Die Praxisübernahme und das „Zwei-Schrank-Modell“

Was passiert eigentlich mit Behandlungsunterlagen, wenn eine Nachfolgerin oder ein Nachfolger eine Arztpraxis übernimmt oder wenn eine neue Betriebsärztin auf den bisherigen Betriebsarzt folgt? Das „Zwei-Schrank-Modell“ stellt in solchen Fällen den Datenschutz sicher.

Höchster Schutz für medizinische Daten

Wer sich ärztlich behandeln lässt, erwartet für seine Daten höchsten Schutz. Die ärztliche Schweigepflicht spielt dabei eine zentrale Rolle. Sie muss auch dann gewahrt bleiben, wenn ein Nachfolger eine Arztpraxis übernimmt oder wenn der Betriebsarzt wechselt.

Aufbewahrungspflicht von zehn Jahren

Rein rechtlich ist alles klar: Nach Abschluss einer Behandlung muss ein Arzt die Patientenakte zehn Jahre lang aufbewahren. Das steht so in § 630f Abs. 3 Bürgerliches Gesetzbuch (BGB). Diese Pflicht besteht fort, wenn ein Arzt beispielsweise in den Ruhestand tritt und die Praxis an einen Nachfolger übergibt. Die Patientenunterlagen müssen weiterhin zuverlässig geschützt sein.

Zu schnell steht die Aufbewahrungspflicht nur auf dem Papier

Doch wie lässt sich das in der Praxis sicherstellen? Der bisherige Praxisinhaber will sich im Ruhestand um die Unterlagen nicht mehr kümmern. Und ein Betriebsarzt, der ausgeschieden ist, hat inzwischen auch anderes zu tun. Verständlich, dass er sich mit den vorhandenen Unterlagen am liebsten nicht mehr befassen möchte.

Die Elemente des „Zwei-Schrank-Modells“

Einen Ausweg aus diesem Dilemma bietet das „Zwei-Schrank-Modell“. Die Datenschutzaufsichtsbehörden empfehlen es. Inzwischen ist es allgemein üblich. Für klassische Patientenakten auf Papier funktioniert es in einer Arztpraxis so:

  • Man stellt in der Arztpraxis zwei Schränke auf.
  • In Schrank 1 kommen die Unterlagen, die bei der Tätigkeit des bisherigen Praxisinhabers entstanden sind. Sie werden eingeschlossen.
  • Schrank 2 ist zunächst völlig leer.
  • Den Schlüssel für beide Schränke erhält der Praxisnachfolger.
  • Der bisherige Inhaber der Praxis und sein Nachfolger schließen einen Vertrag. Darin verpflichtet sich der Nachfolger, die vorhandenen Unterlagen streng gesichert in Schrank 1 aufzubewahren.
  • Kommt ein Patient des bisherigen Praxisinhabers zum Nachfolger, fragt dieser den Patienten, ob er den Zugriff auf die vorhandenen Unterlagen erlaubt.
  • Meist ist das der Fall. Dann wird Schrank 1 geöffnet und die dort vorhandenen Unterlagen des Patienten kommen in Schrank 2.
  • Nach einiger Zeit hat sich Schrank 1 meist ziemlich geleert und Schrank 2 ziemlich gefüllt.
  • Die „Restunterlagen“ in Schrank 1 bleiben dort, bis die Aufbewahrungsfrist von zehn Jahren abgelaufen ist. Dann werden diese Unterlagen datenschutzgerecht vernichtet.

Das Modell funktioniert auch bei elektronischen Unterlagen

Das Beispiel der klassischen Patientenakten auf Papier ist besonders leicht nachzuvollziehen. Das Modell funktioniert jedoch auch, wenn die Patientenunterlagen in elektronischer Form vorhanden sind. In wenigen Jahren dürfte das die Regel sein. In diesem Fall wird das „Zwei-Schrank-Modell“ einfach elektronisch nachgebildet.

Der vorhandene Datenbestand wird bei der Übergabe der Praxis gesperrt und besonders gegen Zugriff gesichert. Erst wenn der Patient gegenüber dem Praxisnachfolger zustimmt, schaltet der Praxisnachfolger den Datensatz frei. Das muss er selbstverständlich nicht unbedingt persönlich tun. Auch jemand aus dem Sprechstundenteam, der dafür besonders eingewiesen ist, kann das erledigen.

Besonders datenschutzkonform: die Protokollierung von Zugriffen

Die elektronische Variante ist besonders datenschutzkonform. Bei ihr ist es problemlos möglich, jeden Zugriff zu protokollieren. Wenn die Protokollierung richtig eingerichtet ist, lassen sich die gespeicherten Daten im Nachhinein nicht mehr verändern. Dann lässt sich bei etwaigen Beschwerden leicht feststellen, ob alles ordnungsgemäß abgelaufen ist oder nicht.

Kleine Besonderheiten beim Wechsel des Betriebsarztes möglich

Beim Wechsel des Betriebsarztes lässt sich das Modell an die Strukturen anpassen, die jeweils vorhanden sind. Manche Unternehmen haben die Funktion des Betriebsarztes bei einer externen Praxis angesiedelt, die auch die Patientenunterlagen aufbewahrt. Dann passt alles, was bisher gesagt wurde, 1:1. Bei anderen Unternehmen erfolgt die Aufbewahrung der Patientenunterlagen im Unternehmen selbst. Zugriff hat dabei selbstverständlich nur der Betriebsarzt. In diesem Fall müsste der Schlüssel für die vorhandenen Unterlagen so lange beim bisherigen Betriebsarzt bleiben, bis ein neuer Betriebsarzt bestimmt ist.

EU-Hinweisgeber Richtlinie umsetzen bis zum 17.12.2021

EU-Hinweisgeber Richtlinie

Bis wann muss die EU-Hinweisgeber Richtlinie umgesetzt werden?

Die EU-Whistleblower-Richtlinie (EU-Hinweisgeber Richtlinie) wurde zum 16.12.2019 beschlossen und muss spätestens bis zum 17.12.2021 in deutsches Recht umgesetzt werden.

Das grundlegende Ziel der EU-Whistleblower-Richtlinie ist es, die Aufdeckung und Unterbindung von Rechtsverstößen zu forcieren. Gleichzeitig sollen aber die Hinweisgeber („Whistleblower“) sowie gegebenenfalls Dritte / Vermittler, die bei der Meldung unterstützen, besser geschützt werden. Es soll vermieden werden, dass diese Personen negative zivil-, straf- oder verwaltungsrechtliche Konsequenzen im Nachgang zu einer Meldung befürchten müssen.

Was ist eine EU-Richtlinie?

EU-Verordnungen (wie die Datenschutz-Grundverordnung oder DSGVO) sind verbindliche Rechtsakte, die alle EU-Mitgliedsstaaten umsetzen müssen. Sie treten zu einem festgelegten Datum in allen Mitgliedsstaaten in Kraft. Eine Richtlinie hingegen gibt vor, was die einzelnen Mitgliedstaaten in der Gesetzgebung erreichen müssen, doch die Staaten können frei entscheiden, wie sie die Richtlinie innerhalb von zwei Jahren in nationales Recht umsetzen. Folglich wird es in der EU zweifellos gesetzliche Unterschiede geben.

Schon jetzt ist klar, dass die Regelungen der Richtlinie als Mindeststandard umgesetzt werden müssen, über das nationale Gesetz können noch mehr Pflichten kommen, keinesfalls aber weniger. Unternehmen und Behörden sollten daher unbedingt die verbleibende Zeit für die Einführung eines richtlinienkonformen Meldekanals nutzen. Sollte die Umsetzungsfrist ablaufen, ohne dass ein entsprechendes Gesetz in Deutschland vorliegt, werden sich die Hinweisgeber bezüglich ihrer Schutzrechte direkt auf die EU-Richtlinie berufen.

Pflichten für Unternehmen

Jedes Unternehmen ab 50 Beschäftigten muss künftig besondere interne Meldekanäle einrichten, über die ein Hinweisgeber mögliche Verstöße melden kann. Die Vertraulichkeit der Meldung muss dabei geschützt sein, bezüglich aller in der Meldung enthaltenen Daten müssen die Anforderung der DSGVO beachtet werden.

Pflichten für Behörden, öffentliche Verwaltung und Non-Profit-Sektor

Die Pflicht zur Einrichtung von Meldekanälen trifft auch die öffentliche Hand. Alle juristischen Personen des öffentlichen Rechts sind betroffen (Körperschaften und Anstalten des öffentlichen Recht, öffentlich-rechtliche Stiftungen), einschließlich privatrechtlicher Gesellschaften im Eigentum der öffentlichen Hand (z.B. städtische Betriebsgesellschaften). Auch die Gemeinden sind verpflichtet. Die EU erlaubt, Gemeinden mit weniger als 10.000 Einwohnern herauszunehmen. Der Gesetzesentwurf sieht das für Deutschland so vor.

Für weitere Informationen rufen Sie uns an oder besuchen Sie unsere Webseite zu diesem Thema: Hinweisgebersystem

Datenauskunft als Datenpanne?

Datenauskunft als Datenpanne

Die Umsetzung der DSGVO bereitet gerade bei den Betroffenenrechten weiterhin Probleme. So haben Unternehmen oftmals noch keinen richtigen Prozess, um Auskunftsersuchen datenschutzgerecht nachzukommen. So muss etwa geklärt werden, ob die anfragende Person wirklich die betroffene Person ist.

Fristen einzuhalten ist nicht alles

Stellen Sie sich vor, Sie sollen einen Antrag auf Auskunft bearbeiten. Sie müssen feststellen, ob Ihr Betrieb personenbezogene Daten verarbeitet, die die anfragende Person betreffen. Ist das der Fall, klären Sie, welche Daten dies sind und zu welchem Zweck Ihr Betrieb sie verarbeitet. Sie bereiten nun eine Kopie der personenbezogenen Daten vor, die Gegenstand der Verarbeitung sind, um diese Informationen zur Verfügung zu stellen.

Dabei können Sie sich nicht beliebig Zeit lassen. Denn die Auskunft muss unverzüglich, also ohne schuldhaftes Zögern, erteilt werden, spätestens jedoch binnen eines Monats nach Eingang des Auskunftsersuchens. Nun darf es aber nicht passieren, dass Sie möglichst schnell die Datenkopie verschicken – sonst könnte die Datenauskunft zu einer Datenpanne werden.

Die Identität des Antragstellers muss geklärt sein

Die Aufsichtsbehörden für den Datenschutz haben mehrfach deutlich gemacht: Es muss sichergestellt sein, dass die zu beauskunftenden Daten nicht unbefugten Dritten zur Verfügung gestellt werden. Hierauf ist auch insbesondere bei mündlicher oder elektronischer Auskunftserteilung zu achten.

Das bedeutet somit, dass Sie sicherstellen müssen, dass die Person, die die Auskunft wünscht, auch tatsächlich das Recht dazu hat, also tatsächlich die betroffene Person oder eine von der betroffenen Person bevollmächtigte Person ist. Das sollte jedes Unternehmen durch einen Prozess sicherstellen. Bei vielen Unternehmen ist dem aber noch nicht so, auch wenn die DSGVO bereits drei Jahre zur Anwendung kommt.

Nicht auf die falsche Prüfung der Identität setzen

Nun gibt es verschiedene Wege, um die Identität einer anfragenden Person zu überprüfen. Dabei muss dieser Weg zum einen datenschutzgerecht sein, also zum Beispiel keine unnötigen Daten abfragen. Zum anderen muss der gewählte Weg aber auch sicher genug sein.

Wenn Sie das Verfahren in Ihrem Unternehmen noch nicht kennen, erkundigen Sie sich bitte, bevor Sie ein Auskunftsersuchen bearbeiten. Wichtig ist auch, dass Sie die Einschränkungen der Verfahren kennen, die gern in der Praxis genutzt werden.

Ob beispielsweise die Identifizierung über ein Nutzerkonto (also Benutzername und Passwort) sicher ist, hängt sehr stark vom Passwort ab, das der Nutzer vergeben hat. Ist es zu leicht zu knacken, können Angreifer Nutzerkonten übernehmen und damit weitere Daten ausspähen – womöglich dann über ein Auskunftsersuchen mit gefälschter Identität.

Kennt also eine anfragende Person das Passwort der betroffenen Person, das für einen Online-Dienst Ihres Unternehmens besteht, und kann sie sich einloggen, bedeutet dies nicht, dass es wirklich die betroffene Person ist, die die Anfrage stellt. Seien Sie also vorsichtig, denn Identitätsdiebstahl im Internet greift um sich. So basieren die stark verbreiteten Phishing-Attacken genau auf einer gefälschten digitalen Identität, die Vertrauen erwecken und vertrauliche Daten herauslocken soll. Das Auskunftsersuchen per Mail kann also auch eine Fälschung sein.

Wie steht es um die Sicherheit personenbezogener Daten?

Wie steht es um die Sicherheit personenbezogener Daten?

Drei Jahre müssen Unternehmen und Behörden die Datenschutz-Grundverordnung nun schon anwenden. Doch scheinen die Sicherheitsvorfälle und Datenpannen noch größer und häufiger als früher zu sein. Kommt die Datensicherheit nicht von der Stelle? Kann es überhaupt Datensicherheit geben?

DSGVO fordert eine sichere Verarbeitung personenbezogener Daten

Die Datenschutz-Grundverordnung lässt keinen Zweifel. Sie fordert ausdrücklich: Die Vertraulichkeit, Integrität und Verfügbarkeit der personenbezogenen Daten und die Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung der Daten müssen auf Dauer sichergestellt sein.

Nun könnte man vermuten, dass drei Jahre Anwendung der DSGVO dazu geführt hätten, dass IT-Sicherheitsvorfälle und damit Verletzungen der genannten Schutzziele für personenbezogene Daten inzwischen seltener auftreten. Doch offensichtlich ist das nicht der Fall. Die Schlagzeilen der Tagespresse sind voll von Meldungen über Datenverluste, Datenmissbrauch und Spionageangriffe auf Unternehmen und Behörden.

Ist die Forderung der DSGVO nach einer umfassenden Sicherheit der personenbezogenen Daten unrealistisch? Kann wirkliche Datensicherheit vielleicht gar nicht gelingen?

Hundertprozentige Sicherheit gibt es nicht, aber…

Kein Sicherheitsexperte würde behaupten, dass es eine hundertprozentige Sicherheit gibt, daran kann auch die DSGVO nichts ändern. Trotzdem ist die Forderung nach Datensicherheit ein zwingender Bestandteil des Datenschutzes. Nur weil die Meldungen über Millionen von Datensätzen, die ungeschützt im Internet gefunden wurden, nicht abreißen, kann man auf die Maßnahmen des technischen Datenschutzes nicht verzichten.

Tatsächlich ist es so, dass die Maßnahmen der Datensicherheit durchaus Sicherheitsvorfälle und Datenpannen vermeiden, es also ohne diese Maßnahmen viel mehr Schaden für die Betroffenen von Datenverlust und Datenmissbrauch geben würde. Sicherheitsexperten sagen, dass selbst Basisschutzmaßnahmen helfen können, die Mehrzahl möglicher Angriffe zu verhindern.

Für besonders raffinierte Angriffe und komplexe Vorfälle braucht man dagegen besondere Schutzmaßnahmen. Doch auch diese können keine Garantie bieten.

Wirksamkeit der Schutzmaßnahmen muss dauerhaft überwacht werden

Aus gutem Grund fordert die DSGVO neben den Sicherheitsmaßnahmen auch ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. So kann es durchaus sein, dass eine ergriffene Maßnahme nicht das erfüllt, was man für die Sicherheit erwartet hat. Es kann aber auch sein, dass eine Schutzmaßnahme für eine gewisse Zeit greift, dann aber keine zuverlässige Datensicherheit mehr bieten kann. Dies soll durch die Kontrolle der Wirksamkeit erkannt werden, um die Schutzmaßnahmen dann zu optimieren.

Entscheidend für die Datensicherheit ist dabei der Stand der Technik, wie die DSGVO fordert. So kann zum Beispiel eine Verschlüsselung in der Zukunft nicht mehr stark genug sein, da die Angreifer dann Mittel haben, um sie zu brechen.

Neben neuen Angriffsmethoden sind es auch die neuen Technologien, die die Datensicherheit immer wieder herausfordern. Neue Technik bringt neue Schwachstellen mit sich, die Angreifer ausnutzen könnten. Aber auch bestehende Technik kann Sicherheitslücken enthalten, die erst später bekannt werden.

Datensicherheit ist und bleibt eine Daueraufgabe

Sieht man also genauer hin, so darf man sich nicht wundern, dass auch drei Jahre nach Anwendung der DSGVO Sicherheitsvorfälle auftreten und der Datenschutz verletzt wird, weil die Datensicherheit unzureichend war. Das kann an der Wahl der falschen Maßnahmen liegen, an fehlendem Schutz, an Vorfällen, die sich technisch gar nicht verhindern lassen, aber auch an der hohen Dynamik der IT und der Bedrohungslage.

Die Sicherheit der Verarbeitung personenbezogener Daten ist also nicht etwa schlechter geworden, weil immer noch viele Datenpannen auftreten. Stattdessen kann man annehmen, dass die Zahl der gemeldeten und entdeckten Vorfälle zugenommen hat – das ist also ein gutes Zeichen für den Datenschutz, wenn man Datenschutzverletzungen nicht übersieht, sondern meldet und abstellt. Das ist durchaus als Erfolg der DSGVO zu sehen, die die Meldepflichten stärker in den Blick der Unternehmen gerückt hat.

Gleichzeitig gilt es, weiterhin die Sicherheit der Daten auf ihre Wirksamkeit hin zu untersuchen. Dazu gehört es auch, Sicherheitsfunktionen nicht zu umgehen oder zu deaktivieren, weil sie scheinbar den Komfort reduzieren. Das würde dann tatsächlich den Datenschutz verschlechtern. Das gilt heute und wird auch in Zukunft so sein.

Frohe Weihnachten von DSBOK

2020 hat uns einiges gelehrt. Vor allem aber, dass Gesundheit das wertvollste Gut ist. Wir alle haben gelernt dankbar für das zu sein, was wir haben und es mehr wertzuschätzen.

Wie jedes Jahr verzichten wir auch 2020 auf Weihnachtsgeschenke für unsere Kunden und spenden dieses Jahr an den Weltfriedensdienst e.V. in Berlin, der sich seit 1959 für Frieden, Menschenrechte und nachhaltige Entwicklung einsetzt.

 

 

 

 

 

 

Allein im Jahr 2019 hat der Weltfriedensdienst in 22 Ländern mit 42 Projekten zehntausende Menschen – Kinder, Frauen und Männer – unterstützt.

Besonders beeindruckend fanden wir folgendes:
Aus dem Jahresbericht 2019 geht hervor, dass nur 5,9% der in diesem Jahr gesammelten Spenden für Verwaltung, Öffentlichkeitsarbeit und Werbung genutzt wurde. So können wir sicher sein, dass unsere Spende auch wirklich da ankommt, wo sie hin soll: zu den Menschen die dringend Hilfe brauchen.

In diesem Sinne wünschen wir Ihnen und Ihrer Familie dieses Jahr zu Weihnachten eine besinnliche Zeit zusammen, Glück und vor allem Gesundheit. Und einen guten Rutsch ins neue Jahr.

Ihr DSBOK Team,
Violetta Krause, Chantal Krause, Philipp Krause, Oliver Krause, Michael Bense

 

DSGVO Regeln Videoüberwachung

Regeln für Videoüberwachung

Die Videoüberwachung an nicht-öffentlichen Stellen greift täglich in die Rechte und Freiheiten von Personen ein. Bereits einfachste Überwachungsanlagen verarbeiten erheblich personenbezogene Daten, wie an welchem Tag, um wie viel Uhr, wie lange und an welchem Ort sich die betroffene Person aufhält.
Doch werden Kameras nicht nur zur Sicherheit genutzt, sondern auch eingesetzt um das äußere Erscheinungsbild und Gefühlsregungen oder das Einkaufverhalten von Personen zu analysieren.
Die erfassten Informationen werden in Sekundenbruchteilen erfasst, ausgewertet und vervielfältigt. Sie können in Echtzeit eingesehen und fast unbegrenzt gespeichert werden.
Betroffene haben meist kaum Einfluss auf diese Verarbeitung ihrer personenbezogenen Daten und erfahren selten, welche Daten überhaupt verarbeitet werden und was mit ihnen geschieht.

Die DSK hat zu diesem Thema nun eine Orientierungshilfe erstellt, die die DSGVO Regeln für die Videoüberwachung an nicht-öffentlichen Stellen erläutert. Dabei wurden die Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, angenommen am 29. Januar 2020, berücksichtigt. Neu hinzugekommen sind die Abschnitte zur Videoüberwachung in der Nachbarschaft und zur datenschutzrechtlichen Bewertung von Tür- und Klingelkameras, Drohnen und Wildkameras sowie Dashcams.

Betroffene und Verantwortliche erhalten in der DSGVO Hilfe für Videoüberwachung  Informationen für die datenschutzgerechte Videoüberwachung in unterschiedlichen Bereichen, sowie Muster für Hinweisschilder. Darüber hinaus wird eine Checkliste mit den wichtigsten Prüfungspunkten im Vorfeld einer Videoüberwachung bereitgestellt.

Die wichtigsten Schritte, die bei der Videoüberwachung zu erledigen sind:

  1. Protokollierung der Verarbeitungstätigkeit
  2. Auditierung der Videoanlage
  3. Datenschutzfolgeabschätzung für die Videoüberwachung
  4. Informationspflicht nach DS-GVO nachkommen

Für alle Schritte sind Muster auf Anfrage bei uns erhältlich.

Die DSGVO Richtlinien zur Videoüberwachung der DSK können Sie hier herunterladen.

Problem „Privacy Shield ungültig“ – Datenübermittlung in die USA

Ende Privacy Shield

Nahezu jedes Unternehmen übermittelt Daten in die USA. Seit Kurzem hört man viel vom „Ende des Privacy Shield“. Auf den ersten Blick scheint das ein Thema nur für Spezialisten. Es hat aber Auswirkungen auf den Alltag im Unternehmen.


Übermittlungen in die USA nur bei angemessenem Datenschutzniveau

Die USA sind kein Teil der Europäischen Union, sie sind vielmehr ein „Drittstaat“. Die Übermittlung von personenbezogenen Daten in die USA ist deshalb an besondere Voraussetzungen gebunden. Sie ist nur zulässig, soweit in den USA ein „angemessenes Datenschutzniveau“ herrscht.

Der Privacy Shield – bisher praktisch und bequem

An dieser Stelle kommt der „Privacy Shield“ ins Spiel. Es handelte sich dabei um eine Art Register. Jedes US-Unternehmen, das bestimmte Voraussetzungen des Datenschutzes erfüllte, konnte sich dort eintragen lassen. Die Europäische Kommission hatte förmlich festgelegt: Wenn ein US-Unternehmen registriert ist, herrscht in diesem Unternehmen ein angemessenes Datenschutzniveau. Über 5.500 US-Unternehmen haben diese Möglichkeit genutzt. Dazu gehören auch Internet-Giganten wie Google.
Der Vorgänger des Privacy-Shield war das Safe-Habour Abkommen, dass bereits gekippt wurde.

Europäische Unternehmen als Nutznießer

Nutznießer dieses Verfahrens waren vor allem die europäischen Geschäftspartner der registrierten US-Unternehmen. Diese Geschäftspartner konnten an ihre US-Partner personenbezogene Daten genauso leicht übermitteln wie an Geschäftspartner innerhalb der Europäischen Union. Das war praktisch und bequem.

Der Privacy Shield EuGH Urteil– aus und vorbei!

Mitte Juli 2020 stoppte der Europäische Gerichtshof (EuGH) diese Verfahrensweise. Er stellte fest, dass der „Privacy Shield“ gerade nicht für ein angemessenes Datenschutzniveau bei den registrierten US-Unternehmen sorgt. Die Folge: Vielen Datenübermittlungen in die USA fehlt jetzt eine tragfähige rechtliche Grundlage.

Schwierige Situation für alle Unternehmen

Das Urteil wirkte wie ein Keulenschlag. Es räumt keinerlei Übergangsfrist ein. Die Rechtsgrundlage „Privacy Shield“ fiel über Nacht weg. Das führt im Augenblick zu folgender Situation:

  • In manchen Fällen gibt es noch eine weitere Rechtsgrundlage für die bisher üblichen Datenübermittlungen in die USA. Das ist etwa der Fall, wenn eine Datenübermittlung erforderlich ist, um einen Vertrag mit einem Kunden ordnungsgemäß zu erfüllen. Dann ist die Übermittlung schon unmittelbar nach der Datenschutz-Grundverordnung zulässig. In diesem Fall kann alles einfach so weiterlaufen wie bisher. Dies betrifft aber nur direkten Verträge. Es trifft also nicht zu, wenn die Datenübermittlung indirekt stattfindet.
  • Ziemlich oft ist es jedoch so, dass der Privacy Shield die einzige rechtliche Basis für die Datenübermittlung in die USA war. Dann muss bildlich gesprochen schnell eine neue Rechtsgrundlage her. Das ist eine große rechtliche Herausforderung.

Enorme Bedeutung für Geschäfte mit den USA

Dies ist der Hintergrund dafür, warum die Datenübermittlungen in die USA in der nächsten Zeit vielleicht auch für Sie ein Thema sein werden. Das kommt im Augenblick sicher ungelegen. Schließlich machen die Corona-Folgen schon genügend Mühe. Das Thema ist aber wichtig, damit unentbehrliche Datenübermittlungen in die USA auch künftig rechtskonform ablaufen können.

Wenn Sie mehr über das Thema wissen wollen

Das Thema ist zu komplex um es in einem Blog Beitrag zu beschreiben und Ihnen die nötige Rechtssicherheit zu geben. Wenn Sie zu dem Thema weitere Informationen benötigen, sprechen Sie uns an und fordern Sie unser umfangreiches Dokument „Prüfung der Datenübermittlung in Drittstaaten“.

Geschäftsgeheimnisse besser schützen – ansonsten geht der Rechtsschutz verloren

datenpannen fehlversendungen

Seit dem 18. April diesen Jahres ist das Gesetzt zum Schutz von Geschäftsgeheimnissen (GeschGehG) in deutsches Recht transformiert. Damit ist nicht mehr nur der Schutz von personenbezogenen Daten, sondern auch von Betriebsdaten geregelt. Für Unternehmen resultieren daraus einschneidende Änderungen, die noch nicht in allen Firmen angekommen ist. Dabei wäre es wichtig sich intensiv mit dem Gesetz zu beschäftigen!

Unternehmen müssen Datenschutzmaßnahmen überprüfen

Es legt nämlich nicht nur fest, was unter ein Betriebs- oder Geschäftsgeheimnis fällt, sondern bietet nur noch rechtlichen Schutz, wenn Unternehmen bestimmte Geheimhaltungs- und Datenschutzmaßnahmen getroffen haben. Das neue Gesetz sollte für jedes Unternehmen der Anlass sein die eigenen Schutzvorkehrungen eingehend zu prüfen, denn es genießt nur noch derjenige Schutz, der seine Betriebsgeheimnisse gesichert hat.
Mit dem GeschGehG wird eine EU-Richtline in nationales Recht umgesetzt. Ziel ist der Schutz von Geschäftsgeheimnissen vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung. Laut der GeschGehG ist ein Geschäftsgeheimnis nun eine Information, „die weder insgesamt noch in der genauen Anordnung und Zusammensetzung ihrer Bestandteile den Personen in den Kreisen, die üblicherweise mit dieser Art von Informationen umgehen, allgemein bekannt oder ohne weiteres zugänglich ist und daher von wirtschaftlichem Wert ist.“ Auch muss ein Geschäftsgeheimnis Gegenstand von „angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber“ sein.

Rechtsschutz nur mit Sicherheitsmaßnahmen

Bei einem geklauten Fahrrad hat nur derjenige eine Chance auf Schadensersatz oder vor Gericht, der sein Fahrrad auch abgeschlossen hat. Wer es einfach so auf der Straße stehen lässt handelt fahrlässig. Genauso werden Unternehmen vor Gericht Probleme bekommen, wenn sie bei sich zum Beispiel Datenklau feststellen und nicht für ausreichenden Schutz der Daten gesorgt haben. Unternehmen müssen also aktiv werden und angemessene Maßnahmen zum Schutz ihrer Geschäftsgeheimnisse treffen, um im Falle einer rechtswidrigen Nutzung oder Offenlegung Unterlassungs- oder Schadensersatzansprüche geltend machen zu können.
Zu den neuen Anforderungen der Schutzmaßnahmen gehörten unter anderem organisatorische und technische Maßnahmen, wie etwa die Einordnung von Arbeitnehmern nach bestimmten „Geheimhaltungsstufen“ oder das Einführen von Zugriffsbeschränkungen, Passwörtern und Zugangscodes. Es sollten aber auch eindeutige vertragliche Regelungen zum Schutz und zur Nutzung von Betriebsgeheimnissen getroffen werden, die sich auf Offenlegungen innerhalb eines Unternehmens oder gegenüber Dritten bestehen.

Dokumentation des Konzepts für Datenschutz

Außerdem sollten Unternehmen ihr Schutzkonzept umfassend dokumentieren, um angemessene Geheimhaltungsmaßnahmen nachweisen zu können. Mein Rat dazu: Je bedeutender und geheimer Daten und die daraus resultierenden Informationen sind, desto höhere Anforderungen sind an das Schutzkonzept zu stellen.
Das GeschGehG bedeutet für Unternehmen also einen gewissen Aufwand, denn es wird ein höherer Gehemnisschutz in technischer, organisatorischer und rechtlicher Hinsicht verlangt. Insgesamt ist das Gesetz aber ein Fortschritt für Unternehmen, denn sie profitieren von einem deutlich verbesserten Rechtsschutz und haben eine größere Absicherung – vorausgesetzt sie werden aktiv und kümmern sich darum.

Grundsätzlich ist zu sagen, dass mit dem GeschGehG endlich der immer weiter steigenden Bedeutung von Geschäftsgeheimnissen in einer globalen Wirtschaftswelt Rechnung getragen wird, wie sie nun mal in einer modernen Wissens- und Datengesellschaft existiert.

Die DSGVO wirkt – es gibt aber noch viel zu tun!

1 Jahr DSGVO

Vor gut einem Jahr ist die DSGVO in Kraft getreten und der allgemeine Tenor in der deutschen Öffentlichkeit ist leider eher negativ. Zu kompliziert, sorgt nur für Probleme und schwierig umzusetzen sind die häufigsten Vorurteile. Das ist eine falsche Darstellung, die leider eine abschreckende Wirkung hat. Dabei ist es für Unternehmen unerlässlich, sich mit dem wichtigen Thema Datenschutz zu beschäftigen.

Die negative Darstellung der DSGVO finde ich sehr ärgerlich, denn dadurch ist der Datenschutz immer noch ein Thema, das in Unternehmen zu langsam ankommt. Es wird nicht ernst genug genommen oder Unternehmer sind abgeschreckt sich damit zu beschäftigen. Und dabei ist das Thema Datensicherheit für jedes Unternehmen ein existentiell wichtiger Bereich.

Unternehmen müssen den Datenschutz stärker priorisieren

Über die Einführung der DSGVO ist die Problematik von eklatanten Sicherheitslecks beim Datenschutz in Unternehmen erst aufgedeckt worden und eine Sensibilisierung hat eingesetzt. Diese Sicherheitslecks resultieren meistens aus veralteter EDV und überholten Softwareprogrammen. Viele Unternehmen haben sich vor Investitionen in die Aktualisierung ihrer EDV gescheut und damit die Türen für Sicherheitslücken weit geöffnet. Das aber nicht so wahrgenommen.

Die Sensibilisierung für das Thema Datenschutz hat aber dank der DSGVO begonnen und die Umsetzung ist gar nicht so kompliziert! Ich habe zum Beispiel aus den Anforderungen der DSGVO eine Reihe von technisch-organisatorischen Maßnahmen (TOMs) entwickelt, über die alle Probleme erkannt und gelöst werden können. In meinen TOMs habe ich 97 Punkte festgelegt, über die der Sicherheitsstandard in Unternehmen definiert wird. Das fängt schon mit der Schlüsselregelung für die Büroräume oder mit der Auswahl des Putzpersonals an und zieht sich bis zu den Passwortregeln oder dem Rollen- und Rechtesystem. Das sind wichtige Punkte, die oftmals weder von der IT-Abteilung noch von der Geschäftsführung beachtet werden.

Die Umsetzung der DSGVO geht zu langsam voran

Bei allen Fortschritten im letzten Jahr geht die Umsetzung in den Unternehmen allerdings immer noch viel zu langsam voran. Oft läuft alles noch nach dem Motto „Das machen wir mal nebenbei“ und so ist es kein Wunder, dass erst 46 Prozent der Unternehmen in Deutschland DSGVO-konform sind. Das muss ernster genommen werden. Und der Aufwand ist viel niedriger als man denkt: Wenn man die Mängel im technisch-organisatorischen Bereich in einem Stück abstellt macht das den Aufwand 2/3 kleiner, als wenn das stückchenweise passiert. Unterbrechungen im Ablauf sind einfach ineffizient und sollten vermieden werden.

Sehr ärgerlich finde ich es auch, dass momentan Politiker fordern den Geltungsbereich der DSGVO nicht mehr auf den Mittelstand und kleine Unternehmen anzuwenden. Das ist kontraproduktiv und könnte den Schwung, den wir beim Thema Datensicherheit haben wieder verlangsamen. Es ist wichtig klarzustellen, dass Datenschutz für jedes Unternehmen äußerst wichtig ist – egal welche Größe es hat.

Datenschutz muss zum Standard in Unternehmen werden

Datensicherheit und der Schutz personenbezogener Daten muss zu einer Standard-Aufgabe für jedes Unternehmen werden. So wie das Anlegen des Sicherheitsgurts beim Auto fahren inzwischen eine Selbstverständlichkeit ist über die die wenigsten noch nachdenken. Das gilt auch für jedes Auto und nicht nur für die großen Limousinen. In einem Kleinwagen ist es genauso wichtig.

Ein weiterer wichtiger Punkt zu mehr Datensicherheit ist die Weiterbildung der IT-Mitarbeiter. Hier müssen die Unternehmensleiter etwas investieren. Die Anforderungen an diese Mitarbeiter werden nämlich immer größer und das Thema entwickelt sich schnell weiter. Gerade im Bereich Netzsicherheit. Ein Budget für die Investitionen in die IT und die Mitarbeiter sollte ein Automatismus in den Unternehmen sein.

Aufmerksamkeit für das Thema Datensicherheit verstärken

Mein Resümee nach einem Jahr DSGVO ist also, dass wir alle dankbar sein sollten das damit das Thema Datensicherheit und der Schutz personenbezogener Daten in Deutschland endlich stärker ins Bewusstsein der Unternehmen gerückt ist. Es war höchste Zeit die Aufmerksamkeit darauf zu lenken. Nun müssen wir noch daran arbeiten, dass es nicht als so kompliziert und schwierig umzusetzen wahrgenommen wird. Denn eins ist klar: Um das Thema Datensicherheit kommt kein Unternehmen herum!

 

Lesen Sie dazu auch meinen Artikel zum Schutz von Geschäftsgeheimnissen (GeschGehGz), das am 1. April 2019 in Kraft getreten ist.