Datenschutz in der Urlaubszeit

Stand: 19.06.2024 Momentan beginnt - wie jedes Jahr - sich die Urlaubswelle ihren Weg durch Unternehmen und Abteilungen zu bahnen. Der Datenschutz macht allerdings keine Ferien und so gibt es auch oder gerade im Zusammenhang mit dem Thema Urlaub eine ganze Reihe datenschutzrelevanter Aspekte – angefangen bei A wie Aushang von Urlaubslisten über die klassischen Abwesenheitsinformationen und den Urlaubssmalltalk bis Z wie Zugangssicherung durch risikobewussten Umgang mit Betriebsschlüsseln. Urlaubspläne: Aushang oder digital – was ist datenschutzrechtlich möglich? In vielen Unternehmen werden die Urlaubspläne von Beschäftigten ausgehängt und dadurch öffentlich zugänglich gemacht. In anderen Unternehmen wird ein digitaler Urlaubskalender geführt. Beide Vorgänge sind aus datenschutzrechtlicher Sicht aber kritisch zu betrachten. Bei beiden Plänen handelt es sind rechtlich gesehen um Dokumente, die personenbezogene Informationen enthalten. Die [...]

TOMs – welche Maßnahmen gehören zum „angemessenen Schutzniveau“?

Stand: 08.09.2023 Werden personenbezogene Daten unbefugt offengelegt, verändert oder gehen verloren, kann dies für betroffene Personen je nach Sensibilität der Informationen teilweise enorme negative Auswirkungen haben. Ein wichtiger Bestandteil des Datenschutzes ist deshalb die Sicherheit der Datenverarbeitung nach Art. 24 Abs. 1, 32 DS-GVO. Danach sind sowohl Verantwortliche als auch Auftragsverarbeiter verpflichtet, personenbezogene Daten ausreichend zu schützen, insbesondere im Hinblick auf die Vertraulichkeit, die Integrität sowie die Verfügbarkeit und die Belastbarkeit der Systeme. Sie müssen unter Berücksichtigung bestimmter Faktoren Vorkehrungen treffen, um ein angemessenes Schutzniveau sicherzustellen. Die Schutzmaßnahmen können technischer Natur (z. B. Vergabe von Benutzerrechten, Verschlüsselung von Notebooks/Tablets) oder organisatorischer Natur (z. B. Empfang/Rezeption, Mitarbeiterschulung und Verpflichtung zur Vertraulichkeit) sein. Werden keine i. S. v. Art. 32 DS-GVO ausreichenden Maßnahmen getroffen, stellt dies [...]

5 Jahre DS-GVO: Faktencheck und Highlights zum Jubiläum der DS-GVO

Stand: 25.05.2023 Fünf Jahre ist es nun her, dass die Regelungen der europäischen Datenschutzgrundverordnung (kurz DS-GVO) die Anforderungen an den Datenschutz massiv verändert haben. Die Euphorie oder "Panik" hat damals dazu geführt, dass viele Maßnahmen zur Umsetzung der "neuen" gesetzlichen Pflichten ergriffen worden sind. Inzwischen hat sich viel getan: während der Elan bei einigen Unternehmen wieder etwas eingeschlafen ist, wurden durch die Behörden und Gerichte viele zentrale Grundsatzfragen geklärt oder zumindest Orientierungshilfen geschaffen. So manche Vorgehensweise hat sich bei genauerem Betrachten als unnötig aufwendig erwiesen. Gleichzeitig haben gerade verärgerte Mitarbeiter oder Kunden gelernt, ihre Datenschutzrechte effektiv auszunutzen. Es wird auch immer klarer, dass der Datenschutz gesetzlich verpflichtet, unternehmerische Prozesse aus bestimmten Perspektiven zu betrachten, die sonst allzu oft vernachlässigt werden. So gaben 2022 bereits [...]

Datenschutz in Krankenhäusern und Arztpraxen

In Krankenhäusern und anderen Gesundheitseinrichtungen werden täglich große Mengen an verschiedenen personenbezogenen Daten verarbeitet. Den größten Anteil haben hierbei Gesundheitsdaten, die als hochsensible Daten unter Art. 9 DS-GVO fallen und damit besonders geschützt werden müssen. Die Verarbeitung von Informationen zum Gesundheitszustand von Patientinnen und Patienten birgt insbesondere bei mangelnden Schutzmaßnahmen ein mitunter enormes Risiko für die betroffenen Personen, weshalb dem Datenschutz und der (IT-)Sicherheit im Gesundheitssektor eine wichtige Bedeutung zukommt. Trotz des besonderen Schutzbedarfs in Gesundheitseinrichtungen kommt es in Krankenhäusern und Arztpraxen erstaunlich oft zu Datenpannen, insbesondere durch Verletzungen der Vertraulichkeit. Untersuchungen verschiedener deutscher Datenschutzbehörden zeigten teilweise erhebliche Defizite bei der Umsetzung des Datenschutzes in Krankenhäusern und Arztpraxen. Auch der Datenrisiko-Report des amerikanischen IT-Sicherheitsanbieters Varonis Systems deckte enorme Lücken bei der Datensicherheit auf. Zusätzlich [...]

Geburtsdatum als alleiniges Authentifizierungsmittel ungeeignet

Wie wichtig es ist, die datenschutzrechtlichen Vorgaben in alle Prozesse eines Unternehmens zu integrieren und betriebliche Abläufe entsprechend datenschutzkonform zu gestalten, zeigt das Bußgeld gegen den Telekommunikationsdienstleister 1&1 Telecom GmbH. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) verhängte gegen das Unternehmen Anfang Dezember 2019 ein Bußgeld in Höhe von 9,55 Millionen Euro wegen der mangelnden Sicherheit beim Authentifizierungsverfahren des telefonischen Kundenservices. Das eingesetzte Verfahren sei aufgrund unzureichender technischer und organisatorischer Maßnahmen nicht geeignet, um die Weitergabe von Kundendaten an Unberechtigte zu vermeiden. Nachdem die 1&1 Telecom GmbH Einspruch gegen die Geldbuße erhoben hatte, wurde Anfang Oktober 2020 vor dem Landgericht (LG) Bonn das erste Verfahren gegen ein Millionenbußgeld nach der DS-GVO in Deutschland eröffnet (Az.: 29 OWi 1/20 LG). Hintergrund des Bußgelds [...]

Nach oben