WhatsApp ändert Datenschutzrichtlinien

Warum Whatsapp und co. für Firmen ungeeignet sind und welche Alternativen Sie datenschutzkonform nutzen können

Was früher vom Nutzer abgelehnt werden konnte, ist ab Februar 2021 verpflichtend: So werden künftig alle Daten aus Whatsapp an Facebook und zu Facebook gehörigen Unternehmen übermittelt. Wer dem nicht zustimmt, kann die App ab dem 15.2.2021 nicht mehr nutzen.

Zukünftig könnte man also kontextbezogene Vorschläge von Whatsapp erhalten, wie zum Beispiel in einem harmlosen Fall, beim aus tauschen von Rezepten auf Whatsapp einen Vorschlag chefkoch.de zu besuchen.
Whatsapp möchte damit erreichen, neue Dienste entwickeln zu können, wie etwa eine Bezahlfunktion über Facebook Pay oder die Möglichkeit plattformübergreifend chatten zu können.

Laut Aussage von WhatsApp gelten die neuen Datenschutzbestimmungen erstmal nicht in Europa. Die neuen Datenschutzbestimmungen müssen aber trotzdem von Europäern akzeptiert werden.

Die Nutzung von Whatsapp für die Kundenkommunikation ist schon seit Inkrafttretens der DSGVO 2018 kritisch. Insbesondere ohne die Nutzung von Whatsapp Business.

Besonders kritisch ist das Nutzen von Whatsapp als Unternehmenschat oder zur Kommunikation mit Kunden nach außerkraftsetzen des Privacy Shield (Schrems II) im Juli 2020. Seit dem ist für das Nutzen von Whatsapp eine ausdrückliche Genehmigung der Kunden einzuholen. Außerdem ist das hohe Risiko für Hackerangriffe, insbesondere das Einschleusen von Trojanern, nicht zu unterschätzen.

Wer das nicht möchte und wessen Gespräche ausschließlich privat oder Unternehmensintern belieben sollen, hat nun keine Wahl mehr und muss dem Messenger-Dienst gänzlich den Rücken kehren. Mittlerweile gibt es unzählige Whatsapp-Alternativen wie Signal, Telegram oder Threema.

Erstere gewann durch einen Tweet von Elon Musk, der zu dessen Nutzung aufrief, einen hohen Nutzerzuwachs. Doch Vorsicht: obwohl Signal deutlich sicherer zu sein scheint, als Whatsapp, nutzt auch dieser Messenger-Dienst externe Server für seine Dienste, wie zum Beispiel die Google Cloud oder Amazon AWS. Hier taucht auch das Schrems II Problem wieder auf.

Von Telegram ist gänzlich abzuraten. Der Dienst nutzt keine End-zu-End-Verschlüsselung , speichert sämtliche Nachrichtenverläufe, Kontakte, Gruppen und Nutzerprofile auf fremden Servern und ist nicht DSGVO konform.

Unsere Empfehlung ist Threema: denn der Dienst lässt sich anonym ohne Angaben von personenbezogenen Daten nutzen und ist Ende-zu-Ende-verschlüsselt. Alle Dienste laufen ausschließlich auf der eigenen Server-Hardware und Nachrichtenverläufe werden sofort nach Zustellung vom Server gelöscht. Die Nutzerdaten werden nicht zu Werbezwecken genutzt und der App-Quellcode ist öffentlich einsehbar, sodass sich verifizieren lässt, dass ob die App sicher ist und welche Server Verbindungen haben.

Die Nutzung von Threema auch im Unternehmen ist daher datenschutzkonform und allen anderen Messengern vorzuziehen. Wer dennoch im direkten Kundenkontakt nicht auf Whatsapp verzichten kann oder will, muss sich die schriftliche Einverständniserklärung seiner Kunden zur weiteren Nutzung einholen und auf die Risiken nach Schrems II hinweisen.

23. Dezember 2020

Videosprechstunden – ein Datenschutzrisiko?

Lange gab es sie höchstens als Nische für einige Privatpatienten: Videosprechstunden im Internet. Jetzt bieten plötzlich relativ viele Ärzte solche Sprechstunden an. Woran liegt das? Bleibt dabei vielleicht der Datenschutz auf der Strecke?

In Deutschland bisher ein reines Nischenangebot

Da und dort gab es Videosprechstunden im Internet auch schon bisher. Zielgruppe waren durchweg jüngere Privatpatienten. Anbieter waren meist Ärzte mit einer Praxis im europäischen Ausland, etwa in Großbritannien. In Deutschland waren weite Teile der Ärzteschaft skeptisch. Hier galt die eiserne Regel: Die Behandlung eines Patienten setzt voraus, dass der Arzt ihn persönlich vor sich hat. Ausnahmen waren selten.

Im Ausland teilweise stärker üblich

Im Ausland handhabte man das zum Teil schon bisher anders. Selbstverständlich geht auch dort nicht alles über das Internet. Aber vieles eben doch. Das allein wäre aber noch kein Grund für eine Änderung in Deutschland gewesen. Denn eine ernsthafte Konkurrenz für die hiesige Ärzteschaft waren diese Video-Sprechstunden aus dem Ausland nicht.

Corona als Mit-Auslöser

Eine Triebfeder für Veränderungen war Corona. Zumindest für eine Corona-Verdachtsdiagnose ist es oft nicht nötig, den Patienten zu sehen. Der Arzt schickt ihn zum Abstrich und sieht danach weiter. Das kann auch über Video geschehen. Ähnliche Beispiele gibt es in den meisten medizinischen Fachrichtungen.

Abrechnung jetzt auch bei Kassenpatienten möglich

Hinzu kommt, dass sich ein „Praxisbesuch per Video“ inzwischen bei den Krankenkassen abrechnen lässt. Der Spitzenverband der Gesetzlichen Krankenversicherung und die Kassenärztliche Bundesvereinigung haben vor Kurzem eine „Vereinbarung über die Anforderungen an die technischen Verfahren zur Videosprechstunde“ abgeschlossen. Sie legt fest, was ein Arzt beachten muss, damit eine Abrechnung möglich ist.

Hohe Vorgaben für den Datenschutz

Zu den Anforderungen, die ein Arzt erfüllen muss, gehören genaue Vorgaben für den Datenschutz. Die Vereinbarung legt technische Spezifikationen fest, die einzuhalten sind, beispielsweise eine angemessene Verschlüsselung. Ohne sie könnte es zu einer Verletzung der ärztlichen Schweigepflicht kommen. Das können Ärzte nicht riskieren. Solche Verletzungen können eine Straftat darstellen und haben auch standesrechtliche Folgen.

Nur zertifizierte Systeme zulässig

Eine Videosprechstunde über Zoom oder ähnliche im Internet allgemein angebotene Systeme, die im Büroalltag häufig sind, ist ausgeschlossen. Zum Einsatz kommen dürfen nur Systeme von Anbietern, die eine besondere Zertifizierung durchlaufen haben. Sie sind in einer Liste bei der Kassenärztlichen Bundesvereinigung eingetragen.

Keine Registrierung für Patientinnen und Patienten

Wichtig für alle Patientinnen und Patienten: Sie müssen sich vor der Benutzung eines solchen Systems nirgendwo registrieren lassen! Für den Arzt ist das anders. Er muss eine Registrierung beim Systemanbieter durchlaufen. Das verhindert, dass sich zwielichtige Gestalten als Ärzte ausgeben.

Videosprechstunde nur nach Terminvereinbarung

Patientinnen und Patienten, die einen Video-Termin haben wollen, müssen ihn vorher mit der Praxis vereinbaren. Dies kann etwa telefonisch geschehen oder über ein Tool zur Terminreservierung im Internet. Der Zugang zur Sprechstunde erfolgt mit einem Zugangscode, den der Arzt rechtzeitig vor dem Termin übermittelt. Es liegt in der eigenen Verantwortung des Patienten, mit diesem Zugangscode sorgfältig umzugehen. Das gilt insbesondere dann, wenn die Sprechstunde bei einem Arzt vereinbart wird, der den Patienten noch nicht persönlich kennt.

Kaum Schwachstellen für die Vertraulichkeit in der Arztpraxis

Denkbare Schwachstellen für die Vertraulichkeit liegen in der Umgebung beim Arzt oder beim Patienten, die auf dem Bildschirm nicht sichtbar ist. Beim Arzt kann man davon ausgehen, dass nicht noch andere Personen in der Praxis heimlich mithören oder mitsehen. Das wäre eine schwere Verletzung der ärztlichen Schweigepflicht.

Schwachstellen in der Wohnung des Patienten

In der heimischen Umgebung des Patienten kann es schlechter aussehen. Wer sich für eine Videosprechstunde nicht allein in einen Raum zurückziehen kann, sollte möglicherweise die Finger davon lassen. Und eine andere Person heimlich mithören zu lassen, mag zwar keine Straftat sein. Fair gegenüber dem Arzt ist es aber sicher nicht.

Ein Angebot, kein Zwang!

Beachtet man die geschilderten Sicherheitsmaßnahmen, steht nichts dagegen, eine Videosprechstunde einmal auszuprobieren. Es ist ein zusätzliches Angebot, für Kassen- wie für Privatpatienten, nicht mehr und nicht weniger.

6. Dezember 2020

Homeoffice – was sollte ich beachten?

Homeoffice von heute auf morgen wegen Corona ist eine Herausforderung. Vieles ist zu organisieren. Der Datenschutz sollte dabei mit im Blick sein. Jede und jeder kann leicht einige einfache Dinge beachten. Das bewirkt oft erstaunlich viel.

Einsatz privater Geräte nur nach Absprache

Homeoffice geht nicht ohne EDV. Wer dafür ein dienstliches Gerät zur Verfügung hat, darf nur dieses Gerät verwenden. Der Einsatz privater Geräte verlangt eine Absprache mit dem Arbeitgeber, zumindest mit dem unmittelbaren Vorgesetzten. Das muss nicht unbedingt schriftlich geschehen. Aber zumindest ein kurzer Mail-Austausch ist sinnvoll. Private Geräte können zusätzliche Risiken für den Datenschutz mit sich bringen, die am gewohnten Arbeitsplatz nicht bestehen würden.

Besonders wichtig: Updates und Virenschutz

Gerade bei privaten Geräten sind die Standardregeln der Datensicherheit zu beachten. Dazu gehören vor allem regelmäßige Updates! Am regulären Arbeitsplatz sorgt dafür oft die EDV-Abteilung, ohne dass man etwas davon merkt. Bei privaten Geräten muss sich jede und jeder selbst darum kümmern. Dasselbe gilt für den Virenschutz.

Bildschirmschoner zum Schutz der Daten

Ein Bildschirmschoner sollte Standard sein. Stellen Sie ihn so ein, dass er nach einigen Minuten ohne Aktivität „anspringt“. Das sorgt dafür, dass Familienangehörige und Besucher möglichst keine Daten sehen können. Besonders wichtig ist das, wenn Sie keinen besonderen Raum für das Homeoffice haben. Manchmal hilft es auch weiter, den Bildschirm etwas zu drehen, damit nicht jeder, der den Raum betritt, gleich alles sieht.

Tücken beim privaten Telefon

Weil der Empfang am Festnetz-Telefon oft besser ist, nutzen erstaunlich viele im Homeoffice nicht das Diensthandy, sondern den privaten Telefonanschluss. Dabei gerät oft in Vergessenheit, dass es in jedem Telefon Anruflisten gibt. Teils lässt sich diese Funktion schlicht ausschalten. Dann ist das Problem gelöst. Wenn das nicht geht oder nicht gewünscht ist, ist ein regelmäßiges Löschen der Listen nötig. Zumindest einmal in der Woche sollte man dies fest einplanen.

Papierunterlagen sicher aufbewahren!

Ganz ohne Papier geht es meistens auch im Homeoffice nicht. Wer Unterlagen aus dem regulären Büro mit nach Hause nimmt, ist für sie verantwortlich. Ein eigenes Zimmer für das Homeoffice bleibt für viele ein Traum. Aber mit der Aufbewahrung in einem abgeschlossenen Schrank/Rollschrank ist auch schon viel gewonnen.

Altpapier datenschutzkonform beseitigen!

Wo Papier benutzt wird, fällt auch Abfallpapier an. Vielleicht haben Sie ohnehin privat einen kleinen Aktenvernichter im Haus. Egal, ob er nun den Vorgaben für Bürogeräte voll entspricht – es ist besser als nichts. Keinesfalls dürfen Sie Abfallpapier mit personenbezogenen Daten „einfach so“ in die heimische Papiertonne stecken.

Corona als Auslöser von Kreativität?

Vielleicht bietet das Homeoffice aber auch einen guten Anlass dazu, von Abläufen mit Papier auf elektronische Abläufe umzustellen. Das geht erstaunlich oft. Corona kann auch kreativ machen!

6. November 20206. November 2020

DSGVO konformes Videokonferenzsystem

Auf Wunsch unserer Kunden, haben wir auf einem Hochleistungsserver im Rhein-Neckar Gebiet ein System für Videokonferenzräume zur Verfügung gestellt.

BigBlueButton

Zum Einsatz kommt die Software BigBlueButton in einer OnPremise Installation. BigBlueButton ist einen open Source Software aus Canada mit vielen Funktionen für Video und Audio Konferenzen, die den bekannten Systemen in wenigem nachsteht.

DSGVO konformen Videokonferenzlösung

Für unsere Mandanten im DSB Bereich bieten wir eigene Konferenzräume zum Selbstkostenpreis an. Wir erleichtern uns selber die DSB Arbeit damit und helfen unseren Mandanten mit einer DSGVO konformen Videokonferenzlösung.

Erfahren Sie mehr über die Videokonferenzlösung auf der folgenden Seite oder melden Sie sich gleich für einen Testzugang an:

Informationen zum DSGVO konformen Videokonferenzsystem

Testzugang anfordern

18. Januar 202019. Januar 2020

Gültigkeitsdauer von Einwilligungen nach DSGVO

Dem Widerruf der Einwilligung wird in der DSGVO eine wichtige Stellung eingeräumt. Artikel 7 Absatz 3 der DSGVO schreibt vor,
dass der Verantwortliche sicherstellen muss, dass die betroffene Person
die Einwilligung jederzeit widerrufen kann und dass der Widerruf der
Einwilligung so einfach sein muss wie die Erteilung der Einwilligung.
Möglicherweise kann sich eine einmal wirksam abgegebene Einwilligung
aber auch „überholt“ haben. Erfolgt nach Abgabe einer Einwilligung
keine Verarbeitung der personenbezogenen Daten der
betroffenen Person, die sich auf genau diese Einwilligung stützt, ist
die Vermutung nicht abwägig, dass die Einwilligung des Betroffenen
nicht mehr aktuell sein könnte.
Die Zivilgerichte sehen bei erteilten Einwilligungen zur werblichen
Kontaktaufnahme teilweise keine unbegrenzte Gültigkeit. Das LG
München hat in seinem Urteil vom 8. April 2010, Az. 17 HK O 138/10
entschieden, dass eine vor 17 Monaten erteilte und bisher nicht
genutzte Einwilligung zur E-Mail-Werbung keine gültige Rechtsgrundlage
mehr sein kann, da sie „ihre Aktualität verloren“ habe.
Tatsächlich enthält die DSGVO keine festgelegte Frist, wie lange eine
Einwilligung gilt. Wie lange die Einwilligung gültig ist, hängt vom Kontext,
dem Umfang der ursprünglichen Einwilligung und den Erwartungen
der betroffenen Person ab. Wenn sich die Verarbeitungsvorgänge
beträchtlich ändern oder weiterentwickeln, ist die ursprüngliche Einwilligung
nicht länger gültig. Dann muss eine neue Einwilligung eingeholt
werden.
Die WP29 empfiehlt im WP259 rev.01, die Einwilligung in angemessenen
Zeitabständen zu erneuern. Wenn alle Informationen erneut
erteilt werden, hilft das sicherzustellen, dass die betroffene Person
gut darüber informiert bleibt, wie ihre Daten verwendet werden und
wie sie ihre Rechte ausüben kann.

Quelle: Europäische Kommission

1. November 20191. November 2019

Änderung bei Cookie Einwilligung

Neue Datenschutz Regeln bei Cookies

Für Seitenbetreiber ist das Thema Cookies inzwischen zu einer neverending Story um Einwilligungserklärungen geworden. Und die Geschichte geht weiter: Nach einem Urteil des Europäischen Gerichtshofs (EuGH) müssen Betreiber von Internetseiten nun noch komplexere Vorkehrungen treffen, um die Einwilligung ihrer User einzuholen und rechtlich auf der sicheren Seite zu sein.

Ein einfaches Banner mit voreingestellten Ankreuzkästchen erfüllt nach diesem Urteil nämlich nicht mehr die datenschutzrechtlichen Anforderungen. Dadurch ist mit einer verschärften Regulierung in Deutschland zu rechnen. Doch was bedeutet das nun für Seitenbetreiber?

Rechtliche Definitionen und Aufgaben für Unternehmen

Das EuGH-Urteil definiert, dass eine Einwilligung zur Verwendung von Cookies „für den konkreten Fall“ und „unmissverständlich“ erteilt werden muss. Dies bedeutet, dass der Nutzer aktiv zustimmen muss. Ein passives Weitersurfen oder wegklicken eines Banners reichen damit nicht mehr aus. Zusätzlich müssen dem Nutzer klare und verständliche Informationen zur Verwendung seiner Daten zur Verfügung gestellt werden. Außerdem müsse er die Funktionsweise der Cookies verstehen können und über die Funktionsdauer, die Zugriffsmöglichkeiten Dritter und die Empfänger informiert werden.

Rechtlich wäre es leicht zu sagen: „Tracking Cookies dürfen nur noch mit ausdrücklicher, informierter, nachweisbarer und widerrufbarer Einwilligung gesetzt werden.“ Diese Aussage ist juristisch 100%ig richtig. Sie wird den meisten Unternehmen aber praktisch nicht weiterhelfen. Für sie bedeutet das Urteil, dass sie entweder das Webtracking über Drittseiten deutlich einschränken oder eine aktive Einwilligung mit umfassenden Erläuterungen vorsehen. Die wichtigste Frage für Internetseitenbetreiber ist nun: Wie können sie diese Vorgaben praktisch und effizient umsetzen?

Tools und Tipps zur Umsetzung der Cookie Regeln

Zusammengefasst dürfen Tracking-Cookies also nicht mehr ohne echte Einwilligung der Nutzer gesetzt werden. Dabei ist es wohl egal, ob in den Cookies tatsächlich personenbezogene Daten gespeichert werden oder ob nur anonyme Daten gespeichert werden. Zu beachten ist erstmal, dass nicht alle Cookies betroffen sind. Weiter ohne Einwilligung erlaubt sind so genannte First Party Cookies, die für eine Webseite erforderlich sind. Das sind zum Beispiel Warenkorb-Cookies, Cookies für LogIns, Cookies die eine Länder- oder Sprachauswahl betreffen oder Cookies, die Consent Tools für die Cookie Einwilligung setzen

In der aktuellen Diskussion und bei dem Urteil des EuGH geht es im Wesentlichen um Marketing- und Tracking Cookies. Wir empfehlen deshalb, Google Analytics & Co. nur noch mit vorheriger Einwilligung über ein Consent Tool einzusetzen.

Empfehlungen von Consent Tools:

+ Cookiebot

Wie schon an verschiedenen Stellen vorgestellt nutzen wir die Lösung von Cookiebot: https://cookie.dsbok.de. Kunden die ein Konto über uns bestellte haben, können die neuen Einstellungen von uns administrieren lassen.

+ Usercentrics

Das Consent Tool von Usercentrics ist eine individuelle Profi-Lösung, die im Normalfall oft mehrere hunderte Euro im Monat kosten kann. Das Consent Tool funktioniert für die meisten Webseiten-Typen unabhängig vom verwendeten CMS.

Für DSBOK Kunden bieten wir eine Lösung von Usercentrics an, die ohne Zusatzkosten exklusiv in Mandat enthalten ist und die wichtigsten Tools wie Google Analytics, Facebook Pixel, GoogleMaps, YouTube, Xing, Twitter und Google TagManager umsetzt. Da das Tool unabhängig von einem CMS auf möglichst vielen Webseiten funktioniert, benötigen Sie für die korrekte Einbindung allerdings etwas Programmierer-Know How.

+ Borlabs Cookie: PlugIn für WordPress

Wenn Sie mit WordPress arbeiten und ein PlugIn nutzen wollen, empfehlen wir Borlabs Cookie.

+ Consent Management Provider (CMP)

Auch das Tool „Consent Management Provider“ funktioniert unabhängig von einem bestimmten CMS, ist also z.B. nicht auf WordPress beschränkt. Es gibt eine kostenlose Variante mit einigen Einschränkungen und bis zu 10.000 Page Views/ Monat:

Consent Management Provider (CMP)

Checkliste für Consent Tools:

Egal für welches Consent Tool Sie sich entscheiden, prüfen Sie auf jeden Fall, ob folgende Voraussetzungen erfüllt sind:

+ Die Einwilligung muss durch den Nutzer gesetzt werden und darf nicht schon per default angekreuzt sein

+ Das Tool muss vor der Einwilligung alle Cookies (bis auf das eigene Cookie des Consent Tools) blocken

+ Cookies dürfen erst nach der Einwilligung des Nutzers gesetzt werden

+ Es muss in der Einwilligungsbox jedes Tool einzeln benannt sein

Die Einwilligungen können (nach aktuellem Stand) in Gruppen zusammengefasst sein und müssen nicht für jedes Tool einzeln erklärt werden. Achten Sie darauf, dass Sie Ihr Consent Tool in Ihrer Datenschutzerklärung darstellen. Zu beachten ist außerdem, dass bei einer Nutzung von Consent Tools die Datenschutzerklärung angepasst werden muss.

Für die Umsetzung sollten sich Seitenbetreiber nicht zu viel Zeit lassen. Es wurden zwar keine Fristen gesetzt, aber die deutschen Gerichte werden sich in ihren Urteilen an die Vorgaben des EuGH halten. Und die Datenschutzbehörden werden wohl ebenfalls dieser Auffassung folgen.

Tipps für Werbetreibende zum Cookie-Urteil:

Schritt: Prüfen

Folgende Punkte sollte jeder Betreiber einer Website oder eines Shops jetzt prüfen:

Welche Plugins/Tools werden für dieWebsite/App genutzt? Häufig ist dies nicht bekannt, weil ein IT Dienstleister oder eine Agentur nach eigenem Ermessen Tools in die Website/App „eingebaut“ haben.
Speichern die genutzten Plugins/Tools Informationen auf den Endgeräten Ihrer Nutzer, insbesondere in Cookies, und übermitteln diese Informationen an den Anbieter/System? Alternativ: Greifen die genutzten Plugins/Tools auf bereits auf dem Endgerät Ihrer Nutzer gespeicherte Informationen zu, die dann an den Anbieter des Plugins/Tools übermittelt werden?
Verfolgen Website-/Shop-Betreiber mit der Nutzung der Plugins/Tools gleichartige Zwecke wie dessen Anbieter, insbesondere profitieren sie von der Verarbeitung der mit dem Plugin/Tool erhobenen oder sonst verarbeiteten Informationen durch den Anbieter des Plugins/Tools?
Speichert das Plugin/Tool Bewegungs oder Aktionsdaten des Benutzers aus denen sich personenbezogene Profile erstellen lassen?

Schritt: Maßnahmen ergreifen

Für jedes Plugin/Tool, für das alle oder einige der obenstehenden Fragen mit „ja“ beantwortet werden, können folgende Maßnahmen teilweise oder gesamt erforderlich sein:

Schließen Sie mit dem Anbieter des Plugins/Tools eine Vereinbarung über die gemeinsame Verantwortlichkeit gemäß Art. 26 Abs. 1 S. 2 DS-GVO ab. Stellt der Anbieter keine solche Vereinbarung zur Verfügung und ist auch nicht bereit, eine von Ihnen vorgeschlagene Vereinbarung zu akzeptieren, ist die Nutzung des Plugins/Tools immer datenschutzrechtswidrig.
Informieren Sie die Nutzer Ihrer Website/App über das Plugin/Tool und stellen Sie dafür alle Datenschutzinformationen gemäß Art. 13, 14, 21 DS-GVO sowie ergänzend die Informationen zur gemeinsamen Verantwortlichkeit gemäß Art. 26 Abs. 2 S. 2 DS- GVO zur Verfügung. Das muss passieren, bevor es zur Speicherung von oder zum Zugriff auf Informationen auf dem Endgerät des Nutzers kommt. Das Fehlen der Informationen ist ein Datenschutzverstoß.
Holen Sie vor der Aktivierung des Plugins/Tools eine ausdrückliche Einwilligung (Opt- in) der Nutzer ein, die den Vorgaben insbesondere aus Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a) und Art. 7 DS-GVO entspricht.
Dokumentieren Sie den hierfür implementierten Prozess sowie die technischen Vorgänge im Zusammenhang mit der Einholung der Einwilligung. Es dürfen erst dann Informationen auf dem Endgerät gespeichert oder von dort abgerufen werden, wenn die Einwilligung des Nutzers vorliegt. Das ist nur möglich, wenn beim ersten Aufruf der Website mit einem Cookie-Overlay oder einer speziellen Landingpage zunächst die Einwilligung abgefragt wird, bevor die Datenverarbeitungen beginnen.

Vorgehen bei Social-Media-Plugins

Soweit Social-Media-Plugins genutzt werden, kann alternativ eine 2-Klick-Lösung wie der Shariff aus dem Heise Verlag eingesetzt werden. Dann muss die Einwilligung erst mit dem Aktivierungs-Klick des Nutzers auf ein Plugin/Tool eingeholt werden. Ohne die vorherige, ausdrückliche Einwilligung ist die Nutzung des Plugins/Tools datenschutzrechtswidrig. Eine Widerspruchslösung (Opt-out) reicht nicht mehr aus.

Wichtig: Setzen Benutzer ein Plugin/Tool ein, ohne diese Maßnahmen umgesetzt zu haben, laufen sie Gefahr, dass die Datenschutzaufsicht die weitere Nutzung untersagt und ggf. ergänzend eine Geldbuße gegen sie verhängt wird. Zudem können Besucher der Website und ggf. auch Mitbewerber rechtlich gegen Seitenbetreiber vorgehen.

Trackingtool auf dem eigenen Server

Wenn das eingesetzte Trackingtool auf der eigenen Serverlandschaft installiert ist und keine Daten an Dritte schickt, ist zu beachten, dass trotzdem für das Tracking eine Einwilligung eingeholt werden sollte. Die Problematik mit dem weiteren Empfänger entfällt an dieser Stelle. Ggf. muss mit der Agentur, die das Plugin/Tool betreut/einrichtet ein AV Vertrag abgeschlossen werden. Hier werden zwar keine personenbezogenen Daten an Dritte weitergegeben aber der Sachverhalt, das aus dem Tracking automatisiert Profile erstellt werden können erfordert die Einwilligung.

Einwilligungserklärungen nutzerfreundlich gestalten

Viele Firmen versuchen die Einwilligung durch Nebensätze wie „… wenn Sie nicht zustimmen, können wir Ihnen eventuell verschiedene Dienste auf unserer Webseite nicht richtig anbieten…“ zu „erzwingen“. Dies stellt im Rahmen der DSGVO ein Problem da, weil zum einen dem User keine nennenswerten Nachteile durch die Verweigerung der Einwilligung entstehen. Zudem gilt bei der Einwilligung „Privacy by design“ und „privace by default“. Design ist hier auf den Inhalt bezogen. Die textliche Gestaltung suggeriert hier, dass der Betroffene das System nicht vollständig benutzen kann, wenn er nicht zustimmt.

Dazu noch ein wichtiger Tipp zum Schluss: Eine gut gemachte Einwilligung, erzeugt mehr Zustimmung beim Betroffenen als eine karge Wort-Wüste die es auf das allernötigste reduziert.

Weitere Informationen zu dem Thema finden Sie in meinem PDF „Cookies und Tracking“, das Sie sich herunterladen können. Kontaktieren Sie mich, wenn Sie mit Ihrem Unternehmen Unterstützung bei der Umsetzung benötigen. Melden Sie sich einfach bei mir und genießen Sie trotz der ganzen Diskussion weiterhin Ihre Kekse zum Kaffee!

5. Mai 20185. Mai 2018

Dateien für den E-Mailversand mit Passwort schützen

Dies gilt natürlich nicht nur für Inhalte mit personenbezogenen Daten sondern auch für betriebsinterne Informationen! Es ist leichter als Sie denken E-Mail Verkehr abzufangen.

Für alle Windows Benutzer gibt es eine gute Nachricht. Wer Office verwendet kann ganz einfach Office Dateien wie Word oder Excel mit einem Passwort versehen:

Navigieren Sie im geöffneten Dokument auf "Datei". Bei Windows 10 sieht das dann so aus: (Wenn Sie eine ältere Windows Version benutzen bitte über die Hilfefunktion suchen)

Wenn Sie "Dokument schützen" anklicken bekommen Sie eine Auswahl von Möglichkeiten aus der Sie "Mit Kennwort verschlüsseln" wählen.

WICHTIG: Merken Sie sich das Passwort und schreiben Sie es auf.
Auch hier gilt mindestens 8 Zeichen mit Zahlen, Buchstaben und Sonderzeichen.

Nun kann das ausgewählte Dokument nur noch mit diesem Passwort geöffnet werden.

Die Übermittlung des Passwortes zum E-Mailempfänger kann dann vorab entweder telefonisch oder per SMS erfolgen.

BITTE NICHT ÜBER WHATS-APP VERSCHICKEN!!

Sollten Sie häufiger Passwortgeschützte Dateien verschicken, sollte man auch hier in regelmäßigen Abständen das Passwort ändern. Es muss ja nicht wöchentlich sein aber alle 3 Monate ist eine Empfehlung.

By-The-Way:
Hat Ihr Handy eine Virus Software? Die meisten PC´s und Laptops haben so etwas. Beim Handy sind wir deutlich nachlässiger obwohl wir dort viele sensible Daten bevorraten, verschicken und empfangen.

29. April 201819. Mai 2018

Meldung des Datenschutzbeauftragten in Hessen

"Aufgrund der Datenschutz-Grundverordnung sind hessische Verantwortliche und Auftragsverarbeiter ab dem 25. Mai 2018 gem. Art. 37 Abs. 7 DS-GVO verpflichtet, die Kontaktdaten ihrer Datenschutz-beauftragten zu veröffentlichen und diese dem Hessischen Datenschutzbeauftragten mitzuteilen. Um einen reibungslosen Ablauf für die Vielzahl der erwarteten Meldungen zu gewährleisten, wird ein automatisiertes Meldeverfahren auf der Homepage des Hessischen Datenschutzbeauftragten bereitgestellt werden. Das automatisierte Meldeverfahren ist bereits nutzbar. Der Hessische Datenschutzbeauftragte geht davon aus, dass Verantwortliche und Auftragsverarbeiter ihrer Mitteilungspflicht innerhalb von 3 Monaten nachkommen." Link zum Meldeformular:

Hier den externen Datenschutzbeauftragten anmelden

12. März 201812. März 2018

Sicheres Passwort, kryptisches Passwort

Leider werden immer noch viel zu häufig Passwörter benutzt, die Hacker in wenigen Sekunden knacken können. Häufig ist es einfach zu lästig oder man ist zu bequem ein langes sicheres Passwort zu benutzen. Abhilfe schafft der Kryptonizer den ich vom BVD e.V. zugeschickt bekommen habe.

Man bleibt einfach bei seinem „Passwort“ (, verschlüsselt dies aber mit dem Kryptonizer. Zum einen lernt man so das sichere Passwort einfacher auswendig, zum anderen hat man immer die Möglichkeit mit dem Kryptonizer vom eigentlichen alten und einfachen Passwort auf das verschlüsselte Passwort zu kommen. Wichtig dabei ist natürlich, dass man den Kryptonizer nicht zusammen mit dem Passwort aufbewahrt!

Der Kryptonizer ist eine Übersicht in der für 3 Zeichen des Alphabetes ein Verschlüsselungszeichen steht (Siehe Bild) . Wer es noch sichere haben möchte, kann es natürlich noch granularer anlegen. Bei 3 Zeichen passt es praktisch auf einen kleinen Zettel.

Erstellung eines sicheren Passwort

Erstellen Sie sich einen eigenen Kryptonizer oder nutzen Sie die Vorlagen vom BVD e.V. wie hier abgebildet.

Die zusätzlichen Startzeichen stellen die Zeichenvielfalt sicher und sind immer fix gesetzt.

Nun denken Sie sich einen einfaches Passwort für Ihr zu schützendes Login aus, z.B. zalando

Mit dem Kryptonizer wird daraus: n-10G6N6sqs

Damit haben Sie nun ein 11 stelliges Passwort, was Sie mit dem Kryptonizer schell bei der Hand haben.

9. März 20189. März 2018

DS-GVO, was Firmen unternehmen sollten

Die DS-GVO richtet sich eindeutig an die Leitung der Verantwortlichen Stelle. Diese ist Adressat der Regelungen, Pflichten und der Haftung aus der DS-GVO. Für viele Unternehmen werden die Anpassungen mit dem 25.05.2018 nicht abgeschlossen sein, es sollten aber die wichtigsten Maßnahmen eingeleitet und weitere geplant sein.

Prüfen ob ein Datenschutzbeauftragter benannt werden muss (Wann brauche ich einen Datenschutzbeauftragten)
Datenschutzgrundsätze der DS-GVO in das interne Regelwerk integrieren. Richtlinien und Prozesse definieren, Schulungsmaßnahmen dazu durchführen.
Dokumentation überprüfen / anpassen – aus dem Verfahrensverzeichnis wird die Verarbeitungsübersicht, die zukünftig im Mittelpunkt des Datenschutzmanagements steht. Rechtsgrundlagen für die Verarbeitungen definieren.
Verträge mit Dienstleistern überprüfen und anpassen. Keine Aufragsverarbeitung ohne den entsprechenden Vertrag.
Betroffenen-Rechte und Informationspflichten gewährleisten und entsprechende Prozesse installieren.
Meldepflichten im Unternehmen installieren und Prozesse einrichten, die die jeweilige Meldung fristgerecht ermöglichen.

Eine Gesamtliste der nötigen Tätigkeiten finden Sie hier: DSGVO Checkliste (Link folgt, bitte vorerst per E-Mail anfordern)

Kategorie: Praxis Anwendungen DSGVO