Wir unterstützen Kunden bei der optimalen Einhaltung der EU Datenschutzgrundverordnung (DSGVO) und E-Privacy-Verordnung (EPVO). Weitere Informationen und einen ersten kurzen DSGVO-Check bieten wir Ihnen in einem persönlichen Gespräch. Kontaktieren Sie uns, wir helfen gerne.
Ist unser Recht auf Sicherheit vergleichbar mit dem Recht auf Datenschutz? Das Recht auf ein Auto mit Sicherheitsgurt kann ein Autokäufer nicht aufgeben. Wenn ein gewisses Mass an Privatsphäre wirklich ein Recht ist, sollten wir nicht zulassen, dass dieses für einen kostenlosen Service aufgegeben werden kann.
EU Datenschutz Grundverordnung (DSGVO)
DSGVO ist die geläufige Abkürzung für die Datenschutz-Grundverordnung. Damit hat die EU einen einheitlichen Rechtsrahmen für die Verarbeitung und Speicherung personenbezogener Daten geschaffen. Das bedeutet jedoch auch, Unternehmen haben erhöhte Dokumentationspflichten. Daraus folgt ebenfalls, dass sie in der Lage sein müssen, die Rechtmässigkeit ihrer Datenverarbeitungstätigkeiten gegenüber Aufsichtsbehörden nachzuweisen.
Die Einhaltung der DSGVO ist eine fortlaufende Aufgabe. Sie brauchen einen Aktionsplan für die DSGVO und ebenfalls Dokumentation was, wie gemacht wurde um die Risiken zu minimieren und den Datenschutz zu verbessern.
Vorteile: Konsumenten haben ein Recht auf ihre Daten und deren Löschung.
Nachteile: Administrativer Aufwand ist teuer für kleinere Firmen.
To-do: Unbedingt die interaktive Infografik der EU-Kommission zur DSGVO anschauen. Danach ist jeder schlauer!
DSGVO Geldstrafen bei Verstoss
Die Datenschutz-Grundverordnung sieht bei einem Verstoss gegen den Datenschutz Bussgelder bis zu 20 Millionen Euro oder aber bis 4 Prozent des weltweiten Jahresumsatzes eines Unternehmens vor (mehr Infos zu Bussgelder hier).
Vorteile: Bei Verstoss hat es finanzielle Konsequenzen für das Unternehmen.
Nachteile: Nachforschungen sind aufwendig für das Unternehmen und die Busse kompensiert den Konsumenten für den Schaden nicht.
California Consumer Privacy Act (CCPA)
Die CCPA gibt den kalifornischen Verbrauchern das Recht, Informationen zu sehen, die ein Unternehmen über sie besitzt, und fordert, dass sie gelöscht oder nicht weiterverkauft werden.
Vorteile: Konsumenten haben ein Recht auf ihre Daten, Reputationsschaden bei Verstoss für Firmen
Nachteile: Administrativer Aufwand ist teuer für kleinere Firmen.
CCPA Geldstrafen bei Verstoss
Der kalifornische Generalstaatsanwalt kann bis zu 7.500 Dollar pro Person für jeden allgemeinen Verstoß gegen die Regeln verlangen, wenn vorsätzlich gehandelt wurde. Aber im Falle eines Hacks können Einzelpersonen für bis zu 750 $ pro Person klagen, auch wenn kein Schaden verursacht wird, oder für tatsächliche Schäden, je nachdem, welcher Betrag höher ist.
Vorteile: Bei Verstoss hat es finanzielle Konsequenzen für das Unternehmen.
Nachteile: Die Klagesumme pro geschädigten Konsument ist mit USD 75 relativ bescheiden. Nachforschungen nach einem Hack sind aufwendig für das Unternehmen und die Busse bis 7.500 pro Person je Verstoss hilft Konsumenten nur indirekt aber entschädigt sie nicht für den erlittenen Schaden. USD 75 sind da eine niedrige Summe.
Dokumentationspflichten
Ob DSGO oder CCPA, Verantwortliche und Auftragsverarbeiter (z.B. Cloud Provider und externer Lohnbuchhalter) stehen in der Pflicht, im Zweifel die Rechtmässigkeit der Datenverarbeitung nachzuweisen (sog. „Rechenschaftspflicht“). Dies bedingt der Führung von Verarbeitungsverzeichnissen nach Art. 30 DSGVO.
Vorteile: Bei Verstoss hat es finanzielle Konsequenzen für das Unternehmen.
Nachteile: Nachforschungen sind aufwendig für das Unternehmen und die Busse kompensiert den Konsumenten für den Schaden nicht.
Kosten nicht unterschätzen
Klar ist, dass grosser Ehrgeiz bei der Dokumentation aller datenschutzrelevanten Vorgänge auch zu einem hohen Dokumentations- bzw. Verwaltungsaufwand führt. Dieser ist mit Kosten verbunden. Wichtig sind ebenfalls die notwendigen Ressourcen wie externes oder internes Fachpersonal bereit zu stellen, was wiederum Kosten verursacht.
USA Clarifying Lawful Overseas Use of Data Act (Cloud Computing Act)
Seit März 2018 ist der Cloud Computing Act in den USA in Kraft. Er stärkt die Befugnisse der US-Regierung, im Ausland gespeicherte Daten zu erhalten. Der Cloud Act regelt den Zugriff von US-Behörden auf Daten, die bei Cloud-Service-Providern mit US-Bezug liegen (z.B. US Firmen wie Amazon oder EU Firma mit z.B. Niederlassung / Tochtergesellschaft in den USA).
Dies Regulierung gilt unabhängig ob der Server in den USA, Deutschland oder der Schweiz liegt. Nur die UK hat bis heute ein „executive agreement“ (bilaterales Rechtshilfeabkommen). Ohne dieses muss sich ein Cloud-Service-Provider vor einem US-Gericht verantworten. Die Vergangenheit hat gezeigt, dass die USA den US-Bezug sehr grosszügig auslegen, wenn es darum geht, an die gewünschten Daten zu kommen.
Privacy by Design
Digitalisierung von Prozessen und Abläufen wird immer wichtiger. Zum Beispiel kann es darum gehen wie Steuerdaten in der Cloud gespeichert werden. Auch die Polizei nutzt Daten z.B. für die automatische Erkennung von Nummernschildern bei Autos und Motorrädern.
Überall bei solchen Applikationen aber auch privaten Firmen müssen Datenschutzfragen abgeklärt werden. Hinter dem Begriff „Datenschutz by Design“ steht „Datenschutz durch Gestaltung der Prozesse und Technik“.
Wir müssen also bei der Analyse der Prozesse und der Erarbeitung neuer technisch integrierter Prozesse oder der Überprüfung bereits bestehender Prozesse sicher stellen, dass dem Datenschutz und der Datensicherheit genüge geleistet wird.
Welche Schutzmaßnahmen das genau sind, lässt die DSGVO weitestgehend offen. Ein Beispiel das genannt wird ist die Pseudonymisierung. Konkretisierungen werden wenn überhaupt sehr vague gehalten. Trotzdem dürften aber die an anderer Stelle im Gesetz genannte Verschlüsselung sowie die Anonymisierung der Daten zu den möglichen Schutzvorkehrungen zählen. Ebenfalls ist die Nutzerauthentifizierung und die technische Umsetzung des Widerspruchsrechts Pflichtprogramm. Natürlich muss dabeu darauf geachtet werden, dass die Implementierungskosten im voraus kalkuliert und budgetiert werden.
Datenschutzreview / Datenschutz Audit
Der Datenschutzbeauftragt kontrolliert die Anwendung der rechtlichen, technischen und organisatorischen Vorschriften über
den Datenschutz und die Informationssicherheit durch das Unternehmen oder ein öffentliches Organ.
Dazu führt er Datenschutzreviews, Kontrollen auf Anlass sowie technische Kontrollen durch.
Darknet - Gestohlene Daten zu Schnäppchenpreisen
Im Darknet verkaufen Kriminelle Informationen und Hacker-Dienstleistungen schon ab USD 4.
Mehr Informationen unter Ressourcen unten (siehe Butler)
Greta Thunberg und Deutsche Bahn
Auf Social Media gilt es aufzupassen, sodass nicht versehentlich Kundendaten preisgegeben werden, welche laut DSGVO nicht an die Öffentlichkeit gelangen dürfen.
Beispiel: DB macht Greta Thunberg’s personengebundende Fahrgastdaten („Erste Klasse“!) öffentlich nachdem sie über ihre Zugfahrt getwittert hat (siehe Images unten).
Nebenbei verletzte die Bahn noch die Greta persönlich, indem die DB insinuierte sie sei eine Blenderin und Heuchlerin. Was nicht stimmte, sie ist von Basel SBB (nachdem ein Zug ausgefallen ist) bis Göttingen in 2 DB Zügen auf dem Boden gesessen. Erst danach hatte sie einen Sitzplatz in der 1. Klasse.
2 x #bigfail für die Bahn und ein PR disaster.
Wie erkläre ich das meiner Chefin?
Vorgesetzte oder Inhaber eines mittelständischen Unternehmens, Freelancer oder Handwerksbetrieb erklären wir die Sache so:
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) bietet einen Online-Test an, mit dem Unternehmen herausfinden können, ob sie von der DSGVO betroffen sind oder nicht. Sehr interessantes Tool.
Erfahren Sie mehr über die DSGVO und die optimale Anwendung im B2C sowie B2B Bereich wie z.B. im Marketing, Direct Marketing und für E-Shops.
PS. Erhalt der Bestätigungsmail für den Download Link kann einige Minuten dauern.
Wenn wir uns schnell schlau machen wollen, mit welchen Daten wir es zu tun haben oder wo wir bei einem Datenschutzreview beginnen sollen, müssen wir uns zunächst einen Überblick verschaffen.
Hier empfiehlt es sich die folgenden Fragen zu stellen und eine Antwort schriftlich festzuhalten:
Diese Fragen und weitere nutzen wir beim drkpi® Datenschutz Schnelltest, welcher Ihnen einen Überblick verschafft welche Daten in der Organisation wie genutzt werden.
Erfahren Sie in diesem Leitfaden wie sich DSGVO und CCPA gleichen und welche wichtigen Unterschiede sie beinhalten.
Wenn Ihr Schweizer Unternehmen DSGVO erfüllt, heisst das nicht, dass Sie auch CCPA compliant sind.
Unser Leitfaden hilft Ihnen, sich vor den Risiken eines Gerichtsfalles in Kalifornien zu schützen.
PS. Erhalt der Bestätigungsmail für den Download Link kann einige Minuten dauern.
