Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: TOMs

  • EuGH: Schon die Angst vor Datenmissbrauch kann ein Schaden sein

    Nach Cyberangriffen und Datenlecks fragen Betroffene regelmäßig, ob sie Schadensersatz verlangen können, auch wenn mit ihren Daten (noch) nichts passiert ist. Der Gerichtshof der Europäischen Union hat dazu mit Urteil vom 14. Dezember 2023 (Rs. C-340/21) wichtige Antworten gegeben. Das Urteil betrifft zugleich die Frage, wann ein Unternehmen für einen Hackerangriff haftet, und erhöht die Anforderungen an die Dokumentation der IT-Sicherheit.

    Der Fall

    Bei einem Cyberangriff auf die bulgarische Nationale Agentur für Einnahmen waren personenbezogene Daten von Millionen Menschen erbeutet und im Internet veröffentlicht worden. Eine Betroffene verlangte Ersatz ihres immateriellen Schadens: Sie befürchte, dass ihre Daten künftig missbraucht werden könnten. Das bulgarische Oberste Verwaltungsgericht legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Allein aus der Tatsache, dass Dritte unbefugt auf Daten zugegriffen haben, kann nicht geschlossen werden, dass die technischen und organisatorischen Maßnahmen des Verantwortlichen nicht geeignet waren.
    • Die nationalen Gerichte müssen die Geeignetheit der Maßnahmen konkret prüfen und dürfen sich nicht auf eine pauschale Bewertung beschränken.
    • Das Unternehmen muss nachweisen, dass seine Maßnahmen geeignet waren. Ein Sachverständigengutachten ist dafür nicht in jedem Fall zwingend oder ausreichend.
    • Der Verantwortliche wird nicht schon deshalb von der Haftung befreit, weil der Schaden durch Cyberkriminelle verursacht wurde. Er muss nachweisen, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist.
    • Bereits die Befürchtung einer betroffenen Person, ihre Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden darstellen. Das Gericht muss allerdings prüfen, ob diese Befürchtung unter den gegebenen Umständen als begründet angesehen werden kann.

    Einordnung

    Das Urteil knüpft an die Grundsatzentscheidung zur Österreichischen Post an: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber nicht. Nun stellt der EuGH klar, dass auch ohne tatsächlichen Missbrauch ein Schaden vorliegen kann, wenn die Angst vor Missbrauch nachvollziehbar ist. Für Betroffene erleichtert das die Durchsetzung von Ansprüchen nach Datenlecks deutlich.

    Was bedeutet das für Unternehmen?

    Unternehmen tragen nach einem Cyberangriff die Beweislast dafür, dass ihre Sicherheitsmaßnahmen angemessen waren. Das hat praktische Konsequenzen:

    • Sicherheitsmaßnahmen müssen nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert sein.
    • Regelmäßige Überprüfungen, Penetrationstests und Updates sollten protokolliert werden.
    • Nach einem Vorfall ist eine sorgfältige Aufarbeitung wichtig, auch im Hinblick auf mögliche Schadensersatzprozesse. Zu den Sofortmaßnahmen siehe unseren Leitfaden zur Datenpanne.

    Was bedeutet das für Betroffene?

    Wer von einem Datenleck betroffen ist, sollte dokumentieren, welche Daten betroffen sind, welche Benachrichtigungen er erhalten hat und welche konkreten Sorgen oder Folgen aufgetreten sind, etwa verdächtige E-Mails oder Anrufe. Je konkreter die Befürchtung begründet werden kann, desto besser stehen die Chancen auf Schadensersatz.

    Ein Hackerangriff ist kein Haftungsfreibrief; es kommt darauf an, ob angemessen vorgesorgt wurde. Wir beraten Betroffene von Datenlecks ebenso wie Unternehmen, die nach einem Cyberangriff in Anspruch genommen werden. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.

  • E-Mail-Verschlüsselung: Wann ist sie nach der DSGVO Pflicht?

    E-Mail ist nach wie vor das wichtigste Kommunikationsmittel im Geschäftsleben. Mit ihr werden täglich Rechnungen, Verträge, Lohnabrechnungen, Arztbriefe oder Bewerbungen versendet. Die DSGVO schreibt keine bestimmte Verschlüsselungstechnik vor. Sie verlangt aber in Art. 32 ein dem Risiko angemessenes Schutzniveau. Ob und wie E-Mails verschlüsselt werden müssen, hängt deshalb vom Inhalt ab.

    Zwei Arten der Verschlüsselung

    Transportverschlüsselung (TLS): Die Verbindung zwischen den E-Mail-Servern wird verschlüsselt. Die Nachricht liegt jedoch auf den beteiligten Servern im Klartext vor. TLS ist heute weit verbreitet und schützt gegen das Mitlesen auf dem Übertragungsweg. Inhaltsverschlüsselung (Ende-zu-Ende): Die Nachricht selbst wird verschlüsselt, etwa mit S/MIME oder OpenPGP, und kann nur vom Empfänger entschlüsselt werden. Auch die Betreiber der Server können den Inhalt nicht lesen.

    Der risikobasierte Ansatz der Aufsichtsbehörden

    Die Datenschutzkonferenz hat in einer Orientierungshilfe zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail Maßstäbe formuliert. Vereinfacht gilt:

    • Für alltägliche Geschäftskorrespondenz mit normalem Risiko genügt in der Regel eine obligatorische Transportverschlüsselung, die sicher konfiguriert ist.
    • Bei hohem Risiko, also bei sensiblen Daten wie Gesundheitsdaten, Kontoverbindungen in Verbindung mit weiteren Daten, Personalakten oder Daten über strafrechtliche Verfahren, ist regelmäßig eine Ende-zu-Ende-Verschlüsselung oder ein gleichwertiges Verfahren erforderlich.

    Praktische Alternativen

    Da Ende-zu-Ende-Verschlüsselung voraussetzt, dass auch der Empfänger mitmacht, setzen viele Unternehmen auf praktikable Alternativen:

    • verschlüsselte PDF- oder ZIP-Anhänge mit starkem Passwort, wobei das Passwort auf anderem Weg (z. B. telefonisch oder per SMS) übermittelt wird,
    • Portallösungen, bei denen der Empfänger einen Link zu einem gesicherten Download-Bereich erhält,
    • Kundenportale, in denen Dokumente in einem geschützten Kundenkonto bereitgestellt werden.

    Was ist mit Einwilligung des Empfängers?

    Häufig wünschen Kunden oder Patienten ausdrücklich den unverschlüsselten Versand. Ob und in welchen Grenzen Betroffene auf das Schutzniveau verzichten können, ist umstritten. Einige Aufsichtsbehörden halten einen Verzicht für die eigenen Daten des Betroffenen in bestimmten Konstellationen für möglich, wenn er informiert und ausdrücklich erfolgt. Für Daten Dritter ist ein Verzicht ausgeschlossen. Dokumentieren Sie solche Fälle sorgfältig.

    Organisatorische Maßnahmen nicht vergessen

    Viele E-Mail-Datenpannen entstehen nicht durch Hacker, sondern durch Fehlbedienung: falscher Empfänger durch Autovervollständigung, offener Verteiler statt BCC, falscher Anhang. Schulungen, eine kurze Prüfroutine vor dem Versand sensibler Daten und technische Hilfen, etwa Warnhinweise bei externen Empfängern, helfen. Passiert doch etwas, gilt unser Leitfaden zur Datenpanne. Die E-Mail-Sicherheit sollte zudem in Ihrem TOM-Konzept beschrieben sein.

    Eine Lösung, die dem Risiko entspricht, nützt nur, wenn sie im Alltag auch genutzt wird. Gern prüfen wir mit Ihnen, wie Ihre E-Mail-Kommunikation datenschutzkonform und praktikabel aufgestellt werden kann. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.

  • Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?

    Die Datenschutz-Folgenabschätzung (DSFA) gehört zu den Instrumenten der DSGVO, die in kleinen und mittleren Unternehmen oft unbekannt sind oder gefürchtet werden. Dabei ist sie im Kern ein strukturiertes Nachdenken über Risiken, bevor eine neue Datenverarbeitung startet. Art. 35 DSGVO verlangt sie nur in bestimmten Fällen. Welche das sind und wie eine DSFA abläuft, erläutern wir im Folgenden.

    Wann ist eine DSFA erforderlich?

    Eine DSFA ist durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele:

    • systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung dient,
    • umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen,
    • systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

    Die „Muss-Liste“ der Aufsichtsbehörden

    Die deutschen Aufsichtsbehörden haben zusätzlich eine Liste von Verarbeitungsvorgängen veröffentlicht, für die stets eine DSFA durchzuführen ist. Dazu zählen beispielsweise umfangreiche Verarbeitungen von Standortdaten, die Zusammenführung von Daten aus verschiedenen Quellen, die umfassende Überwachung von Beschäftigten oder der Einsatz bestimmter neuer Technologien zur Interaktion mit Betroffenen. Prüfen Sie diese Liste bei jeder neuen Verarbeitung.

    Als Faustregel helfen zudem die Kriterien des Europäischen Datenschutzausschusses, etwa Bewertung und Scoring, systematische Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Personen wie Beschäftigte oder Kinder und innovative Technologien. Treffen mindestens zwei dieser Kriterien zu, ist in der Regel eine DSFA angezeigt.

    Typische Fälle in der Praxis

    • umfangreiche Videoüberwachung von Geschäftsräumen,
    • GPS-Ortung von Dienstfahrzeugen oder Leistungskontrollen von Beschäftigten,
    • Patientenverwaltung in größeren Praxen oder Pflegediensten,
    • Kundenbindungsprogramme mit umfassendem Profiling,
    • neue Software, die große Mengen Beschäftigtendaten automatisiert auswertet.

    Ablauf einer DSFA

    1. Die geplante Verarbeitung und ihre Zwecke werden beschrieben, einschließlich der berechtigten Interessen.
    2. Es folgt die Bewertung von Notwendigkeit und Verhältnismäßigkeit: Geht es auch mit weniger Daten?
    3. Dann werden die Risiken bewertet: Welche Schäden drohen den Betroffenen, wie wahrscheinlich und wie schwer sind sie?
    4. Festgelegt werden die Abhilfemaßnahmen, also technische und organisatorische Maßnahmen, die das Risiko reduzieren.
    5. Am Ende stehen Ergebnis und Dokumentation, unter Einbindung des Datenschutzbeauftragten, sofern benannt.

    Bleibt trotz aller Maßnahmen ein hohes Risiko bestehen, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO). Das kommt in der Praxis selten vor.

    Folge für den Datenschutzbeauftragten

    Wichtig für kleinere Unternehmen: Wer Verarbeitungen durchführt, die einer DSFA unterliegen, muss nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten benennen. Mehr dazu in unserem Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

    Prüfen Sie bei jedem neuen Projekt mit Personenbezug kurz, ob eine DSFA nötig ist, und halten Sie auch das Ergebnis dieser Vorprüfung fest. Bei der Einschätzung und der Durchführung unterstützen wir Sie. Sprechen Sie uns an oder buchen Sie einen Termin.

  • TOMs nach Art. 32 DSGVO: Praxisleitfaden für KMU

    „Technische und organisatorische Maßnahmen“, kurz TOMs, klingt nach IT-Abteilung und Sicherheitszertifikat. Tatsächlich betrifft Art. 32 DSGVO jedes Unternehmen, vom Handwerksbetrieb bis zum Mittelständler. Die Vorschrift verlangt, die Sicherheit personenbezogener Daten durch Maßnahmen zu gewährleisten, die dem Risiko angemessen sind. Nicht jedes Unternehmen braucht deshalb ein Hochsicherheitsrechenzentrum, wohl aber ein durchdachtes Sicherheitskonzept.

    Der risikobasierte Ansatz

    Art. 32 Abs. 1 DSGVO nennt als Kriterien den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Betroffenen. Eine Arztpraxis mit Gesundheitsdaten muss also höhere Anforderungen erfüllen als ein Blumenladen mit einer Kundenkartei. Ausdrücklich genannt werden unter anderem Pseudonymisierung und Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.

    Technische Maßnahmen: Die Basics

    • individuelle Benutzerkonten, starke Passwörter und Zwei-Faktor-Authentifizierung für E-Mail und Fernzugriffe,
    • ein Berechtigungskonzept, nach dem jeder nur die Daten sieht, die er für seine Arbeit benötigt,
    • regelmäßige Updates von Betriebssystemen, Programmen und Firewalls,
    • Verschlüsselung von Laptops, Smartphones und mobilen Datenträgern, die Website nur über HTTPS,
    • regelmäßige Backups, getrennt vom Produktivsystem, mit getesteter Wiederherstellung,
    • Virenschutz und Filter für E-Mail-Anhänge.

    Organisatorische Maßnahmen

    • Verpflichtung aller Beschäftigten auf Vertraulichkeit,
    • Schulung und Sensibilisierung, insbesondere zu Phishing-E-Mails,
    • klare Regeln für Homeoffice, private Geräte und die Weitergabe von Daten,
    • Zutrittskontrolle zu Büro- und Serverräumen,
    • Clean-Desk-Regel und datenschutzgerechte Aktenvernichtung,
    • ein Notfallplan für Datenpannen und IT-Ausfälle.

    Gerade für mobiles Arbeiten lohnt ein Blick in unsere Homeoffice-Checkliste. Und für den Ernstfall sollte jeder wissen, wie eine Datenpanne binnen 72 Stunden gemeldet wird.

    Dokumentation: Das TOM-Konzept

    Die Maßnahmen sollten schriftlich dokumentiert werden. Das TOM-Dokument dient mehreren Zwecken: Es ist Teil der Rechenschaftspflicht, wird im Verzeichnis von Verarbeitungstätigkeiten referenziert und ist Anlage zu Auftragsverarbeitungsverträgen, wenn Sie selbst als Dienstleister tätig sind. Gliedern Sie es nach Schutzzielen und beschreiben Sie konkret, was umgesetzt ist. Das Dokument soll die gelebte Praxis abbilden, keine Wunschliste.

    Regelmäßig überprüfen

    Der Stand der Technik entwickelt sich weiter. Was vor drei Jahren ausreichend war, kann heute veraltet sein. Planen Sie mindestens eine jährliche Überprüfung ein und passen Sie die Maßnahmen bei neuen Systemen oder Vorfällen an. Dass unzureichende Sicherheitsmaßnahmen zu empfindlichen Bußgeldern führen können, zeigt etwa das Verfahren gegen einen Telekommunikationsanbieter, über das wir im Beitrag zum Urteil des LG Bonn berichtet haben.

    Viele wirksame Maßnahmen wie Zwei-Faktor-Authentifizierung, Updates, Backups und Schulungen lassen sich mit überschaubarem Aufwand umsetzen. Wenn Sie Ihre TOMs dokumentieren oder überprüfen lassen möchten, helfen wir Ihnen. Kontakt oder Online-Termin.

  • Löschkonzept erstellen: Wann Daten gelöscht werden müssen

    Speicherplatz ist billig, deshalb bewahren viele Unternehmen Daten einfach auf. Kundendaten aus dem Jahr 2010, Bewerbungen von vor drei Jahren, alte E-Mail-Postfächer ausgeschiedener Mitarbeiter: In fast jedem Betrieb finden sich Datenbestände, die längst hätten gelöscht werden müssen. Die DSGVO verlangt jedoch, dass personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Ein Löschkonzept hilft, diesen Grundsatz systematisch umzusetzen.

    Warum ein Löschkonzept?

    Ein Löschkonzept beschreibt, welche Daten wann und wie gelöscht werden. Es ist nicht ausdrücklich im Gesetz genannt, ergibt sich aber aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), aus dem Recht auf Löschung (Art. 17 DSGVO) und aus der Pflicht, im Verzeichnis von Verarbeitungstätigkeiten Löschfristen anzugeben. Weniger Daten bedeuten zudem weniger Risiko: Bei einer Datenpanne oder einem Auskunftsersuchen ist der Aufwand umso geringer, je schlanker die Datenbestände sind.

    Schritt 1: Datenkategorien bilden

    Ausgangspunkt ist Ihr Verzeichnis von Verarbeitungstätigkeiten. Fassen Sie Daten zu Kategorien mit gleicher Speicherdauer zusammen, etwa: Bewerbungsunterlagen, Personalakten, Rechnungen und Buchungsbelege, Geschäftsbriefe, Angebote ohne Auftrag, Newsletter-Abonnenten, Videoaufzeichnungen, Protokolldaten der Website.

    Schritt 2: Fristen bestimmen

    Für jede Kategorie ist zu klären, wie lange sie benötigt wird. Maßgeblich sind vor allem gesetzliche Aufbewahrungspflichten. Nach § 147 AO und § 257 HGB sind etwa Buchungsbelege und Handelsbücher zehn Jahre, empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre aufzubewahren. Hinzu kommen Verjährungsfristen für mögliche Ansprüche, die eine längere Speicherung rechtfertigen können, wenn sie konkret begründet sind. Achten Sie auch auf den Fristbeginn, häufig der Schluss des Kalenderjahres, in dem das Dokument entstanden ist.

    Schritt 3: Zuständigkeiten und Routinen

    Legen Sie fest, wer für die Löschung welcher Daten verantwortlich ist und wann sie erfolgt, zum Beispiel einmal jährlich im ersten Quartal. Wo möglich, sollten Löschungen automatisiert werden. Viele Programme bieten Funktionen zur automatischen Löschung oder Archivierung. Wo Daten nach Ablauf der Frist nicht sofort gelöscht werden können, etwa wegen laufender Aufbewahrungspflichten für einzelne Bestandteile, ist eine Sperrung bzw. Einschränkung der Verarbeitung vorzusehen.

    Schritt 4: Wie wird gelöscht?

    Löschen bedeutet, dass die Daten nicht mehr oder nur mit unverhältnismäßigem Aufwand wiederhergestellt werden können. Das bloße Verschieben in den Papierkorb genügt nicht. Für Papierakten bietet sich eine zertifizierte Aktenvernichtung an. Der Dienstleister ist dann in der Regel Auftragsverarbeiter, mit dem ein Vertrag nach Art. 28 DSGVO zu schließen ist. Auch Backups müssen berücksichtigt werden: Hier genügt es in der Regel, wenn sie nach einem festgelegten Zyklus überschrieben werden und gelöschte Daten bei einer Wiederherstellung nicht reaktiviert werden.

    Schritt 5: Dokumentieren

    Halten Sie das Konzept schriftlich fest und protokollieren Sie die durchgeführten Löschläufe. So können Sie gegenüber Aufsichtsbehörden und Betroffenen belegen, dass Sie den Grundsatz der Speicherbegrenzung umsetzen.

    In vielen kleinen Unternehmen genügt eine Tabelle mit Datenkategorie, Frist, Fristbeginn, Verantwortlichem und Löschmethode, sofern sie mit einem festen jährlichen Löschtermin auch gelebt wird. Bei der Einführung und bei Fragen zu Aufbewahrungsfristen unterstützen wir Sie: Nachricht senden oder Termin online buchen.