Infos & Glossar

Anonymisierung bedeutet, dass personenbezogene Daten so verändert werden, dass ein Personenbezug auch durch den Versuch der Rückgängigmachung nicht mehr hergestellt werden kann.

„Unter erweiterter Realität (auch englisch augmented reality [ɔːɡˈmɛntɪd ɹiˈælɪti], kurz AR [eɪˈɑː]) versteht man die computergestützte Erweiterung der Realitätswahrnehmung. Diese Information kann alle menschlichen Sinnesmodalitäten ansprechen. Häufig wird jedoch unter erweiterter Realität nur die visuelle Darstellung von Informationen verstanden, also die Ergänzung von Bildern oder Videos mit computergenerierten Zusatzinformationen oder virtuellen Objekten mittels Einblendung/Überlagerung. Bei Fußball-Übertragungen ist erweiterte Realität beispielsweise das Einblenden von Entfernungen bei Freistößen mithilfe eines Kreises oder einer Linie.

Mehr Infos dazu unter: https://de.wikipedia.org/wiki/Erweiterte_Realität

Laut DSGVO sind Unternehmen verpflichtet Löschkonzepte zu erstellen. Wichtig bei der Erstellung eines Löschkonzeptes ist auch die Beachtung weiterer Gesetzte aus denen sich Aufbewahrungsfristen für spezielle Unterlagen und Daten ergeben. Die IHK München hat eine Zusammenfassung der Aufbewahrungsfristen für die wichtigsten Unternehmensunterlagen erstellt. Diese Zusammenfassung, haben wir hier für Sie bereit gestellt.

„Aufgabenbereiche, Befugnisse, Errichtung, Zuständigkeiten, Zusammenarbeit und Unabhängigkeit der Aufsichtsbehörden sind in den Kapiteln VI und VII der Datenschutz-Grundverordnung festgelegt. Die örtliche Zuständigkeit richtet sich nach dem Sitz der nicht-öffentlichen Stelle. In fast allen Bundesländern wurden die Zuständigkeiten konsolidiert, so dass dort die Landesdatenschutzbeauftragten für den öffentlichen und nicht-öffentlichen Bereich zuständig sind.
Die unabhängigen Datenschutzbehörden des Bundes und der Länder treffen sich zweimal jährlich zur Datenschutzkonferenz (DSK) und verabschieden, nach Vorarbeit zahlreicher Arbeitskreise, abgestimmte Entschließungen, Beschlüsse, Orientierungshilfen, Standardisierungen und Stellungnahmen[1][2].
Quelle und weitere Infos: https://www.datenschutz-wiki.de/Aufsichtsbehörden_und_Landesdatenschutzbeauftragte
Eine Übersicht über die Aufsichtbehörden der Bundesländer finden Sie hier: https://www.baden-wuerttemberg.datenschutz.de/die-aufsichtsbehorden-der-lander/

Auftraggeber ist immer die für die Datenverarbeitung verantwortliche Stelle.
Dies ist vorallem bei der Auftragsverarbeitung (früher Auftragsdatenverarbeitung) wichtig.

Auftragskontrolle heisst, dass sichergestellt werden muss, dass personenbezogene Daten, die im Auftrag verarbeitet werden, gemäß den Weisungen des Auftraggebers verarbeitet werden. Hierfür bedarf es an vorher festgelegten Maßnahmen, z.B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.

Auftragnehmer ist der Dienstleister, der im Rahmen der Auftragsverarbeitung (früher Auftragsdatenverarbeitung) personenbezogene Daten im Namen des Auftraggebers verarbeitet.

Dies ist zum Beispiel der Fall bei: 1) IT-Dienstleistern 2) Hostern 3) Letter-Shop 4) Software-Anbietern 5) Aktenvernichtungsunternehmen

Wenn ein Dienstleister personenbezogene Daten im Auftrag eines Auftraggeber verarbeitet, handelt es sich in vielen Fällen um Auftragsverarbeitung nach Artikel 28 DSGVO. Das Bayerisches Landesamt für Datenschutzaufsicht hat eine sehr übersichtliche Auslegungshilfe erstellt:
https://www.lda.bayern.de/media/veroeffentlichungen/FAQ_Abgrenzung_Auftragsverarbeitung.pdf

Das Auskunftsrecht gibt betroffenen Personen das Recht, beim Verantwortlichen zu erfahren, ob und gegebenenfalls welche personenbezogenen Daten gespeichert werden. Das Auskunftsrecht wird in Artikel 15 der DSGVO geregelt und umfasst unter anderem folgende Informationen:

• die Verarbeitungszwecke
• die Kategorien personenbezogener Daten, die verarbeitet werden
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen
• falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
• das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
  wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling
• Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

• Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.
• Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. 3Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Das Bundesdatenschutzgestez (BDSG) ist das zentrale Gesetz im deutschen Datenschutzrecht. Dieses gilt für öffentliche Stellen des Bundes und der Länder (soweit nicht landesrechtliche Regelungen greifen) sowie für nicht-öffentliche Stellen. Es enthält Anweisungen, wie personenbezogene Daten verarbeitet werden dürfen. Seit seiner Einführung Ende der 70er Jahre hat es zahlreiche Novellierungen erfahren.

Am 25.05.2018 wurde das alte BDSG von dem neuen Bundesdatenschutzgesetz (BDSG-neu) abgelöst. Das neukonzipierte BDSG ergänzt die unmittelbar geltende Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung DSGVO) um die Bereiche, in denen die EU-Verordnung den Mitgliedstaaten Gestaltungsspielräume belässt.

Den gesetztetext zum Bundesdatenschutzgesetz können Sie hier herunter laden.

„Der Umgang mit Bewerbungen stellt hohe Anforderungen an das Unternehmen.
Bei der Verarbeitung müssen folgende Punkte beachtet werden:
1) Bewerbungen enthalten auch personenbezogene Daten besonderer Kategorie.
2) Bewerbungsunterlagen müssen spätestens 6 Monate nach Abschluss des Bewerbungsverfahren gelöscht werden.

Deshalb ist es wichtig:
1) Bewerbungsunterlagen im Unternehmen nicht per E-Mail weiterleiten
2) Die Bewerbung/E-Mailadresse nicht archivieren
3) Die Abläufe genau festlegen

Um einen Rechner, Laptop, Tablet oder Smartphone vor unerlaubtem Zugriff zu schützen sperrt man jedes Mal, wenn man das Gerät nicht mehr benutzt den Bildschirm.
Ja nach Gerät und Betriebssystem gibt es hierfür unterschiedliche Lösungen.

BYOD heisst, dass Mitarbeiter ihr private Hardware nutzen. Sei es ein Smartphone, Tablet oder laptop. Es klingt erstmal super, wenn die Arbeitnehmer selbst entscheiden können auf welchem Gerät sie arbeiten und dem Unternehmen hierdurch nicht einmal Kosten entstehen. Tatsächlich ist es dann die Aufgabe sicher zustellen, dass keinerlei Daten unbefugt weitergeleitet oder gespeichert werden. Ausreichender Virenschutz ist auf den meisten privaten Geräten nicht gewährleistet.
Die IT-Sicherheit kann hier nur durch ein MDM-System und der Datenschutz nur durch Regulierungen und Sensibilisierung sicher gestellt werden.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist eine unabhängige eigenständige oberste Bundesbehörde für den Datenschutz und die Informationsfreiheit. Aktuell hält dieses Amt Ulrich Kelber inne. Der Sitzt der Bundesbehörde ist Bonn im Ortsteil Castell.

Webiste BfDI: https://www.bfdi.bund.de/DE/Home/home_node.html

Wenn die nationalen Aufsichtsbehörden Datenschutzvorfälle entdecken, oder sie ihnen gemeldet werden, müssen sie nach der Datenschutzgrundverordnung Bußgelder für bestimme Datenschutzverstöße verhängen. Anstelle oder zusätzlich dieser Bußgelder werden weitere Anordnungen zum Beispiel zur Beendigung des Verstoßes,  oder gar des kompletten Verbotes zur Datenverarbeitung ausgesprochen. Hier finden sie eine Liste aktuell verhängter Bußgelder.

Eine Cloud ist ein Rechenzentrum, das dafür da ist, Inhalte, wie Medien und Software sicher zu speichern und je nach Bedarf zur Verfügung zu stellen. Die Bezeichnung Cloud kommt daher, dass die Software und gespeicherte Daten, wie Bilder und Dokumente nicht lokal auf dem eigenen Computer, sondern bei einem externen Rechenzentrumbetreiber gespeichert werden. Auf die eigenen Daten kann einfach via Internet und Webbrowser zugegriffen werden. Das bedeutet, es spielt keine Rolle wo Mitarbeiter oder Partner sitzen, alle können auf die überall verfügbare Cloud zugreifen.

Die unterschiedlichen CoronaApps werden uns als Allheilmittel gegen die Einschränkungen oder als Unterstützung bei der Bekämpfung der „zweiten Welle“ angepriesen.

Hier finden Sie die Stellungnahme zu der CoronaApp des RKI.
Die Corona App der Bunderegierung werden wir ebenfalls genau anschauen und unsere Stellungnahme hier einstellen.

Im Rahmen der Verordnungen wegen der Corona-Pandemie werden in Restaurants, Veranstaltungsräumen und in Unternehmen Anwesenheitslisten geführt. Die meisten dieser Exemplare sind nicht datenschutzkonform, da kein Hinweis auf den Zweck, die Verrabeitung und die Dauer der Verarbeitung aufgeführt sind.
Wir haben hier ein Beispiel, dass aus unserer aktuellen Sicht, datenschutzkonform ist.

Datenpannne entstehen dann, wenn personenbezogene Daten irgendwo hingelangen, wo sie nicht hingehören. Zum Beispiel durch:
Falsch versendete E-mail
Falsche Anlage an E-mail
Gehackte Website/Datenbank
Verlorenes/geklautes mobiles Gerät
Verlorene/geklaute Akten
Fehlerhafte Aktenvernichtung

Sobald der Datenschutzberater die Meldung des Kunden/MA erhalten sind folgende Punkte zu prüfen:
Wann ist der Vorfall gewesen?
Was ist passiert?
Welche Daten sind betroffen?
Welche Personen sind betroffen?
Wie ist der technische und/oder organisatorische Schutz?
Welche Auswirkungen kann der Vorfall auf die Rechte und Freiheiten der Betroffenen haben?
Wenn wir das Risiko für die Betroffenen als hoch einstufen, müssen wir dem Kunden empfehlen eine Meldung an die Aufsichtsbehörde vorzunehmen. Für diesen Prozess bis zur Meldung an die Aufsichtsbehörde haben wir 72 Stunden Zeit.

Die Grundlage für die Benennung eines Datenschutzbeauftragten (DSB) ist Artikel 37 DSGVO. Ergänzend kann es nationale Regelungen geben.
Der Bundestag hat 2019 ein entsprechendes Gesetz verabschiedet, nachdem ein DSB erst ab 20 Mitarbeitern bestellt werden muss. Ziel ist es Unternehmen zu entlasten und Bürokratie abzubauen.Der Gesetzgeber hat dabei völlig übersehen, welche Konsequenz dies für die Unternehmen, die Mitarbeiter und Kunden hat.
Für die Unternehmen ist ein DSB aus folgenden Gründen wichtig und hilfreich:

1. Die Geschäftsleitung kann sich auf Ihre Kompetenz konzentrieren und wird gut beraten
2. Das Datenschutzmanagmentsystem wird fachkundig aufgebaut und mit Leben gefüllt
3. Die notwendigen Dokumentationen und Verträge werden mit Unterstützung des DSB erstellt und gepflegt. Der DSB ist somit eine Entlastung für die Unternehmen und die Geschäftsleitungen.

Für die Mitarbeiter ist ein DSB aus folgenden Gründen wichtig und hilfreich:

1. Gerade in kleinen Unternehmen besteht kein Betriebsrat, der die Rechte der Mitarbeiter schützt. Dies ist eine der Aufagben des DSB
2. Der DSB ist Ansprechpartner für die Mitarbeiter bei Fragen rund um die Verarbeitung von personenbezogenen Daten
3. Der DSB führt die Schulungen der Mitarbeiter durch und sorgt somit für eine Sensibilisierung

Für die Kunden ist ein DSB aus folgenden Gründen wichtig und hilfreich:

1. Der DSB ist ein Qulitätsmerkmal bei der Verarbeitung von personenbezogenen Daten
2. Der DSB steht den Kunden bei Rückfragen zur Datenverarbeitung zur Verfügung
3. Der DSB sichert die Rechte und Freiheiten der Betroffenen

Eine Datenschutzerklärung beschreibt, wie Daten (insbesondere personenbezogene Daten) von einer Organisation verarbeitet werden, das heißt, wie diese Daten gesammelt, genutzt und ob sie an Dritte weitergegeben werden. Darüber hinaus wird oft beschrieben, welche Maßnahmen die Organisation ergreift, um die Privatsphäre ihres Kunden oder Nutzers zu wahren.
In vielen Staaten gibt es eine gesetzliche Pflicht, Datenschutzerklärungen vorzuhalten. Außerdem haben private Organisationen wie das Platform for Privacy Preferences Projectoder die Internet Content Rating Association eigene Standards für Datenschutzerklärungen festgelegt.
Eine Datenschutzerklärung ist von einer datenschutzrechtlichen Einwilligung zu unterscheiden. Bei einer Datenschutzerklärung erläutert der Verantwortliche den Betroffenen, ob und wie er ihre Daten verarbeitet. Eine Einwilligung dient dagegen der Rechtfertigung einer Datenverarbeitung, die das Gesetz sonst nicht erlaubt, zum Beispiel die Zusendung von Werbe-E-Mails.
Quelle: https://de.wikipedia.org/wiki/Datenschutzerkl%C3%A4rung

Die Datenschutz-Grundverordnung (DSGVO oder DS-GVO; französisch Règlement général sur la protection des données RGPD, englisch General Data Protection Regulation GDPR) ist eine Verordnung der Europäischen Union, mit der die Regeln zur Verarbeitung personenbezogener Daten durch die meisten Datenverarbeiter, sowohl private wie öffentliche, EU-weit vereinheitlicht werden. Dadurch soll einerseits der Schutz personenbezogener Daten innerhalb der Europäischen Union sichergestellt, und auch andererseits der freie Datenverkehr innerhalb des Europäischen Binnenmarktes gewährleistet werden.
Die Verordnung ersetzt die aus dem Jahr 1995 stammende Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.
Zusammen mit der so genannten JI-Richtlinie für den Datenschutz in den Bereichen Polizei und Justiz[1] bildet die DSGVO seit dem 25. Mai 2018 den gemeinsamen Datenschutzrahmen in der Europäischen Union.[2]
Quelle: https://de.wikipedia.org/wiki/Datenschutz-Grundverordnung

DATI & SPY sind die Helden des Datenschutzuniversums und begleiten in der E-Learning-Anwendung die Nutzer durch das Datenschutzuniversum.
DATI & SPY die Datenschutzapp ist eine Idee von Dirk Janthur und eine Marke der Datenschutzberatung Janthur GmbH.

Beim Klick auf ein Symbol im Hauptmenü erhältst Du die Aufforderung, den passenden Code zu finden und zu scannen.
Gehe in Deinem Unternehmen und im beigefügten Booklet auf Entdeckungsreise und finde die dort verteilten Codes. Scanne diese, um die interaktiven Spiele, Videos und Animationen zu starten.
Tipp: Alle Codes, die zu Themen mit virtuellen Daten zu tun haben, findest du im Booklet.

Am 18.11.2021 wurde durch den Bundestag und anschließend durch den Bundesrat das „Gesetz zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite“ beschlossen.

Hieraus ergeben sich sowohl für Arbeitgeber wie auch für die Beschäftigte einige Pflichten, die aus datenschutzrechtlicher Einschätzung, nicht einfach im Unternehmen umgesetzt werden können.

Mit unserer Einschätzung versuchen wir den Unternehmen einen pragmatischen Weg zur Umsetzung der neuen Gesetzeslage aufzuzeigen.

Die europäische Datenschutzgrundverordnung (DSGVO) ist seit 2016 in Kraft und hat das „alte“ BDSG mit einer Übergangsfrist zum Mai 2018 abgelöst.
Die DSGVO gewährleistet, dass alle Unternehmen und Organisationen, die in der EU personenbezogene Daten verarbeiten, die gleichen Regelungen einhalten müssen.
Die DSGVO hat seit ihrer Einführung für sehr viel mehr Transparenz bei dem Umgang mit personenbezogenen Daten gesorgt. Die Schutzmaßnahmen sind gestiegen.
Kritiker sagen, dass die DSGVO zu viel Bürokratie erzeugt. Soclhe Kritik zeigt, dass sich die Unternehmen in den letzten Jahren wenig mit dem Thema Datenschutz beschäftigt haben, im Verhältnis zum BDSG hat sich für Unternehmen in Deutschland wenig verändert.
Gleichzeitig ermöglicht die DSGVO Unternehmen, die sich über ihre mittel- und langfristigen Ziele bewusst sind, diese mit der entsprechenden Datenqualität umzusetzen.
Den Gesetztestext zur DSGVO können Sie hier herunter laden.

Die Eingabekontrolle soll gewährleisten, dass nachträglich überprüft und festegestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

Die Verarbeitung von personenbezogenen Daten ist grundsätzlich verboten. Dieses Verbot kann vom Betroffenen durch eine Einwilligung zur Verarbeitung aufgehoben werden.

HomeOffice ist der umgangssprachliche Begriff dafür, dass Mitarbeiter nicht im eigentlichen unternehmenseigenen Büro, sondern z.B. von zu Hause arbeiten dürfen.
HomeOffice unterscheidet sich in den Konsequenzen doch erheblich vom mobilen Arbeiten.
Bei HomeOffice muss der Arbeitgeber auch alle Maßnahmen aus dem Arbeitsschutz, der IT-Sicherheit und des Datenschutzes in der Wohnung des Arbeitnehmerns umsetzen und kontrollieren. DIes ist in der Praxis meistens nicht möglich und eigentlich handelt es sich dann um mobiles Arbeiten.

Informationspflicht:
Jede Stelle, die personenbezogene Daten verarbeitet (Verantwortlicher), muss den Personen, deren Daten verarbeitet werden (Betroffene), proaktiv bestimmte Informationen zur Datenverarbeitung mitteilen.

Dies wird in Artikel 13 und 14 der DSGVO geregelt. Zu den Informationen, die mitgeteilt werden müssen, gehören unter anderem:

• der Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters
• gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten
• die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung
• gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
• gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln

Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

• die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
• das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
• ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling
• Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

In Artikel 13 und 14 der DSGVO wird das Informationsrecht beschrieben. Dieses besagt, dass noch Vor der Datenerhebung, der Betroffene darüber informiert werden muss, was alles mit seinen Daten passiert. Diese Informationen erhält man beispielsweise auf Websites, durch die Datenschutzerklärung.

Das Kopplungsverbot besagt, dass ein Vertrag nicht an die Einwilligung der Verarbeitung von personenbezogen Daten geknüpft sein darf. Eine Einwilligung ist immer freiwillig und Verträge, die eine Einwilligung voraussetzten, sind nicht rechtens.

Unter einem MDM-System (Mobiel-Device-Management) versteht man eine zentrale Verwaltung von mobilen Endgeräten.

Laut DSGVO sind Unternehmen verpflichtet Löschkonzepte zu erstellen. Wichtig bei der Erstellung eines Löschkonzeptes ist auch die Beachtung weiterer Gesetzte aus denen sich Aufbewahrungsfristen für spezielle Unterlagen und Daten ergeben. Die IHK München hat eine Zusammenfassung der Aufbewahrungsfristen für die wichtigsten Unternehmensunterlagen erstellt. Diese Zusammenfassung, haben wir hier für Sie bereit gestellt.

Bei mobilem Arbeiten darf der Arbeitnehmer auch außerhalb der Unternehmensräume seiner Tätigkeit nachkommen. Hierbei hat der Arbeitnehmer die Verantwortung dafür, dass alle Vorgaben der IT-Sicherheit und des Datenschutzes eingehalten werden. Hierzu gehört z.B.:

1. dass die Geräte immer gesperrt werden, wenn sie nicht selbst genutzt werden;
2. dass kein Fremder (auch nicht die Familie) die Geräte des Unternehmens nutzen darf;
3. kein Dritte Einblick auf das Gerät und/oder die Unterlagen erhält;

Je Nach Unternehmen bestehen noch Regeln für das Nutzen von öffentlichen WLAN-Netzen, Ladestationen etc.
Manche Unternehmen erlauben den Arbeitnehmern eigene Geräte einzusetzen. Bring Your own Device (BYOD) stellt weitere Anforderungen an IT-Sicherheit und Datenschutz.

Office 365 wird immer mehr in Unternehmen implementiert. Hier gibt es aus Datenschutzsicht einige Punkte zu beachten. Unsere Mindmap dient Ihnen als Orientierungshilfe.
Laden Sie die Mindmap hier herunter.
Was ist Office 365?
Office 365 ist eine Kombination aus Cloud basierten Diensten wie Online-Services und Anwendungen mit Desktop-Office-Software. Zu den Kernbestandteilen gehören die Office-Webanwendungen und die Office-Software von Word, PowerPoint, Excel, Outlook und Weitere.
Die Webanwendungen von Office 365 sind per Browser über eine Onlineverbindung von Rechnern mit beliebigen Betriebssystemen nutzbar.
Je nach Typ des gebuchten Office 365 Abonnements gehören neben den Büroanwendungen weitere Leistungen wie E-Mail-Lösungen (Exchange), Webspace oder Tools für die Zusammenarbeit und Kommunikation im Unternehmen wie SharePoint und Skype for Business mit zum Leistungsangebot. Die Office-Software ist nicht an einen Rechner, sondern an den Abonnenten gebunden und kann auf mehreren Rechnern gleichzeitig installiert werden. Lokal auf einem Rechner installierte Office-Software erlaubt die Offline-Nutzung der Anwendungen und die lokale Speicherung der Daten unabhängig von den Microsoft Cloud-Services.

Ein Opt-in ist ein ausdrückliches Zustimmungsverfahren, welches von dem Nutzer bestätigt werden muss.

Die einfachste Art Daten, Anwendungen und Geräte vor unerlaubten Zugriff zu schützen ist die Verwendung von Passwörtern.
Wie Passwörter aufgebaut sein sollen, wie oft sie gewechselt werden müssen etc. ist in den Unternehmen ein ständiges Thema. Auch die Experten haben hierzu keine einheitliche Meinung. Aus unserer Sicht ist es wichtig, dass die Passwörter möglichst komplex sind. Bei Anwendungen, die der Nutzer täglich nutzt, lässt sich die Komplexität nicht extrem ausbauen, hier muss man dafür zum Beispiel mit einem öfteren Passwortwechsel die Sicherheit gewährleisten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf seiner Webseite folgende Tipps und Hinweise: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/passwoerter_node.html
TIPP: Um ein Gefühl für sichere Passwörter zu erhalten, kann man dies auf https://www.passwortcheck.ch/passwortcheck/passwortcheck selbst ausprobieren.

Personenbezogene Daten sind Angaben / Informtionen mit denen eine natürliche Person direkt oder indirekt identifiziert werden kann.
Hierzu gehören z.B. Name, Vorname, Adresse, Bankverbindung, Sozialversicherungsnummer und auch Bilder.

Neben den „normalen“ personenbezogenen Daten gibt es besonder Kategorien personenbezogener Daten. Dies sind Informationen, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

„Privacy by design“ heißt, dass bereits beim Erstellen von Datenverarbeitungsprogrammen technische Maßnahmen zum Datenschutz getroffen werden, um schon hier den Datenschutz zu in der späteren Anwendung zu gewährleisten.

Als Dirk Janthur im Jahr 2010 die Datenschutzberatung Janthur GmbH von seinem Vater übernommen hat, war ihm schnell klar, dass man Datenschutz in den Unternehmen nicht als Pflicht verkaufen kann. Datenschutz bietet für Unternehmen viel mehr, man muss es nur zulassen.
Durch die ansteigende Anzahl an Kunden beschäftigte sich Dirk Janthur 2014/2015 mit Datenschutzmanagementsoftware. Es gibt verschiedene Produkte und diese haben alle sehr gute Funktionen und sind sehr umfangreich. Bei den Tests und dann bei den Angeboten war jedoch schnell deutlich, dass viele der Funktionen nicht notwendig sind und andere wiederum fehlen oder sehr hohe Lizenzkosten verursachen.
Daraufhin hat Dirk Janthur die optimale Datenschutzmanagementsoftware für Datenschutzbeauftragte selbst entwickelt. Mit EGOTEC haben wir einen kompetenten Partner für Programmierung und Hosting gefunden. Seit 2016 ist PRIVEASY nun im Einsatz und wird immer weiter entwickelt.
PRIVEASY ist eine Datenschutzmanagementsoftware von einem Datenschutzbeauftragten für alle Datenschutzbeauftragte.

Unter „Profiling“ versteht man die automatisierte Verarbeitung von personenbezogenen Daten, die dazu dient persönliche Aspekte des Betroffenen zu analysieren zu bewerten.

Unter Pseudonymisierung versteht man die die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.

Artikel 17 der DSGVO beschreibt das Recht auf Löschung:

Der Betroffene hat das Recht, die Löschung seiner Daten zu fordern. Der Verantwortliche ist verpflichtet der Löschung umgehend nachzukommen. Unter bestimmten Voraussetzungen kann eine sofortige oder gar keine Löschung erfolgen.

• Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
• Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
• Die betroffene Person legt Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor
• Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
• Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
• Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft erhoben.

Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

• zur Ausübung des Rechts auf freie Meinungsäußerung und Information
• zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde
• aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit
• für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke
  Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder
  zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Der Bundergerichtshof hat uns Bürgern, in seiner Entscheidung zur Volkszählung, das Grundrecht auf informative Selbstbestimmung gegeben. Hierbei haben sich die Richter auf die Artikel 1 & 2 der Grundgesetzes berufen.
Wir haben also das Recht selbst zu entscheiden, wer welche Daten von uns für welchen Zweck wie verarbeiten darf.
Dieses Recht ist die Grundlage für jeden Zustimmungserklärung, die wir beim Download von Apps, beim Online-Shopping, beim Kauf eines Autos, beim Unterschreiben eines Vertrages oder bei anderen Rechtsgeschäften jeden Tag erteilen.
Dieses Recht verpflichtet unsere Vertragspartner uns zu informieren und sich dann an die genehmigte Verarbeitung zu halten.
Ein solches Grundrecht zuhaben ist auch eine Verantwortung, die wir jeden Tag uns selbst gegenüber und wenn wir für andere Menschen verantwortiich sind auch für diese targen müssen.

Artikel 18 der DSGVO beschreibt das Recht auf Einschränkung:

Der Betroffene hat das Recht, vom Datenverarbeiter zu verlangen, dass seine personenbezogenen Daten für die weitere Verarbeitung eingeschränkt werden.

Z.B. kann ein Kunde verlangen, dass seine Daten bei der Firma gespeichert bleiben, um den Vertrag zu erfüllen, nicht aber für Werbezwecke verwendet werden (Einschränkung).

Für das Recht auf Einschränkung muss eine der folgenden Vorraussetzungen gegeben sein:

• wenn die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,
• wenn die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt;
• wenn der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder
• die betroffene Person Widerspruch gegen die Verarbeitung eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.

Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten – von ihrer Speicherung abgesehen – nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.

Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.

Sandbox ist die englischsprachige Bezeichnung für Sandkiste oder Sandkasten und bezeichnet allgemein einen isolierten Bereich. In diesem isolierten, von der Systemumgebung abgeschotteten Bereich, lässt sich Software geschützt ausführen. Sandboxen sind beispielsweise einsetzbar, um Software zu testen oder das zugrundeliegende System vor Veränderungen zu schützen.

Um unsere Daten im Alltag zu schützen, gibt es viele Möglichkeiten. Durch beispielsweise Pins und Passwörter (Am Handy, Laptop, der EC-Karte…) lässt sich der unbefugte Zugriff auf Daten regulieren. Physische Daten (Akten, Ordner etc.) werden durch verschließbare Schränke, Räume oder Gebäude und ausgewählte Zugangsberechtigte geschützt.

Sichtschutzfolien unterstützen dabei, die Bildschirme von allen Geräten vor dem unbefugten Einblick zu schützen. Bei mobilen Arbeitsplätzen im Cafe, Flugzeug, Zug oder im Empfangsbereich können Unbefugte schnell und einfach Einblick auf sensible odund geheime Informationen erhalten. Mit Sichtschutzfolien lässt sich dies durch eine einfache technische Maßnahme verhindern.

Sie können Schichtschutzfolien über unser Partnerunternehmen Bach und Unity beziehen.
Nutzen Sie hier für folgenden Link: https://bachundunity.de/shop/
Wenn Sie in dem Shop Ihr Gerät nicht finden, einfach eine E-Mail an Bachundunity senden und das Gerät anfragen.
Bitte verwenden Sie den Rabattcode: PRIVEASY2020.

Technisch organisatorische Maßnahmen (auch TOMs genannt) sind durch die DSGVO vorgeschriebene Maßnahmen, um die Sicherheit bei der Verarbeitung von Daten zu gewährleisten.
Diese sind:

• Zutrittskontrollen
  
• Zugangskontrollen
• Zugriffskontrollen
• Weitergabekontrollen
• Eingabekontrollen
• Verfügbarkeitskontrollen
• Trennungskontrollen

Für die Nutzung der App benötigt man ein mobiles Gerät* mit einer Kamera und Internetzugang oder einen PC.
*Für Mobilgeräte ab Apple iOS 12 und höher, sowie für Android 8 und höher

Das Trennungsgebot besagt, dass Daten getrennt voneinander verarbeitet werden müssen, die zu unterschiedlichen Zwecken erhoben wurden. z.B. Mandantenfähigkeit, Sandboxing…

Unter der Verfügbarkeitskontrolle versteht man zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Um Daten ausreichend zu sichern sind folgende Dinge zu beachten:

• Schutz vor Feuer, Wasser, Sabotage
• Unterbrechungsfreie Stromversorgung und Überspannungsschutz
• Sicherstellung einer funktionsfähigen Klimatisierung
• Backupkonzept
• Virenschutzkonzept
• Diebstahlschutz
• Notfallplan
• Datenspiegelung (z.B. RAID)

Personen die für das Unternehmen tätig sind, müssen mit personenbezogenen Daten sensibel umgehen. Hierzu sind entsprechende Schulungen und Unterweisungen notwendig. Zusätzlich empfiehlt es sich, diese Personen auf die Vertraulichkeit und die Einhaltung des Datenschutzes zu verpflichten. Eine entsprechende Mustervorlage haben wir hier.

Unter „Verschwiegenheit“ versteht man das Bewahren von Informationen über jemanden, die geheim bleiben soll. In Bezug auf den Datenschutz umfasst die Verschwiegenheit alle personenbezogenen Daten. In unserem Alltag ist insbesondere Verschwiegenheit im Arbeitsleben wichtig. Zum Beispiel dürfen Unternehmensinterne Informationen oder Daten von Kunden nicht an unbefugte Dritte übermittelt werden.

Die Weitergabekontrolle ist eine Maßnahme, die den Schutz der Daten bei Übermittlungen und Weitergaben durch das Verhindern von unbefugtem Zugriff, unbefugter Veränderung oder Löschung während des Transportweges sichern soll. Also kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport. Sichergestellt werden kann dies durch beispielsweise Verschlüsselungen, Virtual Private Networks (VPN), elektronische Signaturen.

Artikel 21 der DSGVO beschreibt das Widerspruchsrecht.
Dieses besagt, dass Sie der Datenverarbeitung jederzeit und kostenlos widersprechen können. Werden die Daten für Direktwerbung und damit verbundene Profilbildung verwendet, dürfen sie dann nicht weiter verwendet werden. Der Widerspruch muss in diesem Fall auch nicht begründet werden. Sie können außerdem der Datennutzung gegenüber Werbetreibenden widersprechen und zusätzlich die Sperrung Ihrer Daten verlangen. Die Sperrung ist dann sinnvoller als eine Löschung der Daten, da Werbetreibende die Daten ansonsten einfach neu erheben könnten, etwa durch Adresshändler.
Dient die Verarbeitung anderen Zwecken als der Direktwerbung, müssen Sie für den Widerspruch einen plausiblen Grund angeben.
Ob das Unternehmen die Daten möglicherweise trotzdem weiterverarbeiten darf, hängt vom Einzelfall ab, z.B. wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

1. ¹Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling.
   ²Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
2. Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.
3. Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.
4. Die betroffene Person muss spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das in den Absätzen 1 und 2 genannte Recht hingewiesen werden; dieser Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen.
5. Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person ungeachtet der Richtlinie 2002/58/EG ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.
6. Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.

Beim Scannen der Codes ist es wichtig, dass das Smartphone/Tablet quer gehalten wird und der Code gut sichtbar vor der Kameralinse zu sehen ist.
Tipp: Das Endgerät bei Nutzung der App immer im Querformat halten.

Zugang oder Zugangskontrolle meint im Sinne der DSGVO zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Dies wird unter anderem durch (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, oder durch Verschlüsselung von Datenträgern gesichert.

Unter Zugriff oder Zugriffskontrolle versteht man im Sinne der DSGVO zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle regelt man z.B. durch Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen…

Der Begriff Zutritt oder auch Zutrittskontrolle meint im Sinne der DSGVO, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Dieser Zutritt kann durch Folgende Maßnahmen geregelt werden: z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen.

Hier gibt es eine Übersicht der Maßnahmen zum kostenlosen Download:

Bei der Zwei-Faktor-Authentifizierung wird ein Account nicht nur durch den Benutzernamen oder die E-Mail und dem zugehörige Kennwort gesichert, sondern durch eine weitere Abfrage. Die unterscheidet sich von Anbieter zu Anbieter.
Die weitere Sicherheitsstufe besteht in der Regel aus der Abfrage eines weiteren Passworts, dass nur für diesen einen Login generiert wird. Je nach Unternehmen erhalten Sie den Code über die zugehörige App, ein alternatives Programm oder per SMS.