Aktuelle Datenpannen & Ereignisse

Stand: 20.05.2022 Die DS-GVO verpflichtet verantwortliche Stellen und Auftragsverarbeiter, personenbezogene Daten ausreichend vor unberechtigtem Zugriff bzw. Offenlegung (Vertraulichkeit), vor unberechtigter Veränderung (Integrität) sowie vor Verlust (Verfügbarkeit) zu schützen. Wird eines dieser Schutzziele nicht erreicht, handelt es sich um eine Datenschutzverletzung - auch Datenpanne genannt. Datenschutz- und Sicherheitsvorfälle können verschiedenste Ursachen haben und sind oft Ausdruck menschlicher Fehler im Arbeitsalltag. In den meisten Fällen sind die Vorfälle nach Art. 33 DS-GVO der zuständigen Aufsichtsbehörde zu melden. Je nach Risiko besteht sogar eine Informationspflicht der betroffenen Personen. Dieser Artikel gibt einen Überblick über aktuell bekannt gewordene Datenpannen und Ereignisse, die relevant für datenschutzrechtliche Fragestellungen sind, wie neue/aktualisierte EU-Richtlinien, Kritik am Zensus 2022 und Neuigkeiten im Bereich der Cybersicherheit. Welche Vorgaben zum Schutz personenbezogener Daten [...]

TOMs – welche Maßnahmen gehören zum „angemessenen Schutzniveau“?

Stand: 28.04.2022 Werden personenbezogene Daten unbefugt offengelegt, verändert oder gehen verloren, kann dies für betroffene Personen je nach Sensibilität der Informationen teilweise enorme negative Auswirkungen haben. Ein wichtiger Bestandteil des Datenschutzes ist deshalb die Sicherheit der Datenverarbeitung nach Art. 24 Abs. 1, 32 DS-GVO. Danach sind sowohl Verantwortliche als auch Auftragsverarbeiter verpflichtet, personenbezogene Daten ausreichend zu schützen, insbesondere im Hinblick auf die Vertraulichkeit, die Integrität sowie die Verfügbarkeit und die Belastbarkeit der Systeme. Sie müssen unter Berücksichtigung bestimmter Faktoren Vorkehrungen treffen, um ein angemessenes Schutzniveau sicherzustellen. Die Schutzmaßnahmen können technischer Natur (z. B. Vergabe von Benutzerrechten, Verschlüsselung von Notebooks/Tablets) oder organisatorischer Natur (z. B. Empfang/Rezeption, Mitarbeiterschulung und Verpflichtung zur Vertraulichkeit) sein. Werden keine i. S. v. Art. 32 DS-GVO ausreichenden Maßnahmen getroffen, stellt dies [...]

Achtung, Virus: Nicht nur Corona-Viren sind gefährlich

Stand: 04.03.2022 Sasser, Stuxnet, Nimda – was aussieht wie eine harmlose Aneinanderreihung von Buchstaben, kann in Wahrheit für Unternehmen ziemlich gefährlich werden. Bei den genannten Begriffen handelt es sich um drei der berüchtigtsten Computerviren. Viele Computer, egal ob privat oder geschäftlich genutzt, sind nicht ausreichend gegen die Risiken der Onlinewelt geschützt und somit ein gefundenes Fressen für Kriminelle. Diese infizieren ebensolche Rechner mit Viren und sorgen so für erhebliche Schäden mit gravierenden, teils existenzgefährdenden Folgen für die Betroffenen. Häufig werden Daten gelöscht, ausspioniert oder verschlüsselt, Onlinebanking-Transaktionen zugunsten der Kriminellen manipuliert oder Bestellungen im Namen der Betroffenen getätigt. Teilweise werden sogar die infizierten PCs für Cyberangriffe auf andere Personen oder Unternehmen eingesetzt – ein finanzielles und datenschutzrechtliches Fiasko für betroffene Unternehmen. Ein solider Schutz ist [...]

Abmahnfähigkeit von Datenschutz-Verletzungen

Stand: 02. Dezember 2021 Datenschutzverletzung: Abmahnung – ja oder nein? Ob Verstöße gegen den Datenschutz auf der Homepage von Wettbewerbern abgemahnt werden können oder nicht, gehörte schon vor dem offiziellen Inkrafttreten der DS-GVO zu den meistdiskutierten Fragen überhaupt. Bis heute gibt es auf diese scheinbar simple Frage keine Antwort, denn es gibt sowohl für als auch gegen die Abmahnfähigkeit gute Argumente. Erste Gerichtsentscheidungen finden keine einheitliche Linie – im Gegenteil: acht Gerichte, drei Meinungen. LG Würzburg: Ja, Verstöße gegen den Datenschutz können abgemahnt werden Schon zu Zeiten des alten Bundesdatenschutzgesetzes hat die Rechtsprechung den Standpunkt vertreten, dass Verstöße gegen die datenschutzrechtlichen Spielregeln gegen das Wettbewerbsrecht verstoßen und abmahnfähig sind. In der ersten Entscheidung nach Inkrafttreten der DS-GVO hat das Landgericht Würzburg auf diese Rechtsprechung [...]

Datenschutz in Krankenhäusern und Arztpraxen

In Krankenhäusern und anderen Gesundheitseinrichtungen werden täglich große Mengen an verschiedenen personenbezogenen Daten verarbeitet. Den größten Anteil haben hierbei Gesundheitsdaten, die als hochsensible Daten unter Art. 9 DS-GVO fallen und damit besonders geschützt werden müssen. Die Verarbeitung von Informationen zum Gesundheitszustand von Patientinnen und Patienten birgt insbesondere bei mangelnden Schutzmaßnahmen ein mitunter enormes Risiko für die betroffenen Personen, weshalb dem Datenschutz und der (IT-)Sicherheit im Gesundheitssektor eine wichtige Bedeutung zukommt. Trotz des besonderen Schutzbedarfs in Gesundheitseinrichtungen kommt es in Krankenhäusern und Arztpraxen erstaunlich oft zu Datenpannen, insbesondere durch Verletzungen der Vertraulichkeit. Untersuchungen verschiedener deutscher Datenschutzbehörden zeigten teilweise erhebliche Defizite bei der Umsetzung des Datenschutzes in Krankenhäusern und Arztpraxen. Auch der Datenrisiko-Report des amerikanischen IT-Sicherheitsanbieters Varonis Systems deckte enorme Lücken bei der Datensicherheit auf. Zusätzlich [...]

Emotet – Malware mit dem Potenzial zum Totalschaden

Die Gefahr durch Schadsoftware ist sowohl für Privatpersonen als auch für Unternehmen und Behörden in den letzten Jahren immer mehr gestiegen. Cyberkriminelle entwickeln ständig neue Programme, um andere Internetuser auszuspionieren, Daten zu sammeln oder sich auf andere Weise zu bereichern. Dass sie dabei immer kreativer werden, macht es sowohl für Virenscanner und SPAM-Filter als auch für die Empfänger gefälschter E-Mails schwierig, Schadprogramme zu erkennen. Werden Systeme von Schadsoftware befallen, kann dies erhebliche finanzielle Schäden zur Folge haben, die zum Teil existenzbedrohend sind. Eine der seit Jahren gefährlichsten Schadsoftware war Emotet. Der Banking-Trojaner wurde im Jahr 2014 erstmals von Experten entdeckt und bedroht seitdem Privatpersonen, Unternehmen und Behörden. Einer der wohl bekanntesten Fälle ist der Befall mit Emotet beim Kammergericht Berlin im September des vergangenen [...]

Unzulässige Videoüberwachung am Arbeitsplatz: 10,4 Millionen Bußgeld

Kaum hat das neue Jahr begonnen, wurde bereits das erste Bußgeld in Millionenhöhe wegen eines Verstoßes gegen die DS-GVO bekannt. Die Landesbeauftragte für den Datenschutz (LfD) Niedersachen, Barbara Thiel, sprach noch vor dem Jahreswechsel gegen das Unternehmen notebooksbilliger.de AG das bisher höchste Bußgeld in Niedersachen aus. Sie ahndete die unzulässige Videoüberwachung in den Räumlichkeiten des Hardware-Händlers mit einer Geldstrafe in Höhe von 10,4 Millionen Euro. Nach Ansicht der Datenschutzaufsicht entspricht der Einsatz der Videokameras bei dem Unternehmen nicht den datenschutzrechtlichen Anforderungen und stellt damit einen schwerwiegenden Verstoß gegen die DS-GVO dar. Wie hoch die Anforderungen an eine datenschutzkonforme Videoüberwachung sind, haben in den letzten Jahren immer wieder verschiedene Gerichtsurteile sowie Bußgelder und Anordnungen der Aufsichtsbehörden gezeigt. Auch wenn es im Alltag häufig nicht so [...]

Erstes Urteil zur Videoüberwachung: Genaue Abwägung aller Interessen notwendig

Der Einsatz von Videokameras ist sowohl bei Privatpersonen als auch bei Unternehmen sehr beliebt, um Einbrecher abzuschrecken und Straftaten aufzudecken. Die Überwachungsanlagen werden nicht nur stetig weiterentwickelt und bieten umfangreiche Funktionen, sondern sind auch immer leichter und kostengünstiger zu beschaffen. Deshalb setzen Unternehmen in vielen Bereichen auf eine Videoüberwachung und installieren auf dem Firmengelände und in den Räumlichkeiten meist mehrere Kameras. Hierbei werden in der Regel neben Gegenständen auch Personen wie Beschäftigte, Kunden oder Besucher aufgezeichnet. Eine solche Videoüberwachung stellt unabhängig davon, ob die Bilder aufgezeichnet und gespeichert werden oder nicht, einen Eingriff in das Persönlichkeitsrecht der gefilmten Personen dar, da überwacht wird, wann sie sich wo aufhalten und was sie dort tun. Nachdem die DS-GVO die Rechte der Betroffenen erheblich gestärkt hat, ist [...]

Geburtsdatum als alleiniges Authentifizierungsmittel ungeeignet

Wie wichtig es ist, die datenschutzrechtlichen Vorgaben in alle Prozesse eines Unternehmens zu integrieren und betriebliche Abläufe entsprechend datenschutzkonform zu gestalten, zeigt das Bußgeld gegen den Telekommunikationsdienstleister 1&1 Telecom GmbH. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) verhängte gegen das Unternehmen Anfang Dezember 2019 ein Bußgeld in Höhe von 9,55 Millionen Euro wegen der mangelnden Sicherheit beim Authentifizierungsverfahren des telefonischen Kundenservices. Das eingesetzte Verfahren sei aufgrund unzureichender technischer und organisatorischer Maßnahmen nicht geeignet, um die Weitergabe von Kundendaten an Unberechtigte zu vermeiden. Nachdem die 1&1 Telecom GmbH Einspruch gegen die Geldbuße erhoben hatte, wurde Anfang Oktober 2020 vor dem Landgericht (LG) Bonn das erste Verfahren gegen ein Millionenbußgeld nach der DS-GVO in Deutschland eröffnet (Az.: 29 OWi 1/20 LG). Hintergrund des Bußgelds [...]

Schwere Missachtung des Beschäftigten-Datenschutzes: 35 Millionen € Bußgeld

Ende Januar 2020 eröffnete der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit gegen die bekannte Modekette H&M ein Bußgeldverfahren wegen Verstöße gegen den Beschäftigtendatenschutz. Nach umfangreichen Ermittlungen verhängte er nun gegen das Modehaus wegen der jahrelangen schwerwiegenden strukturellen Missachtung des Beschäftigtendatenschutzes das bisher höchste deutsche Bußgeld in Höhe von über 35 Millionen Euro. Das Wichtigste in Kürze Mitarbeiter des Unternehmens am Standort Nürnberg sammelten bei Gesprächen mit ihren Angestellten in großem Umfang private Informationen über diese. Die umfangreichen Datensätze mit detaillierten Informationen zum Gesundheitszustand und Beziehungsleben der Mitarbeiter existierten spätestens seit 2014 und waren bis zu deren Entdeckung im Oktober 2019 bis zu 50 Führungskräften zugänglich. Die betroffenen Mitarbeiter hatten keine Kenntnis davon, dass diese Daten gesammelt wurden. Durch einen Konfigurationsfehler war der Ordner im [...]

Nach oben