TOM dokumentiert haben. Rechenzentren sollten nach ISO 27001 zertifiziert sein. Generell sollten Auftragsverarbeiter bei der Erstellung der Dokumentation der TOM eine große Sorgfalt an den Tag legen, dies erspart Nachfragen und umständliche Prüfungen.

Auditbericht

Der abschließende Auditbericht gibt transparent über das Ergebnis der Prüfung und die dabei eingesetzten Mittel Auskunft. Er kann vom Auftraggeber ergänzend in die Dokumentation der TOM aufgenommen werden.

Ausblick

Aktuell laufen einige Gerichtsverfahren die erhebliche Auswirkungen auf die Gestaltung von Websites und Shops haben werden. Das schon benannte Urteil des EuGH zum Thema „Cookies und hidden identifiers“ behandelt nur einen Aspekt der oben angesprochenen Fragen. Weitere Urteile und Gesetzgebungsverfahren, insbesondere die immer noch nicht verabschiedete ePrivacy Verordnung werden folgen. Es bedarf keiner sonderlich prophetischen Gabe vorherzusagen, dass insbesondere das Thema „Usertracking und -verfolgung“ in den kommenden Jahren eine besondere Rolle in der Auseinandersetzung spielen wird.

Angebot für ein Datenschutzaudit anfordern

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutzaudits für Shops und Websites erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Was hat sich seit Inkrafttreten der DSGVO in Deutschland wirklich geändert?

Auch wenn es zunächst einmal banal klingt, viele Anforderungen des Datenschutzes sind keineswegs so neu, wie es für manche den Anschein hat. Wirklich neu sind vor allem folgende Punkte:

• erweitert und verbessert wurden die Rechte der Bürger auf Auskunft, Berichtigung, Einschränkung der Verarbeitung und Löschung,
• Betroffene haben nun das Recht auf Schadensersatz bei Verstößen gegen die DSGVO,
• die Sensibilität bei Bürgern ist deutlich höher, als noch vor wenigen Jahren,
• erstmals haben die Behörden mit den Bußgeldern und Strafvorschriften ein wirksames Mittel gegen Verstöße im Datenschutz in der Hand.

Nicht ganz so neu

sind dagegen, zumindest für Unternehmen in Deutschland, die Dokumentationspflichten. Die bestanden auch schon vor Inkrafttreten der DSGVO, wurden allerdings in vielen Fällen wirkungsvoll ignoriert. Hier muss gegebenenfalls nachgesteuert werden.

Datenschutz und Datensicherheit gehören zusammen

Ein wesentlicher Aspekt, das zeigen vor allem die Datenpannen der letzten Jahre, sind die zentralen Themen der Datensicherheit. Datenschutz kann ohne Datensicherheit nicht gewährleistet werden. Der Betrieb veralteter Software, schlecht oder gar nicht gewartete Internetauftritte oder menschliche Fehler können sich zu existenzbedrohenden Pannen ausweiten.

Kontinuität schafft Sicherheit

Datenschutz und Datensicherheit sind kein Einwegprojekt, das einmal aufgestellt und dann nie wieder angefasst wird. Unternehmen, die kontinuierlich an ihrer Datenschutz- und Sicherheitskonzeption arbeiten, Mitarbeiter regelmäßig schulen und Hard- und Software auf einem aktuellen Stand halten, sind deutlich weniger gefährdet, als Unternehmen, die ihre Hausaufgaben vernachlässigen. Werden die Aufgaben regelmäßig und kontinuierlich erledigt, bleiben die Kosten im überschaubaren Rahmen.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Überfordert uns der Datenschutz? erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Ein Thema, das in der Praxis allen Datenschutzbeauftragten, egal ob extern oder intern, immer wieder in vielfältiger Weise begegnet.

Neben den grundlegenden Rechtskenntnissen sollten Datenschutzbeauftragte über fundierte Grundlagen im Bereich der Datensicherheit verfügen. Der Blick auf die Gewährleistungsziele des Datenschutzes und der Datensicherheit macht deutlich, dass beide Themen miteinander verwoben, aber nicht identisch sind.

Ohne Datensicherheit ist Datenschutz nicht möglich

Die Gewährleistungsziele der Datensicherheit, Verfügbarkeit, Integrität und Vertraulichkeit, finden sich im Datenschutz wieder. Dort allerdings mit alleinigem Bezug zu personenbezogenen Daten. Gegenstand der Datensicherheit sind Daten allgemein, unabhängig, ob personenbezogen oder nicht. Datenschutz und Datensicherheit überschneiden sich also nur teilweise und können, in Einzelfällen, auch durchaus im Widerspruch zueinander stehen. Umgekehrt gilt aber auch, Mängel im Bereich der Datensicherheit schlagen in aller Regel auch auf den Datenschutz durch. Die aktuell nicht abreißenden Meldungen über Datenpannen im Gesundheitswesen machen dies schlaglichtartig deutlich. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit schlägt deshalb die Ausweitung des Gesetzes zum Schutz kritischer Infrastruktur auf Teile des Gesundheitswesens vor.

Datensicherheit im Standard-Datenschutzmodell der Datenschutzbeauftragten des Bundes und der Länder

In der nun vorliegenden Version des Standard-Datenschutzmodells (SDM) finden Verantwortliche elementare Hinweise zu den Gewährleistungszielen der Verfügbarkeit, Integrität und Vertraulichkeit. Verantwortliche sind gut beraten, die Praxishinweise des SDM im Unternehmen und in Behörden umzusetzen und dies entsprechend zu dokumentieren. Die Umsetzung des SDM kann einen Beitrag zur Verbesserung im Bereich der Datensicherheit leisten.

Insofern ist das SDM Teil eines iterativen Prozesses bestehend aus der rechtlichen Bewertung, der Gestaltung der Verarbeitungsvorgänge sowie der Auswahl und Umsetzung von begleitenden technischen und organisatorischen Maßnahmen. Das SDM bietet mit seinen Gewährleistungszielen eine Transformationshilfe zwischen Recht und Technik und unterstützt damit einen ständigen Dialog zwischen Beteiligten aus dem fachlichen, juristischen und technisch-organisatorischen Bereich. Dieser Prozess läuft während des gesamten Lebenszyklus einer Verarbeitung und kann somit die Forderung der DS-GVO nach regelmäßiger Bewertung und Evaluierung der technischen und organisatorischen Maßnahmen z. B. zur Gewährleistung der Sicherheit der Verarbeitung (Art. 32 Abs. 1 lit. d DS-GVO) unterstützen.

Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Das Standard-Datenschutzmodell, Version 2.0

Risiko = Schwere des möglichen Schadens + Eintrittswahrscheinlichkeit

Zwei Variablen bestimmen das mögliche Risiko für den Betroffenen, die Schwere des möglichen Schadens und die Wahrscheinlichkeit des Schadenseintritts. Je schwerer der mögliche Schaden für den Betroffenen wiegt, um so höhere Ansprüche sind an die technischen und organisatorischen Maßnahmen des Datenschutzes zu stellen. Ergibt die Analyse ein hohes Risiko, sollten umgehend Maßnahmen zur Verringerung der Eintrittswahrscheinlichkeit oder zur Minimierung der Verarbeitung, ggf. bis zum Verzicht auf die Verarbeitung, eingeleitet werden.

Mit speziellen Datenschutzaudits unterstützen wir Verantwortliche und interne DSB bei der Erfüllung ihrer Aufgaben.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutz und Datensicherheit erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Voraussetzungen

Die hier vorgestellte Lösung ist ideal für kleine und mittlere Unternehmen, die etwas für ihre Datensicherheit tun möchten und dabei eine DSGVO-konforme Lösung suchen. Die folgenden Voraussetzungen müssen dabei erfüllt sein:

• es soll ausreichend Speicherplatz zur Verfügung stehen
• mobile Geräte sollen einfach eingebunden werden können
• die Datensynchronisation soll auf Wunsch automatisch erfolgen
• es sollen zusätzliche collaborative Elemente wie Kalender und Aufgabenplaner zur Verfügung stehen
• der Serverstandort sollte in Deutschland oder der EU sein und nicht Drittlandgesetzen, wie beispielsweise dem amerikanischen Cloud Act, unterliegen
• die Lösung soll Gruppen und differenzierte Berechtigungen ermöglichen
• die Nutzung soll anwenderfreundlich gestaltet sein.

Die Mitarbeiter mitnehmen

Damit eine Lösung im Unternehmen funktionieren kann, muss sie Akzeptanz bei den Mitarbeitern finden. Sie muss einfach und intuitiv bedienbar sein und den Arbeitsalltag erleichtern. Werden diese simplen Prinzipien missachtet, ist häufig genug das Wachstum einer Schatten-IT innerhalb des Unternehmens die Folge.

DSGVO-konform und sicher

Damit eine Lösung als DSGVO-konform gelten kann, muss sie die im Standard-Datenschutzmodell der DSK genannten Gewährleistungsziele

• Datenminimierung
• Verfügbarkeit
• Integrität
• Vertraulichkeit
• Nichtverkettung
• Transparenz
• Intervenierbarkeit

unterstützen. Es gibt mittlerweile in der EU Angebote, die den Ansprüchen an eine rechtskonforme Cloudlösung genügen. Die Abrechnung der Lösungen richtet sich in der Regel nach dem verfügbaren Speicherplatz und der Anzahl der Benutzer, die die Cloud nutzen können. Bedauerlicherweise ist bei vielen Angeboten die Zahl der Nutzer begrenzt. Die hier vorgestellte Lösung ist prinzipiell weder bei der Zahl der Nutzer noch der Gruppen begrenzt, kann also mit der Unternehmensorganisation wachsen.

Dedizierter oder virtueller Server?

Der erste Schritt besteht in der Auswahl eines geeigneten dedizierten oder virtuellen Servers. Dabei sollte der erforderliche Speicherplatz eher großzügig kalkuliert werden, denn Umzüge einer solchen Lösung sind nun einmal mit Aufwand verbunden. Für kleinere und mittlere Unternehmen reichen gut ausgestattete virtuelle Server im Preissegment zwischen 10,- und 60,- Euro monatlich durchaus aus, größere Ansprüche erfordern eventuell einen entsprechend ausgestatteten dedizierten Server. Das Rechenzentrum, das den Server beherbergt, sollte nach ISO 27001 zertifiziert sein.

Nextcloud – mehr als nur Datensicherung

Die kurze Geschichte von Nextcloud, das als Fork 2016 bekannt gegeben wurde und seither von Frank Karlitschek und einem Team kontinuierlich fortgeführt wird, kann als Erfolgsgeschichte bezeichnet werden. 2018 hat das Informationstechnikzentrum Bund Nextcloud als Bundescloud-Lösung für 300.000 Mitarbeiter in Ministerien und Behörden frei gegeben. Nach Informationen arbeitet das ITZ gemeinsam mit Bundesamt für Sicherheit in der Informationstechnik daran, die Lösung für Verschlusssachen frei zu geben.

Mittlerweile arbeiten auch Behörden in Frankreich, Schweden und der Niederlande mit Nextcloud. Nextcloud ist freie Software und darf somit im Unternehmen auch kommerziell genutzt werden.

Datensicherung und Collaboration

Nextcloud bietet neben der reinen Datensicherung und Synchronisation von Rechnern und mobilen Devices eine Reihe kostenfreier Apps, beispielsweise Kalender oder Aufgabenplaner, an, die den Funktionsumfang erheblich erweitern. Der Zugriff auf den Nextcloud-Server erfolgt entweder über eine intuitive Weboberfläche, oder über WebDAV. Apps für Android und Apple-Smartphones können kostenfrei über die Stores bezogen werden.

Mit WebDAV können Windows-, MacOS- oder Linux Clients als Netzlaufwerke eingebunden werden. Mittels der kostenfrei verfügbaren Apps können Tablets und Smartphones eingebunden werden.

Die Einrichtung unterschiedlicher Gruppen ermöglicht ein ausdifferenziertes Rechte und Zugriffsmanagement. Alle Mitarbeiter bekommen nur die Daten, für die sie berechtigt sind.

Die Kosten-/Nutzenrechnung stimmt

Auch wenn die Einrichtung und Administration der Lösung Ressourcen in Anspruch nimmt, die Kosten- und Nutzenrechnung stimmt. Vor allem dann, wenn Unternehmen wachsen und neue Mitarbeiter und/oder Kunden integriert werden sollen.

Kunden einbeziehen

Unternehmen, die Ihren Kunden, Klienten oder Mandanten spezielle Dokumente und Informationen zur Verfügung stellen möchten, können über eine entsprechende Kundenverwaltung und passgenaue Differenzierung genau den Mehrwert bieten, der Sie vom Rest der Bewerber abhebt. Auch unseren Kunden, die wir als Datenschutzbeauftragte betreuen, bieten wir seit 2018 diesen Mehrwert.

Gerne beraten und helfen wir bei der Einführung und praktischen Umsetzung von Nextcloud in Ihrem Unternehmen.

Hier bekommen Sie Nextcloud. (Zur Unternehmensseite)

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Cloud? Aber sicher! erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

9,5 Mio Bußgeld gegen 1&1

Wie die Behörde mitteilt, wurde ein Bußgeld gegen das Unternehmen verhängt, weil Dritte, soweit sie in Kenntnis von Kundennamen und Geburtstag waren, telefonischen Zugriff auf dessen Kundendaten bekommen konnten. Diese unzureichende Absicherung führte in einem Fall dazu, dass Kundendaten an eine Stalkerin abflossen, die ihren Ex-Ehemann weiter bedrängen konnte.

Bußgeld blieb am unteren Rand der gesetzlichen Spanne

Laut Mitteilung des BfDI blieb das Bußgeld deshalb am unteren Ende der möglichen Spanne, weil 1&1 kooperationsbereit erste Abhilfe durch die weitere Abfrage zusätzlicher Kundendaten im telefonischen Support den aktuellen Schutz etwas verbesserte und zudem die Einführung eines neuen Identifikationsverfahrens im neuen Jahr versprach.

Hohes Bußgeld gegen kleines Unternehmen

Höher, gemessen am Umsatz, fiel mit 10.000 Euro das Bußgeld gegen den kleinen Telekommunikationsanbieter Rapidata aus, der trotz mehrmaliger Aufforderung keinen betrieblichen Datenschutzbeauftragten benannt hatte.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Behörden machen mit Bußgeldern ernst erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Einführung

In den letzten Jahren, nicht erst mit dem Inkrafttreten der Datenschutzgrundverordnung (DS-GVO), ist die Thematik des „Webtracking“, also des Verfolgens von Benutzern im Internet, auch über die Grenzen von Websites hinweg, ein Thema des öffentlichen Interesses geworden. Den wenigsten Besuchern von Websites dürfte geläufig sein, wie weitreichend heutzutage die Möglichkeiten der Nachverfolgung und Identifikation konkreter Internetuser websiteübergreifend sind. Was können, was dürfen Anbieter im Internet auf ihren Websites und Shops technisch realisieren?

Mit Inkrafttreten der DS-GVO haben sich vor allem zwei Aspekte geändert, einerseits wurden die Rechte von Betroffenen deutlich gestärkt, andererseits müssen Verantwortliche der Datenverarbeitung mit erheblichen Konsequenzen bei Verstößen gegen datenschutzrechtliche Bestimmungen rechnen. Nach unserem Eindruck ist die Sensibilität von Internetusern seit Mai 2018, dem Inkrafttreten der DS-GVO, noch einmal deutlich angestiegen.

Dass Themen, die sich um gesundheitliche Fragestellungen drehen, für die Betroffenen eine besondere Brisanz darstellen, sollte auch ohne einen Blick in die Gesetze jedem klar sein. Nach dem jüngsten Urteil des Europäischen Gerichtshofs vom 1.10.2019 (Planet49/Verbraucherzentrale – AZ C673/17), das sich mit der Frage beschäftigte, welche Voraussetzungen für eine rechtskonforme Erhebung von Daten im Internet seitens der Betreiber realisiert werden müssen, ist die Brisanz der Thematik nochmals deutlicher geworden.

Setting

In der Zeit vom 12.11.2019 bis zum 15.11.2019 wurden insgesamt 45 Websites zu Gesundheits-themen untersucht. Alle Websites rangierten bei der Suchmaschine DuckDuckGo zu den jeweiligen Suchworten auf den ersten beiden Seiten. Suchworte waren:

• Schwangerschaftsbeschwerden
• AIDS Praxis
• Alkoholentzugsklinik
• Magengeschwür
• Pflegeheim
• Pflegedienst
• Palliativmedizin
• Migräne
• Herointherapie

Die Auswahl der zu analysierenden Websites erfolgte nach dem Sichtprinzip, wobei insbesondere darauf geachtet wurde, nicht nur professionelle Medien aus dem Gesundheitswesen zu analysieren. Unterschiedliche Institutionen, von der Universitätsklinik, über einzelne Ärzte oder Ärzteverbünde, gemeinnützige Organisationen, Behörden, aber auch die erwähnten Medienunternehmen wurden zu den obigen Suchbegriffen auf den ersten Seiten gefunden. Die Studie ist nicht geeignet, repräsentative Zahlen für den gesamten Gesundheitsbereich zu liefern, wohl aber ermöglicht sie einen ersten Eindruck, wie weitgehend die datenschutzrechtlichen Grundlagen der DS-GVO und des BDSG (neu) sowie des Telemediengesetzes in Deutschland umgesetzt werden.

Kurzfassung

Alle untersuchten Websites wiesen zum Zeitpunkt der Analyse datenschutzrechtlich zu kritisierende Verarbeitungen auf. Die Mehrzahl der Websites hatten Drittanbieter eingebunden, Cookies und teilweise auch Einträge in den local storage gesetzt, ohne den Besucher adäquat zu informieren oder gar die Möglichkeit der Verhinderung durch den Besucher zu ermöglichen. Lediglich ein Unternehmen setzte dabei ein Consent-Tool ein, das technisch den Vorgaben des EuGH entspricht, bedauerlicherweise war auch hier eine Zustimmung vorangekreuzt und somit der Einsatz des Tools ebenfalls nicht konform nach dem Urteil des EuGH.

Gemessen an der inhaltlichen Brisanz der aufgerufenen Informationen kann das Analyseergebnis nur als datenschutzrechtlich problematisch bezeichnet werden. In fast allen untersuchten Fällen können Dritte durch die nicht-legitimierte Weitergabe von Informationen über Besucher der Websites Rückschlüsse auf private, gesundheitliche Informationen ziehen, die nicht in fremde Hände gehören.

Rechtliche Grundlagen

Wer eine Webseite betreibt, muss sich zwangsläufig auch mit dem Thema Datenschutz beschäftigen. Dabei geht es nicht (nur) um die Inhalte, die auf der Webseite veröffentlicht werden. Es geht vielmehr und natürlich vor allem mit Bezug auf die vorliegende Studie um die personenbezogenen Daten der Besucher der Webseite. Denn selbst wer seine Webseite in nacktem HTML geschrieben hat, muss seine HTML-Dokumente auf einem Webserver hinterlegen, der zwangsläufig die IP-Adressen der Clients (also personenbezogene Daten der Besucher) in irgendeiner Weise verarbeiten muss. Moderne Webseiten beschränken sich aber kaum auf reine HTML Inhalte. Vielmehr werden Techniken eingesetzt, die den Unzulänglichkeiten des wichtigen Protokolls HTTP, welches „zustandslos“ ist, begegnen sollen, so z.B. das Setzen und Auslesen von Cookies.

Der Anwendungsbereich der DSGVO ist also eröffnet. Als abstrakt generelle Regelung enthält die DSGVO freilich keine expliziten Erlaubnistatbestände für Cookies oder andere Trackingmethoden. Es ist aber mitunter schwierig, die allgemeinen Erlaubnistatbestände des Art. 6 DSGVO auf spezielle Einzelprobleme anzuwenden. Ein Gesetz, das sich speziell mit dem Datenschutz beim Betreiben von Webseiten befasst, wäre also wünschenswert. Die Betreiber von Webseiten warten jedoch bislang vergeblich auf die Verabschiedung der geplanten ePrivacy-Verordnung, die die DSGVO in diesem Punkt (etwas allgemeiner: im Bereich der elektronischen Kommunikation) bereichsspezifisch präzisieren, ergänzen und die alte Richtlinie RL 2002/58/EG ersetzen soll.¹

Solange eine besondere Regelung auf sich warten lässt, muss der Erlaubnistatbestand in der DSGVO gefunden werden.² Die deutschen Aufsichtsbehörden wenden Art. 6 Abs. 1 lit. f DSGVO an. Nach dieser Vorschrift dürfen personenbezogene Daten verarbeitet werden, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Für Sitzungscookies, die z.B. in einem Internet-Shop eine Warenkorbfunktionalität technisch ermöglichen, dürften die Voraussetzungen dieser Erlaubnisnorm unproblematisch vorliegen. Beim Tracking, das Internetnutzer „gläsern“ und verfolgbar machen soll, kann das nicht so einfach gelten. Die Aufsichtsbehörden fordern beim Einsatz solcher Technologien die Einholung einer Einwilligung der betroffenen Person. Diese Forderung dürfte zu pauschal erhoben sein, vielmehr muss eine Abwägung im Einzelfall erfolgen. Das ist keine leichte Aufgabe, sieht man sich nur die Vielzahl der unbestimmten Rechtsbegriffe an, mit denen Art. 6 Abs. 1 lit. f DSG VO hantiert.

Es kommt daher nicht von ungefähr, dass sich der EuGH mit eben solchen Fragestellungen zu beschäftigen hat, zumal dem EuGH als Hüter der Verträge die Auslegungskompetenz bezüglich europäischer Rechtsetzungsakte wie dem der DSGVO zusteht. Auf Vorlage des BGH³ erging eine wichtige Entscheidung des EuGH am 01.10.2019.⁴ Der EuGH stellt in dieser klar, dass Cookies, die nicht zwingend technisch erforderlich sind, die (aktive) Einwilligung der Nutzer voraussetzen. Ein „opt out“ ist nicht ausreichend, d.h. der Nutzer muss aktiv z.B. durch das Anklicken eines Kästchens in die Datenverarbeitung einwilligen.⁵ Das Ankreuzkästchen darf nicht vorausgewählt sein, denn das würde einem passiven Verhalten des Nutzers entsprechen und wäre damit nicht als Einwilligung zu werten. Dem Urteil des EuGH lässt sich indes nicht entnehmen, dass bei jedem Cookie eine Einwilligung vorliegen muss. Webseitenbetreiber werden daher sorgfältig zu den technisch notwendigen Cookies abzugrenzen haben, was im Einzelfall schwierig sein könnte. Dem normalen Rechtsanwender dürfte sich kaum erschließen, was der EuGH mit „hidden identifiers“ meint, die ohne Wissen der Nutzer in deren Endgeräte „eindringen“. Es gibt Spielraum für Auslegung und Diskussionen. Sicher aber ist: Die Regelungs- und Prüfdichte im Datenschutz steigt.

1 Ein aktualisierter Entwurf ist am 04.10.2019 von der finnischen Ratspräsidentschaft veröffentlicht worden. Dieser Entwurf soll in der zuständigen Ratsarbeitsgruppe diskutiert werden, um zu einem gemeinsamen Standpunkt der Mitgliedstaaten zu gelangen.

2 Dass § 15 Abs. 3 TMG keine Erlaubnisnorm in Bezug auf Tracking ist, dürfte mittlerweile herrschende Meinung in der Rechtswissenschaft sein. Praktische Unterschiede dürfte es ohnehin im Vergleich zur Anwendung des Art. 6 Abs. 1 lit. f DSGVO nicht geben.

3 BGH GRUR 2018, 96; Vorinstanz OLG Frankfurt a.M. v. 17.12.2015, Az. 6 U 30/15.

4 EuGH, Urt. v. 1.10.2019, Az. C-673/17, abgedruckt u.a. in NJW 2019, 3433 = MMR 2019, 732 m.Anm. Moos, Rothkegel.

5 Damit dürfte § 15 Abs. 3 TMG als nicht richtlinienkonform gelten, eine Anpassung durch den Gesetzgeber steht aus. Die sog. Cookie-Richtlinie (2009/136/EG) sieht ebenjene ausdrückliche Einwilligung vor.

Ergebnisse der Studie

SSL-Verschlüsselung

Zwei der untersuchten 45 Websites verfügten zum Zeitpunkt der Erfassung nicht über eine SSL-Verschlüsselung. Zwei weitere Websites verfügten zwar über die Möglichkeit der SSL-Verschlüsselung, hatten diese aber nicht als Standard voreingestellt. Die Abdeckung der untersuchten Websites mit SSL-Verschlüsselung, die als Standard voreingestellt wurde und beim Aufruf einer Seite ohne https zur sicheren Version umleitete, kann als gut bezeichnet werden. Zu diesem positiven Ergebnis mag neben einer gewachsenen Sensibilität auch die Tatsache, dass es mittlerweile kostenfreie Zertifikate gibt, beigetragen haben. In einem Fall war ein Webformular ohne SSL-Verschlüsselung eingebunden.

Cookies

Fast alle der untersuchten Websites setzen Cookies ein, insgesamt wurden von 45 Websites 851 Cookies gesetzt, davon waren 590 sogenannte „third-party-cookies“, also Cookies, die von Dritten ausgelesen werden können. Fünf von 45 Websites kamen gänzlich ohne das Setzen von Cookies aus, drei Unternehmen setzten jeweils mehr als 100 Cookies pro Website. Den Rest teilten sich die verbleibenden Unternehmen mit unterschiedlicher Intensität auf.

Die Mehrzahl der untersuchten Websites (62,22%=28 Websites) setzten 1 bis 10 Cookies ein. Der Spitzenwert lag bei 148 Cookies.

Wie aus der Verteilung sichtbar wird, setzen 40% der untersuchten Websites keine third-party-cookies ein, bei 42,22% waren es bis einschließlich 10 Cookies. Der Rest der untersuchten Websites lag teilweise deutlich über diesen Werten.

Cookie Popup

Obwohl nur fünf Unternehmen auf eine adäquate Information vor dem Setzen von Cookies verzichten konnten, wiesen nur 28 von 43 Unternehmen darauf hin, dass Sie Cookies auf der Website einsetzen. Lediglich ein Unternehmen setzte ein Consent-Tool mit weiteren Informationen und Auswahlmöglichkeiten ein. Bei den 28 Websites, die ein Cookie-Popup einsetzten, handelte es sich in fast allen Fällen um einen unspezifizierten Hinweis. In keinem der untersuchten Fälle bestand die Möglichkeit, dem Setzen von Cookies zu widersprechen und das Setzen wirkungsvoll zu verhindern. Die Anzeige des Cookie-Popup konnte in der Regel lediglich mit dem Klick auf „OK“ oder eine andere Form der „Einwilligung“ unterbunden werden.

Nicht einwilligungspflichtig sind hierbei nur Cookies, die der technischen Funktionsfähigkeit der Website und der Leistungserbringung dienen. Für alle anderen Cookies gilt, dass die informierte und freiwillige Einwilligung nach dem EuGH Urteil die einzige legitime Variante darstellt.

Local Storage („hidden identifiers“)

14 von 45 Unternehmen hatten insgesamt 171 Einträge in den local storage des Besuchers vorgenommen. Im Unterschied zu Cookies ist hier der Speicherplatz nicht begrenzt, so dass erheblich größere Datenmengen übermittelt werden können. Einträge in den local storage können unter Umständen dazu verwendet werden, Besucher zu verfolgen und Profilbildungen zu ermöglichen. Durch eine reine Sichtprüfung kann die konkrete Verwendung von Daten-speichervorgängen im local storage nicht bestimmt werden.

Consent-Tools

Obwohl schon eine Weile auf dem Markt, hat derzeit nur ein Anbieter ein echtes Conset-Tool eingebunden, das vor einem Eingriff in den Rechner des Users, diesen informiert und die freie Wahl der Zustimmung oder Ablehnung lässt. Nicht rechtskonform war dabei das vorangekreuzte Kästchen im Consent-Tool.

Einbindung von Drittanbietern

Lediglich drei von 45 Websites verzichteten auf die Einbindung von Drittanbietern. Die verbleibenden 42 Websites banden insgesamt 2769 sogenannte „third-party-requests“ in ihren Webauftritt ein. 20 Websites nutzten Google Fonts von externen Google Servern, 30 Websites banden andere CDNs in ihrem Auftritt ein.

Zwei der fünf Unternehmen, die keine Cookies einsetzten, banden Drittanbieter in ihr Webangebot ein. In beiden Fällen handelte es sich um die Einbindung von Google Fonts von den Google-Servern. Generell kann festgestellt werden, dass die Anzahl der Cookies mit der Anzahl der third-party-requests korreliert. Je mehr Cookies eingesetzt werden, um so höher ist auch die Anzahl der Einbindung von Drittanbietern auf der Website. Diese werden so zu (ungewollten?) Datenlieferanten vor allem für die großen Datensammler des Internets.

20 von 45 untersuchten Websites hatten unnötigerweise Google Fonts per Abruf von den Google Servern eingebunden und damit personenbezogene Daten an das amerikanische Unternehmen übermittelt.

8 von 45 Websites (17,7%) hatten facebook connect direkt eingebunden und damit direkt eine Datenübermittlung an Facebook angestoßen, die es Facebook ermöglicht, die Daten mit weiteren zu einem Profil zusammenzuführen.

Tracking

32 von 45 Websites nutzten Trackingtools externer Anbieter zur Analyse der Besucherströme auf der Website. Der weitaus größte Teil davon entfiel auf Google Analytics. Zwar wurde in den meisten Fällen in der Datenschutzerklärung auf die Nutzung von Analysetools hingewiesen, in keinem Fall jedoch hatte der Besucher die Möglichkeit, vor der Erfassung zu widersprechen und diese damit wirkungsvoll zu verhindern. Eine rechtskonforme Einwilligung wurde nicht eingeholt.

Fazit

Wer über Gesundheitsthemen informiert, vor allem über solche, bei denen erwartbar der Besucher der Website ein hohes Bedürfnis nach Schutz und Privatheit hat, sollte noch sensibler als andere Betreiber von Websites mit der Weitergabe von Informationen an Dritte umgehen. Diese Form der Rücksichtnahme konnten wir mit wenigen Ausnahmen nicht antreffen. Ein nicht geringer Teil der Betreiber der untersuchten Websites riskiert nicht nur Anfragen und Beschwerden der Besucher, sondern bei Bekanntwerden unter Umständen auch Anordnungen und Bußgelder der Behörden.

Langen und Baden-Baden, den 05.12.2019

Autoren der Studie:

Dr. jur. Wolfhard Steinmetz, Langen

Peter Dippold, Baden-Baden

Impressum:

Peter Dippold

Eichelgartenstr. 6

76530 Baden-Baden

info@dsb-baden-baden.de

Telefon: 07221 8589943

Urheberrechtlich geschützt. Nachdruck auch auszugsweise nur mit schriftlicher Genehmigung durch die Herausgeber.

Der Beitrag Studie: Tracking auf Websites im Gesundheitswesen erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

So wird der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Ulrich Kelber, zitiert:

Wer Angebote einbindet, die wie zum Beispiel Google Analytics rechtlich zwingend eine Einwilligung erfordern, muss dafür sorgen, von seinen Websitenutzern eine datenschutzkonforme Einwilligung einzuholen. Dass dies nicht mit einfachen Informationen über sogenannte Cookie-Banner oder voraktivierte Kästchen bei Einwilligungserklärungen funktioniert, sollte hoffentlich mittlerweile jedem klar sein. Jeder Websitebetreiber sollte sich daher genau damit auseinandersetzen, welche Dienste bei ihm eingebunden sind und diese notfalls deaktivieren, bis er sichergestellt hat, dass ein datenschutzkonformer Einsatz gewährleistet werden kann.

Quelle: Newsletter des BfD vom 14.11.2019

Behörden kündigen Prüfungen an.

In mehreren Bundesländern kündigten die jeweiligen Landesdatenschutzbeauftragten an, den Beschwerden von Websitebesuchern nachzugehen. Die nahezu gleichlautenden Formulierungen lassen vermuten, dass sich die Behörden abgestimmt haben und vermutlich Prüfungen bundesweit durchführen werden.

Die informierte Einwilligung wird Pflicht

Wer eine Website betreibt und Dienste von Drittanbietern eingebunden hat, ist also gut beraten, sich umgehend Gedanken über eine rechtskonforme Einwilligung der Besucher zu machen. Die derzeit üblichen Cookie-Banner genügen diesem Rechtsanspruch nicht.

Was Websitebetreiber tun sollten, finden Sie auf dieser Seite.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Nach dem EuGH Urteil: Datenschutzbehörden leiten Prüfungen von Websites ein erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Anmeldung zu unserem Newsletter.

E-Mail*

Der Beitrag Newsletter erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Zunächst einmal sollten Verantwortliche versuchen, die hinter der mitunter verbotenen Nutzung von Geräten und/oder Software stehende, positive Motivation des Mitarbeiters sehen. Das Bewusstsein für mögliche Risiken ist oftmals nicht vorhanden oder wird schlicht gegenüber dem Vorteil abgewogen.

Die Mitarbeiter sensibilisieren.

Der erste Schritt auf dem Weg zu mehr Sicherheit und datenschutzrechtlicher Konformität ist die Sensibilisierung der Mitarbeiter für die Gefahren, die sich aus der Nutzung von privaten Geräten oder ungeprüfter Software im Unternehmensnetzwerk ergeben können. Awareness Schulungen sind in Unternehmen jeglicher Größenordnung angebracht. Gerade kleine und mittlere Unternehmen sind häufig aufgrund des niedrigeren Sicherheitsniveaus für Cyberkriminelle lohnenswerte Ziele.

Verbote reichen nicht

Mit Verboten und Dienstanweisungen alleine, obwohl mitunter angebracht, wird das gewünschte Sicherheitsniveau kaum erreichbar sein. Neben Schulungs- und Weiterbildungsmaßnahmen wird es darauf ankommen, handhabbare Alternativen im organisatorischen und/oder technischen Bereich bereit zu stellen. Oftmals sind technisch ausgereifte Lösungen günstiger, als Unternehmer auf den ersten Blick erkennen können.

Alternativen anbieten

Ein datenschutzrechtlicher Klassiker ist die Nutzung von WhatsApp im Unternehmen. Der Messenger ist einfach praktisch, eben mal ein Bild von einem Gegenstand oder einer Arbeitssituation gemacht und dem Vorgesetzten per WhatsApp geschickt. Wer kennt das im betrieblichen Alltag nicht?
Dabei gibt es durchaus datenschutzfreundliche und bezahlbare Alternativen wie beispielsweise Signal oder Threema.

Die eigene Cloud sicher betreiben

Auch eine eigene Cloudlösung auf einem eigenen (virtuellen) Server kostet nicht die Welt und ist mit Open Source Software einfach aufzusetzen und zu pflegen. Datenschutzrechtlich ist diese Lösung mindestens ebenso gut, wie eine Cloudlösung, die durch einen zuverlässigen Auftragsverarbeiter abgesichert wird. Oftmals kommt eine solche Lösung deutlich preiswerter, ohne dass der Komfort und das Handling leiden.

Dass eine gute Cloudlösung weit mehr als nur den Austausch und die Speicherung von Dateien leisten kann, dürfte sich herumgesprochen haben. So bietet Nextcloud beispielsweise eine Fülle kostenfreier Apps, mit deren Hilfe die Arbeit im Unternehmen unterstützt und organisiert werden kann.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutzrisiko Schatten-IT erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Transparente Information

Der erste Punkt ist, dass jeder Betreiber einer Website transparent und in verständlicher Form über die Verarbeitung personenbezogener Daten zu informieren hat. Entsprechend muss die Datenschutzerklärung (kurz DSE) von jeder Seite aus mit einem Klick erreichbar sein. Sie muss wahrheitsgemäß Auskunft über alle Verarbeitungsvorgänge geben.

Die gängige Praxis, mittels eines Generators alles anzuklicken, was man möglicherweise oder vermutlich auf seiner Website verarbeitet, führt leider dazu, dass viele Datenschutzerklärungen sich eher wie eine Mischung aus „Dichtung und Wahrheit“ lesen. Datenschutzrechtlich einwandfrei ist das jedoch nicht.

Identifizieren, was wirklich notwendig ist

Grundsätzlich sollte sich jeder Betreiber einer Website Gedanken darüber machen, ob er bestimmte Verarbeitungsvorgänge wirklich benötigt. Das Prinzip der Datenminimierung steht hier im Vordergrund. Brauche ich wirklich ein Analysetool wie Google Analytics um meine Website zu verbessern? Muss ich bei der Anmeldung zum Newsletter wirklich außer der Mailadresse auch noch den Namen und weitere Angaben des Abonnenten als Pflichtfeld einfordern? Wenn ja, warum eigentlich?

Wer das Prinzip der Datenminimierung konsequent verfolgt, wird rasch feststellen, dass die Datenschutzerklärung deutlich kürzer und lesbarer wird. Wo nichts erhoben und verarbeitet wird, muss auch nichts in die DSE.

Beispiel Google Fonts

Klar, Google Fonts sind eine tolle Sache. Die Einbindung unterschiedlicher, grafisch ansprechender Schriften macht eine Website attraktiver. Den wenigsten Betreibern von Websites ist klar, dass mit der Einbindung von Google Fonts in die eigene Website quasi als Kollateralschaden, eine Menge Informationen an Google übermittelt werden. Noch weniger klar ist das in der Regel dem Besucher der Website.

Dabei können und dürfen Google Fonts durchaus lokal auf dem eigenen Webserver oder Webhostingpaket laufen. Ganz ohne Informationsübermittlung an Google. Es gibt absolut keinen wirklich nachvollziehbaren Grund, Google Fonts nicht lokal zu hosten.

Datensicherheit

Ein hyperkritischer Punkt, die Datensicherheit. Bei datenschutzrechtlichen Audits müssen wir leider immer wieder feststellen, dass komplette CMS oder einzelne Bestandteile auf völlig veralteter Softwarebasis laufen und schon lange nicht mehr mit Updates versorgt werden. Oder die Basis, sprich PHP-Version oder Datenbanken sind völlig veraltet und werden schon lange nicht mehr unterstützt.

No Go – Formulare ohne SSL-Verschlüsselung

Ein absolutes No-Go, kommt aber immer wieder vor, ist die Einbindung von Formularen ohne SSL-Verschlüsselung in die eigene Website. Man mag es nicht glauben, aber trotz intensiver Aufklärung und deutlichen Gerichtsurteilen in dieser Frage finden wir immer wieder Formulare ohne dass die Website standardmäßig SSL-verschlüsselt wäre.

Wer eine Website betreibt, ist verpflichtet, für die Sicherheit seiner Besucher zu sorgen.

Der Betrieb veralteter Software stellt eine Lücke in der Informationssicherheit dar, die es Angreifern ermöglicht, Schadcode auf der Präsentation unterzubringen. Scheinbar „harmlose“ Websites werden so zu Infektionsherden für den Besucher.

Die meisten CMS stellen dem Betreiber einfache Mechanismen für die Aktualisierung bereit, die von diesen regelmäßig genutzt werden sollten. Regelmäßig heißt hier auch häufig. Eine durchschnittliche WordPress Installation mit fünf bis zehn Plugins sollte mindestens im Wochenrhythmus inspiziert und wenn erforderlich, aktualisiert werden.

Klare Regelungen für Auftragsverarbeiter

Wird eine externe Agentur oder ein externer Dienstleister mit der Wartung und Pflege beauftragt, sollten klare vertragliche Regelungen auch die Frage der notwendigen Updates mit einschließen. Oftmals hören wir von Auftragsverarbeitern, dass hierfür kein Auftrag vorläge. Leider machen die wenigsten Auftragsverarbeiter ihren Auftraggeber darauf aufmerksam, dass regelmäßige Aktualisierungen für jeden Webauftritt erforderlich sind.

Einwilligung

Das Setzen von technisch nicht benötigten Cookies und „hidden identifiers“, beispielsweise über den local storage, ist nach dem jüngsten Urteil des Europäischen Gerichtshofs (EuGH) nur mit der informierten Einwilligung des Besuchers zulässig. Dieser muss vor dem Beginn der Verarbeitung die Möglichkeit haben, der Verarbeitung zu widersprechen, ohne dass dies Folgen für die Benutzung der Website hat. Die meisten Cookie-Popups genügen diesen Anforderungen nicht mehr. Hier sollten die Betreiber von Websites rasch nacharbeiten.

Einbindung von Drittanbietern

Die Einbindung von Drittanbietern in das CMS samt Datenübermittlung an eine mitunter schier unübersehbare Menge an Drittfirmen ist durchaus gängige Praxis. Auch hier stellt sich immer die Frage nach der Notwendigkeit und dem Rechtsgrund für diese Form der Verarbeitung. Klar ist, die Einbindung von Drittanbietern samt Nennung des Rechtsgrundes gehört unbedingt in die Datenschutzerklärung.

Social Media – Google, Facebook, Youtube und Co.

Natürlich können Sie Social-Media Aktivitäten datenschutzkonform einbinden. Beispielsweise mit der Lösung des Heise Verlags Shariff, die wir auch auf dieser Website verwenden. Es gibt keinen Grund, Facebook, Google und Co. direkt einzubinden. Mit einer datenschutzkonformen 2-Click-Lösung überlassen Websitebetreiber ihren Besuchern, ob und welche Daten an Drittanbieter und social media Unternehmen übertragen werden.

Es liegt in Ihrer Hand…

… ob Sie ihre Website datenschutzkonform gestalten oder nicht. Informierte Besucher sehen den Unterschied rasch, ein Schaden für Ihr Image ist ein datenschutzkonformes Verhalten definitiv nicht.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Content Management Systeme (CMS) datenschutzkonform einsetzen. erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.