500 Millionen Datensätze bei Marriott gestohlen

Wieder gab es einen Datendiebstahl in großem Umfang: Diesmal trifft es die Hotelkette Marriott, bei deren Tochtermarke Starwood über 500 Millionen Daten ihrer Hotelgäste gestohlen wurden. Bei 327 Millionen Gästen geht es neben Informationen wie Namen, Anschrift, E-Mail-Adresse, Geburtsdatum, Passnummer auch um verschlüsselte Kreditkartendaten. Das Unternehmen konnte bisher nicht ausschließen, dass möglicherweise auch die Dateien gestohlen wurden, die zur Entschlüsselung der entwendeten Daten nötig sind. Einen Angriff auf die Starwood-Datenbank gab es nach Angaben von Marriott bereits 2014. 

Mehr zum Thema finden Sie hier:
https://www.zeit.de/wirtschaft/unternehmen/2018-11/hackerangriff-marriott-hotelkette-personenbezogene-daten-diebstahl-cyberkriminalitaet

Europäische Verbraucherschützer legen Beschwerde gegen Google ein

Google sammelt und verarbeitet offensichtlich Daten gegen den Willen seiner Nutzer, daher wollen sieben Staaten in Europa gegen möglichen Datenmissbrauch vorgehen. Verbraucherschutzverbände aus den Niederlanden, Polen, Norwegen, Griechenland, Tschechien, Slowenien und Schweden legen offiziell Beschwerde bei ihren jeweiligen Datenschutzbehörden wegen des Verstoßes gegen die europäische Datenschutz-Grundverordnung (DSGVO) ein. Der deutsche Verband (vzbv) strebt eine einstweilige Verfügung gegen den Internet-Konzern an.

Das Google Betriebssystem Android sowie diverse Apps sammelt mit verschiedenen Tricks von weltweit zwei Milliarden Smartphone Nutzern Standortdaten, um diese gezielt für individuelle Werbung zu nutzen. Dadurch könne der US-Konzern ebenso Aufschluss über Vorlieben oder Neigungen, wie zum Beispiel religiöse oder sexuelle und auch politische Orientierung seiner Nutzer herausfinden. Für diese Art von Datensammlung habe Google jedoch keine rechtlichen Grundlagen und verstoße damit massiv gegen EU-Recht.

Mehr zum Thema lesen Sie hier:
https://www.it-business.de/europas-verbraucherschuetzer-wollen-gegen-googles-datenhunger-vorgehen-a-779351

Der Trick mit der Datenschutz – Abofalle

In jüngster Zeit erreichten uns Anfragen unserer Kunden, an einer vermeintlich behördlichen Erfassung ihres Unternehmens mitzuwirken. Auch unser Unternehmen erreichte dieses Fax.

In diesem Schreiben wird man aufgefordert, seine Unternehmensdaten zu ergänzen und zu korrigieren, um die Anforderungen der Datenschutzgrundverordnung zu erfüllen. Die Struktur erinnert an diverse Aufforderungsschreiben für vermeintliche Handelsregister-Eintragungen. Nur jetzt geht es eben um Datenschutz. Gleich geblieben ist allerdings das Ziel dieser Machenschaften: möglichst vom Kunden unbemerkt ein kostenpflichtiges Abo zu erwirken. Gebührenfrei – wie es in Fettschrift verkündet wird – wäre nämlich nur die Übersendung des Faxes geblieben. Mit Übersendung des Faxes hätte man nach Wunsch der Anbieter einen Vertrag abgeschlossen mit einer Gebühr in Höhe von 498 Euro/Jahr über drei Jahre.

Die Gegenleistung bleibt dabei höchst zweifelhaft. Es ist zu befürchten, dass man immer noch weit hinter den Anforderungen der Datenschutzgrundverordnung zurückbleiben würde. Denn diese wurden noch nicht einmal vom Verfasser selbst beherzigt.

Im Kleingedruckten steht dann auch der Hinweis, dass es sich hierbei um ein behörden- und kammerunabhängiges Angebot handelt. Dass es sich allerdings um eine Ltd. mit Sitz auf Malta handelt (siehedie online aufzurufenden AGB), wird im Schreiben besser nicht zu deutlich mitgeteilt, würde es doch zu sehr den Eindruck der behördlichen Aufforderung stören.

Für Sie als Unternehmer/in bleibt nichts anderes übrig als ganz genau hinzuschauen und zu lesen. In diesem Fall raten wir sehr deutlich dazu, dass Schreiben dahin wandern zu lassen, wo es hingehört: in den Mülleimer.

Für den korrekten Umgang mit der Datenschutzgrundverordnung kontaktieren Sie besser Ihren Datenschutzbeauftragten oder Ihren Landesbeauftragten für Datenschutz.

Deutliche Worte des Bundesgerichtshofes zur Werbung per Mail-Brief

Bundesgerichtshof – Im Namen des Volkes – Urteil
Verkündet am 10. Juli 2018, Az.: VI ZR 225/17

a) Die Verwendung von elektronischer Post für die Zwecke der Werbung ohne Einwilligung des Empfängers stellt grundsätzlich einen Eingriff in seine geschützte Privatsphäre und damit in sein allgemeines Persönlichkeitsrecht dar.

b) Eine Kundenzufriedenheitsbefragung in einer E-Mail fällt auch dann unter den Begriff der (Direkt-)Werbung, wenn mit der E-Mail die Übersendung einer Rechnung für ein zuvor gekauftes Produkt erfolgt.

c) Dem Verwender einer E-Mail-Adresse zu Werbezwecken nach Abschluss einer Verkaufstransaktion ist es zumutbar, bevor er auf diese Art mit Werbung in die Privatsphäre des Empfängers eindringt, diesem -wie es die Vorschrift des §7 Abs.3 UWG verlangt-die Möglichkeit zu geben, der Verwendung seiner E-Mail-Adresse zum Zwecke der Werbung zu widersprechen. Ansonsten ist der Eingriff grundsätzlich rechtswidrig.

BGH, Urteil vom 10. Juli 2018 -VI ZR 225/17 -LG Braunschweig, AG Braunschweig

Quelle: http://juris.bundesgerichtshof.de

Unerlaubte Werbung kann teuer werden

Wie das o.g. Urteil des BGH vom 10.Juli eindeutig zeigt, ist grundsätzlich beim Versenden von E-Mail-Werbebriefen Vorsicht geboten. Schon in Art. 13 Abs.1 der Datenschutzrichtlinie EK ist die Verwendung von elektronischer Post für die Zwecke der Direktwerbung nur bei vorheriger Einwilligung der Teilnehmer oder Nutzer zulässig. […].

Damit wird deutlich, dass die Verbreitung jeglicher Art von Werbung durch das Versenden von E-Mails der Zustimmung der Betroffenen bedarf. Das gilt selbst für so scheinbar harmlose Zufriedenheitsanfragen die einer ordnungsgemäßen Rechnung beigefügt sind. Das höchste deutsche Zivilgericht hat in diesem Fall, für eine Zuwiderhandlung ein Ordnungsgeld in Höhe von 250.000 €, ersatzweise 6 Monate Haft angedroht. Beklagte war die Firma Amazon Marketplace

US-Behörde bittet Huawei Technologie zu meiden

Die US-Regierung hat alle verbündetet Länder dazu aufgerufen, Geräte des weltweit führenden chinesischen Herstellers Huawei zu meiden. Laut eines Berichts der US-Regierungsbeamten weisen sie darauf hin, dass es ein erhebliches Cybersicherheitsrisiko gegen könnte. Daher bitten die US-Behörden auf Huawei-Komponenten in staatlichen sowie in kommerziell betriebenen Netzwerken zu verzichten. Auch Deutschland, Japan und Italien wurden auf dieses Risiko hingewiesen, denn hier verfügt das US-Militär über größere militärische Stützpunkte. Grund für die Besorgnis der Regierungsvertreter sei es, dass Huawei wie auch andere chinesische Unternehmen dazu verpflichtet sind, Informationen an die Regierung in Peking zu übermitteln. Dies erhöhe laut Experten das Risiko der Spionage im Sinne der chinesischen Regierung. 

Mehr zum Thema lesen Sie hier:
https://www.handelsblatt.com/unternehmen/it-medien/telekommunikation-washington-bittet-verbuendete-regierungen-auf-huawei-technologie-zu-verzichten/23671822.html

Geschäftsgeheimnisse: Handlungsbedarf für Unternehmen wegen EU-Richtlinie

Geschäftsgeheimnisse (z.B. Ihre Konstruktionspläne, Preislisten, Kundenlisten, Rezepturen) werden ab 2019 durch das neue Geschäftsgeheimnisgesetz (GeschGehG) deutlich effektiver geschützt als bisher. Unternehmen müssen jedoch aktiv werden, wenn sie Know-How Diebstahl, z.B. durch abgeworbene Mitarbeiter oder durch die Konkurrenz, künftig mit den harten Sanktionsmöglichkeiten des neuen Gesetzes verfolgen wollen.

Geschäftsgeheimnis nur noch bei „angemessenen Geheimhaltungsmaßnahmen“ geschützt

Nach §2 Ziff. 1 GeschGehG gelten künftig nur noch solche Informationen als schutzfähiges Geschäftsgeheimnis, die „Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber sind“.

Der Inhaber des Geschäftsgeheimnisses muss also nachweisen können, dass er das Geschäftsgeheimnis ordentlich geschützt hatte. Anderenfalls wird er seine Ansprüche gegen Verletzer des Geschäftsgeheimnisses (z.B. gegen ehemalige Mitarbeiter, Freelancer, Konkurrenten) künftig nicht mehr gerichtlich durchsetzen können.

Vertraulichkeitsvereinbarungen und TOMs anpassen

Vor diesem Hintergrund sollten z.B. Vertraulichkeitsvereinbarungen sowie technische und organisatorische Maßnahmen im Unternehmen darauf überprüft werden, ob sie hinreichenden Schutz bieten, um im Ernstfall als Grundlage für die Durchsetzung von Ansprüchen gegen Verletzer von Geschäftsgeheimnissen zu dienen.

Effektivere Ahndung von Verstößen durch Geschäftsgeheimnisgesetz

Den erhöhten Anforderungen an die Schutzfähigkeit Ihres Know-Hows steht eine erfreuliche Verschärfung der Mittel zur Ahndung von Verstößen gegen den Geheimnisschutz gegenüber. Wie im Patent- und Markenrecht stehen dem Inhaber des Geschäftsgeheimnisses künftig weitreichende Ansprüche auf Unterlassung, Beseitigung, Vernichtung, Herausgabe, Rückruf, Auskunft und Schadensersatz zu.

Fazit:

Innovative Unternehmen sind zunehmend unlauteren Praktiken ausgesetzt, die auf eine rechtswidrige Aneignung von Geschäftsgeheimnissen abzielen. Es ist deshalb zu begrüßen, dass der Geheimnisschutz durch das neue Geheimnisschutzgesetz in Deutschland eine erhebliche Aufwertung erfährt.

Wer sich fit für das Geschäftsgeheimnisgesetz 2019 macht, verfügt künftig über ein deutlich effektiveres Instrumentarium, um Wissensdiebstahl und der Verletzung von Geheimhaltungspflichten vorzubeugen und Verstöße im Ernstfall mit entsprechender Härte zu ahnden.

Kommt bald eine Zustimmungspflicht für Tracking?

Zukünftig könnte es eine Zustimmungspflicht für Tracking auf Internetseiten durch die deutschen Datenschutzbehörden geben. Dies soll ein wichtiges Thema bei der Anfang November anstehenden Datenschutzkonferenz (DSK) sein. Bereits im April 2018 forderte die DSK eine entsprechende Zustimmungspflicht, die nicht durchgesetzt werden konnte. Daher bemühen sich die Datenschützer mit den betroffenen Unternehmen zu einem gemeinsamen, tragbaren Ergebnis zu kommen.
Ausgangspunkt ist die noch nicht durchgesetzte E-Privacy-Verordnung, die eigentlich gleichzeitig mit der Datenschutzgrundverordnung (DSGVO) in Kraft treten sollte. Die EU-Mitgliedsstaaten haben sich bisher nicht auf eine gemeinsame Position einigen können, worauf hin die deutschen Datenschützer auf die Vorgaben der DSGVO hinweisen und das bestehende Telemediengesetz (TMG) für nicht ausreichend halten.

Mehr zum Thema lesen Sie hier:
https://www.golem.de/news/e-privacy-verordnung-zustimmungspflicht-fuer-tracking-koennte-bald-kommen-1809-136830.html

Datenaustausch mit den USA könnte gestoppt werden

Das vom Europäische Gerichtshof (EuGH) für ungültig erklärte „Safe Harbor-Abkommen“ mit den USA im Oktober 2015 musste notwendigerweise neu geregelt werden. Unter Berücksichtigung der neuen Datenschutzgrundverordnung (DSGVO) erlaubt die EU nur die Datenübertragung in Länder mit einem „angemessenen Schutzniveau“ (Artikel 45) oder auf Basis von Standarddatenschutzklauseln (Artikel 46). Das Europaparlament ist jedoch der Ansicht, das die Datenübertragung in die USA noch immer nicht den Erfordernissen des europäischen Datenschutzes entsprechen. Daher entschied das Parlament, die Übertragung personenbezogener Daten auf Basis des sogenannten Privacy Shield ab dem 1. September 2018 auszusetzen, sollte die USA nicht für einen ausreichenden Schutz personenbezogener Daten von EU-Bürgern sorgen. Laut Pressemitteilung wurde dies mit 303 Stimmen bei zwei Enthaltungen vom Europaparlament angenommen. 223 EU-Abgeordnete stimmten dagegen.

Mehr zum Thema lesen Sie hier:
https://www.golem.de/news/privacy-shield-europaparlament-will-datenaustausch-mit-den-usa-stoppen-1807-135345.html

Fahrdienstvermittler Uber muss für verheimlichten Hackerangriff zahlen

Das US-Unternehmen Uber hat gegenüber den US-Justizbehörden einen Hackerangriff aus dem Jahr 2016 verheimlichen wollen. Das Unternehmen gab erst im November 2017 zu, 100.000 US-Dollar an einen Angreifer gezahlt zu haben, der dem Unternehmen rund 60 Millionen Kundendaten mit Namen, E-Mail-Adressen und Telefonnummern gestohlen hat. Hinzu kommen noch einmal ca. sieben Millionen Führerschein-Daten der Uber-Nutzer. Diesen Fall hätte der Fahrdienstvermittler umgehend den US-Behörden sowie Kunden und Fahrer mitteilen müssen. In einem Vergleich mit den US-Behörden habe der Fahrdienstvermittler eine Strafe in Höhe von 148 Millionen US-Dollar akzeptiert. Zusätzlich muss Uber Auflagen zur Verbesserungen der Datensicherheit erfüllen. 

Mehr zum Thema finden Sie hier:
http://golem.de/news/hack-uber-zahlt-148-millionen-us-dollar-strafe-1809-136823.html

Abmahnung bei nicht DSGVO-konformer Datenschutzerklärung

Die große Abmahnwelle zur Umstellung auf die seit dem 25. Mai 2018 gültigen Datenschutzgrundverordnung blieb, entgegen allen Befürchtungen, weitestgehend aus.

Durch die große Rechtsunsicherheit, die bei der Einführung der DSGVO entstand, musste sich das LG Würzburg (Az. 11 O 1741/18 UWG vom 13.09.2018) mit der Frage beschäftigen, ob Datenschutzverstöße gleichzeitig auch gegen das Wettbewerbsrecht durch Mitbewerber kostenpflichtig beanstandet werden können.

Das Landgericht Würzburg musste entscheiden, ob die Regelungen der DSGVO unter die Vorschrift des Paragrafen 3a des Gesetzes gegen den unlauteren Wettbewerb (UWG) fallen könnten. Dazu stellte das Gericht fest: Ein Verstoß gegen die Vorgaben muss geeignet sein, die Interessen von Verbrauchern oder Mitbewerbern „spürbar zu beeinträchtigen“. 

In dem zu klärenden Fall hatte ein Anwalt gegen einen Kollegen geklagt, der mit nur sieben Zeilen seine Datenschutzerklärung aufstellte. Das LG Würzburg entschied explizit im Sinne der geltenden DSGVO, da der Beklagte über ein Kontaktformular Daten erheben könne und „zwingend auch eine Verschlüsselung der Homepage erforderlich ist, die hier fehlt“. 

Mehr zum Thema finden Sie hier:
https://www.heise.de/newsticker/meldung/Landgericht-Verstoesse-gegen-DSGVO-grundsaetzlich-abmahnbar