Informationen zum Datenschutz
Wir möchten Sie heute über Neuerungen im myGINDAT Portal informieren.
Wir haben eine neue Kachel auf myGINDAT zu den Schulungsinstanzen.
Wenn Sie diese anklicken werden Ihnen unter dem Text der Erreichbarkeit 5 Fragen angezeigt, und wir möchten Sie bitten diese Fragen zu beantworten.
Durch die Beantwortung der Fragen, haben wir die Möglichkeit Ihre Online-Schulung noch besser auf Sie und Ihr Unternehmen abstimmen zu können.
Heutzutage wird es immer wahrscheinlicher, dass ein Unternehmen früher oder später ins Visier eines Cyberangriffs gerät.
Die Firma Sophos entwickelte einen Incident-Response-Plan in 10 Schritten, um im Falle einer Cyberattacke die Kontrolle zu behalten, den Schaden zu minimieren und Folgekosten zu verhindern.
Weitere Informationen finden Sie hier:
https://www.secupedia.info/aktuelles/gut-vorbereitet-fuer-den-cyber-ernstfall-18279
Seit der Einführung unseres Kundenportals myGINDAT (https://www.gindat.de/anmeldung.html) arbeiten wir permanent an dem Ausbau und Erweiterung der Website.
Im Vergleich zum Vorjahr können wir Ihnen noch mehr Funktionen anbieten, die Sie beim Aufbau und Überwachen Ihres Datenschutzmanagementsystems unterstützen.
Neben der Erstellung Ihrer Verarbeitungsverzeichnisse, können Sie zwischenzeitlich auch Ihre Dienstleisterliste online pflegen sowie Ihre technischen und organisatorischen Maßnahmen dokumentieren.
Auch der Upload von Dokumenten, wie z.B. die verabschiedete Datenschutzrichtlinie (Richtlinie Betriebliche Datenschutzorganisation_DSGVO), ist bereits seit einigen Monaten möglich.
Ab sofort bietet Ihnen das Kundenportal aber auch die Möglichkeit, alle notwendigen Audits, die Ihr Datenschutzbeauftragter in seiner Funktion durchführen muss, zu überwachen.
Sehen Sie jederzeit, wann der nächste Datenschutz-Jahresbericht fällig ist, oder wann wieder ein Website-Security-Audit durchgeführt wird.
Auch die Fälligkeit einer neuen Gebäudebegehung zur Prüfung der physikalischen Sicherheit Ihrer Organisation oder die Notwenigkeit eines neuen Netzwerkscans zur Überprüfung der internen Infrastruktur, können Sie ab sofort einsehen.
Falls ein geplanter Termin unserseits mal nicht passt, können Sie diesen auch bequem im Portal direkt neu terminieren. Bitte beachten Sie jedoch, dass der Termin eine Frist von 3 Monaten nicht übersteigen kann.
Derzeit arbeiten wir an einem Hinweisgebersystem, damit Sie die Whistleblower-Richtlinie in Ihrem Unternehmen rechtskonform umsetzen können.
Sollte ein Termin dennoch einmal nicht passen, können Sie uns weiterhin auch telefonisch erreichen.
Bei Fragen zum Kundenportal stehen wir Ihnen wie gewohnt montags bis freitags von 08:00 Uhr bis 17:00 Uhr unter der 02191 909 430 oder per Mail unter info@gindat.de zur Verfügung.
Dass die Daten der Luca-App auch für die Strafverfolgung interessant sind, dürfte wenig überraschen. Da die Privatsphäre der App nicht auf technischer Ebene gesichert ist, war es auch nur eine Frage der Zeit, bis Behörden Zugang auf die Daten anfordern. Noch fehlt dazu eine klare Rechtsgrundlage um die Daten zur Ermittlung von Zeugen zu nutzen, was der Staatsanwaltschaft aber erst im Nachhinein aufgefallen sein will.
So geschehen, als es in einer Kneipe zu einem Sturz kam. Die betroffene Person verstarb mehrere Tage später an den Folgen, woraufhin die Polizei ermittelte und zwecks Zeugenbefragung die Luca-Daten der Kneipe erfragte. Als sie die Daten zunächst nicht erhielten, wandte sich die Polizei an das Gesundheitsamt, welches ebenfalls bei der Kneipe eine Herausgabe anforderte, die daraufhin auch erfolgte.
Diese Nutzung der Daten außerhalb der ursprünglich gedachten Kontaktverfolgung ist mittlerweile nur ein weiterer Kritikpunkt. Denn angesichts der zurückgegangenen Nutzung (in Bayern wurden 2 Wochen lang keine Daten abgefragt) dürfte sie mittlerweile zur tatsächlichen Bekämpfung der Pandemie kaum noch nützen. Dazu kommt, dass Luca scheinbar auch in Erwägung zieht, die Nutzerdaten in Zukunft nicht mehr für die Pandemie-Nachverfolgung, sondern auch gewinnbringend zu nutzen, indem die Luca-App für Events oder die Gastronomie eingesetzt wird.
Weitere Informationen finden Sie hier:
https://netzpolitik.org/2022/mainz-polizei-nutzte-luca-daten-von-kneipenbesuchern-ohne-rechtsgrundlage/
Am 1. Dezember ist das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft getreten, das die ePrivacy-Richtlinie in nationales Recht umsetzt. Das Gesetz enthält u.a. Regelungen für Webseitenbetreiber, die Cookies oder ähnliche Technologien einsetzen möchten.
Die zentrale Regelung, die Betreiber von Webseiten beachten müssen, ist § 25 TTDSG.
Nach § 25 Absatz 1 Satz 1 TTDSG ist „die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, (…) nur zulässig, wenn der Endnutzer (…) eingewilligt hat.“
Das Gesetz stellt – im Einklang mit der höchstrichterlichen Rechtsprechung – klar, dass das Gesetz bereits dann zur Anwendung kommt, wenn Informationen in der Endeinrichtung (z. B. Laptop, Smartphone oder Tablet) gespeichert oder ausgelesen werden. Das bedeutet, dass Cookies oder sonstige Technologien auch dann von der Regelung erfasst werden, wenn keine personenbezogenen Daten verarbeitet werden, also Informationen, die keine Rückschlüsse auf die Identität des Webseitenbesuchers zulassen. Damit geht die Regelung über die DSGVO hinaus. Denn Zweck der Norm ist nicht nur der Schutz von personenbezogenen Daten, sondern der Schutz vor Fremdzugriffen.
Werden die Information auf einer Endeinrichtung gespeichert oder ausgelesen, so ist nach § 25 Absatz 1 Satz 1 TTDSG die Einwilligung des Besuchers der Website notwendig. Zu beachten ist, dass es nicht nur um die Speicherung/Auslesung von Cookies geht, auch wenn dies der häufigste Anwendungsfall ist, sondern auch um andere Technologien wie:
Beim Speichern und Auslesen von personenbezogenen Daten konkurriert das TTDSG mit der DSGVO.
Werden Cookies oder andere Technologien, die keine personenbezogenen Daten erfassen, eingesetzt, so ist § 25 TTDSG anwendbar. Möglich ist jedoch auch die Speicherung bzw. der Zugriff auf Cookies mit personenbezogenen Daten. In dem Fall ist das TTDSG vorrangig (vgl. Artikel 95 DSGVO), da es das speziellere Gesetz darstellt.
Die weitere Verarbeitung, z. B. die Bildung von Nutzerprofilen, wird vom § 25 TTDSG nicht erfasst, weshalb die Erlaubnisnormen der DSGVO zu beachten sind. In diesem Zusammenhang ist darauf hinzuweisen, dass die Verwendung von Pseudonymen z. B. in Form einer eindeutigen Identifizierungsnummer nicht dazu führt, dass kein Personenbezug vorliegt, da IDs oder Kennungen dazu genutzt werden können die einzelnen Besucher zu unterscheiden und zu adressieren.
Kommt sowohl das TTDSG als auch die DSGVO zur Anwendung, sind keine separaten Einwilligungen erforderlich. Die Besucher müssen jedoch ausreichend über die Verarbeitungen informiert werden.
Nach § 25 Absatz 2 Nr. 2 TTDSG ist die Einholung einer Einwilligung entbehrlich, wenn der Dienst unbedingt erforderlich ist, um einen Dienst zur Verfügung zu stellen, den der Besucher der Website ausdrücklich wünscht. Das sind z. B. Warenkorb-Cookies oder Systeme zur Betrugsprävention.
Max Macht
Volljurist
