So wird’s was …

Wir begrüßen unseren Pro Bono-Mandanten 2022 sehr herzlich:

In der Oldenburger Kunstschule wird die eigenständige Ausdruckskraft von Kindern und Jugendlichen gefördert und begleitet. Das Spektrum reicht von der ästhetischen Früherziehung bis zur vorberuflichen Bildung, der Vorbereitung auf künstlerische, gestaltende Berufe. Sie verfügt über zwei Standorte in der Stadt, jeweils mit einem barrierefreien Erdgeschoss. Insgesamt stehen über 800 m² Arbeitsfläche mit gut ausgestatteten Ateliers und Werkstätten zur Verfügung. Die Arbeitsformen der Kunstschule umfassen sowohl Kurse als auch Aktionen und Projekte. Ihre Ergebnisse werden stadtöffentlich vorgestellt. Seit 2017 unterhält die Kunstschule zudem in einem Leerstand in der Oldenburger Innenstadt ein Stadtatelier, verbunden mit einem Artist in Residence Programm für junge Künstler- und DesignerInnen.

Datenschutz-Herold 01/2022

Sehr geehrte Beschäftigte,

wie die LeserInnen unseres Ritterbriefs bereits erfahren haben, wurde der Newsletter aufgrund der Erweiterung unserer Geschäftsbereiche umbenannt. Wir begrüßen Sie deshalb herzlich zum Datenschutz-Herold. Um es mit den Worten von Freddie Frinton in seiner Rolle als Butler James in diesem einen, jährlich wiederholten Neujahrssketch zu sagen – „The same procedure as every year“ – begleiten wir Sie und Ihr Unternehmen auch in diesem Jahr mit der datenschutzrechtlichen Unterstützung.

Im Datenschutz folgt die Umsetzung einem im Grunde immer gleichen, kreisenden Laufweg um einen Esstisch mit allen beteiligten Parteien, wie ihn auch Butler James jedes Jahr auf‘s Neue nimmt. Der kleine und nicht unwesentliche Unterschied ist, dass wir den Tigerkopf früh genug erspähen und nicht darüber stolpern werden. Auch würden wir uns nie erlauben, während des Weges „einen Schluck“ zu nehmen. Stattdessen nutzen wir unsere Route, um Sie über Themen wie die folgenden zu informieren und zu sensibilisieren:

Datenschutzvorfall! Wie fühlt man sich, wenn man betroffen ist?
Alle Neune: Sensibilisierung
Kaspersky – Der Feind in meinem System?
Telekommunikation und Telemedien. Ein neues Datenschutzgesetz
Facebook Datenleck 2.0
Huch!: Falsche E-Mail-Adresse!
Unsere Einschätzung zum sicheren Faxversand
Bußgelder

Natürlich möchten wir uns – auch durch Ihr Feedback – laufend weiterentwickeln, deshalb führen wir mit diesem Datenschutz-Herold zwei neue Serien ein. Die Serie „Alle Neune“ erklärt ein Fachthema aus dem Datenschutzbereich komprimiert und dennoch genau. Die Serie „Huch!“ behandelt häufig auftretende Fehler und Missgeschicke, informiert über Konsequenzen und gibt Tipps, um so etwas in Zukunft zu vermeiden. Über Bußgelder klären wir Sie ab jetzt komprimierter auf, liefern aber trotzdem weiterhin Details.

Wir wünschen Ihnen einen erfolgreichen Start in das neue Quartal und viel Vergnügen beim Lesen unseres Datenschutz-Herolds.

Mit freundlichen Grüßen
Jörg Stockmann, eDSB

1 Datenschutzvorfall! – Wie fühlt man sich, wenn man betroffen ist?

Wer hasst es nicht? Die eigene Welt ist in Ordnung, man trinkt morgens seinen Kaffee oder Tee und liest die E-Mails durch. Inmitten der ganzen Newsletter, die man eigentlich schon abbestellt hat, findet sich dann der Satz ‚Wir hatten einen Datenschutzvorfall‘. Und nun? Lernen wir am Beispiel.

Empfehlung: Sollte ein Datenschutzvorfall auftreten, sollte man immer sachlich und ruhig reagieren, den Datenschutzbeauftragten informieren und den Betroffenen gegenüber transparent sein.

Was ist passiert?

Am Morgen des 20. Januar 2022 wurde der Onlineshop thalia.de von Hackern angegriffen. Hierbei wurde mit einer BruteForce-Attacke auf die Anmeldeoberfläche versucht, Zugriff auf KundInnenkonten zu erlangen. Bei einigen der KundInnenkonten war dieser Angriff erfolgreich und den Hackern war der Zugriff möglich. Der Anbieter hat daraufhin eine Information an alle Betroffenen gesendet. Es wurden weder Daten verändert noch Bestellungen abgegriffen. Unmittelbar nach Bekanntwerden hat der Anbieter alle Kennwörter zurückgesetzt. In der Information an die Betroffenen wurde empfohlen, alle Kennwörter zu ändern – vor allem, wenn man die Kombination Benutzername und Passwort auch auf anderen Webseiten benutzt.

Interview mit einer betroffenen Person

Betroffen war auch das Konto einer Mitarbeitenden unseres Hauses, welche anonym bleiben soll. Folgend nennen wir sie Erika Mustermann. Wir wollten wissen, wie es eigentlich ist von einem Datenschutzvorfall betroffen zu sein.

Avallon:	Erika:
„Ist das Konto noch aktiv? Warum bzw. Warum nicht?“	„Ja, trotz des Vorfalls ist mein Konto noch aktiv. Der Service von Thalia ist weiterhin gut und ich fühlte mich durch die Information mitgenommen.“
„Am 27.01 haben Sie eine E-Mail erhalten über den Vorfall auf thalia.de erhalten. Was hat das verursacht? Wie fühlten Sie sich?“	„Im ersten Moment war ich sehr erschrocken und unsicher; das ist mir vorher noch nie passiert und ich bin das erste Mal betroffen von einem Hackerangriff. Somit wusste ich auch im ersten Moment nicht, was ich tun soll.“
„Haben Sie etwas an Ihrem Sicherheitsverhalten geändert?“	„Durch den Vorfall wird mir immer mulmig bei der Eingabe von Bankdaten, es geht ein wenig das grundlegende Vertrauen verloren – unabhängig vom Betreiber einer Seite.“
„Wie organisieren Sie Ihre Passwörter?“	„Ich nutze die Passwortkarte von Avallon und habe ein System mit einer Konstante und einem individuellen Teil im Passwort. Außerdem nutze ich einen abgesicherten Passwortmanager.“

Was lernen wir daraus?

Bei einem Vorfall sollte man immer sachlich und ruhig reagieren. Natürlich ist es wichtig dafür zu sorgen, dass sich so etwas überhaupt nicht ereignen kann. Aber wenn doch, dann ist Transparenz und Besonnenheit enorm wichtig. Betroffene müssen bei einem solchen Vorfall transparent begleitet werden. Als verantwortliche Stelle ist es wichtig, die Betroffenen zu informieren und ihnen Hilfestellung anzubieten, um den Schaden so gering wie nur möglich zu halten. Dadurch fühlen sich Betroffene sehr gut beraten und aufgehoben. Durch dieses aktive Beschwerdemanagement minimiert man die Wahrscheinlichkeit, dass sich hieraus etwas Weitreichenderes, wie zum Beispiel eine Forderung nach Schadensersatz, entwickelt.

2 Alle Neune: Sensibilisierung

Die Sensibilisierung der MitarbeiterInnen für den Datenschutz ist eine besondere Aufgabe nach der Datenschutz-Grundverordnung (DSGVO) für den Verantwortlichen und den Datenschutzbeauftragten (DSB).

Empfehlung: Wer die nähere Bedeutung der Aufgabe des DSB zur Sensibilisierung kennt, kann die damit verbundenen Chancen direkt an seinem Arbeitsplatz nutzen.

Sensibilisierung und Schulung”. Zwei verschiedene Aufgaben: Zu den gesetzlichen Aufgaben des DSB gehören u.a. die „Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeitern und der diesbezüglichen Überprüfungen“ (Artikel 39 Absatz 1 lit. b DSGVO).

Sensibilisierung ist keine Schulung: Die Differenzierung zeigt, dass es sich bei der Sensibilisierung nicht um eine allgemeine Schulung der Beschäftigten zum Datenschutz handelt, denn die Schulung wird zusätzlich aufgeführt.

Sensibilisierung gehört zu den Überwachungspflichten: Der Begriff der Sensibilisierung wird erst verständlich, wenn man berücksichtigt, dass sich die gesetzlich aufgelisteten Aufgaben auf die Überwachungspflichten des DSB im Unternehmen beziehen.

Sensibilisierung zur Kontrolle der Arbeitsbereiche: Die Überwachungspflichten des DSB sind auf die Kontrolle der Einhaltung der Grundsätze und der Pflichten aus der DSGVO gerichtet und beziehen sich auf das Unternehmen insgesamt, wie auch die jeweiligen Arbeitsbereiche oder Abteilungen des Unternehmens, in denen personenbezogene Daten verarbeitet werden

Sensibilisierung für die spezifischen Aufgaben: Die Sensibilisierung richtet sich zudem an die „an den Verarbeitungsvorgängen beteiligten Mitarbeiter“ und zielt damit nicht auf die allgemeinen gesetzlichen Pflichten (Schulung) ab, sondern betrifft die spezifischen betrieblichen Aufgaben, die von den jeweiligen MitarbeiterInnen bei der Verarbeitung von personenbezogenen Daten durchgeführt werden.

Sensibilisierung für die konkreten Verarbeitungsvorgänge: Eine Sensibilisierung der MitarbeiterInnen durch den DSB bedeutet also eine zielgerichtete Information für die jeweiligen Tätigkeitsbereiche oder Abteilungen des Unternehmens und die dortigen Verarbeitungsvorgänge für personenbezogene Daten.

Sensibilisierung zum Schutz der personenbezogenen Daten: Besonderes viele und auch sensible Daten (z.B. Gesundheitsdaten) werden etwa in einer Personalabteilung eines Unternehmens verarbeitet, mit der Folge, dass die dort beschäftigten MitarbeiterInnen für den Schutz der verarbeiteten personenbezogenen Daten der Beschäftigten des Unternehmens zu sensibilisieren sind.

Sensibilisierung direkt für den Arbeitsplatz: Aus dieser Sensibilisierungspflicht nach der DSGVO folgt also die Möglichkeit bzw. das gesetzliche Angebot an die MitarbeiterInnen des Unternehmens, sich die datenschutzrechtlichen Anforderungen und notwenige Maßnahmen für ihren Arbeitsbereich vom DSB aufzeigen zu lassen.

Sensibilisierung passgenau für die Arbeitsbereiche: Die Pflicht und das Recht zur Sensibilisierung ist daher eine zielgerichtete und auf die jeweilige tatsächliche betriebliche Verarbeitungstätigkeit passgenau abgestimmte Information der MitarbeiterInnen über die Schutzpflichten nach der DSGVO.

Quellen:

DSGVO und BDSG – Erläuterungen (bfdi.bund.de)

3 Kaspersky – Der Feind in meinem System?

Virenschutzsoftware ist ein wesentlicher Bestandteil der IT-Sicherheit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt jetzt vor dem russischen Anbieter Kaspersky. Anlass ist der Ukraine-Krieg und den damit verbundenen russischen Drohungen gegen die EU, die NATO und Deutschland.

Empfehlung: Ja. Das BSI empfiehlt Unternehmen und Behörden, nach gründlicher interner Abwägung, dass die Virenschutzsoftware von Kaspersky durch alternative Produkte ersetzt werden sollte. Auch private AnwenderInnen können betroffen sein.

Warum ist das ein Problem?

Eine Virenschutzsoftware greift tief in Betriebssysteme ein, hat weitreichende Rechte im System und kommuniziert via Internet mit dem Hersteller. Das BSI stellt die Zuverlässigkeit und Integrität des russischen Anbieters in Frage. Durch bewusste oder aufgezwungene Operationen können Zielsysteme Opfer eines weitreichenden IT-Angriffs werden.

Direkte Manipulationen an der Software von Kaspersky können Angreifern ermöglichen, Aufklärungs- und Sabotageaktionen durchzuführen. Die Produkte von Kaspersky würden nicht mehr den Schutz vor Zugriffen von außen abwehren, denn sie wären dann ein Teil des Angriffs.

Was bedeutet das konkret?

Für normale PrivatanwenderInnen wird das Risiko für einen Angriff deutlich niedriger eingeschätzt als für Unternehmen. Allerdings könnte jede/r AnwenderIn im Falle eines größeren Angriffsfall trotzdem betroffen sein. Die Folgen sind schwer abschätzbar: Von einem nicht funktionierenden Virenschutz bis hin zum Verlust der eigenen Daten ist nichts ausgeschlossen.

Quellen:

4 Telekommunikation und Telemedien – Ein neues Datenschutzgesetz

Das Fernmeldegeheimnis war bisher in § 88 TKG geregelt und ist nun zukünftig in § 3 TTDSG (Telekommunikations-Telemedien-Datenschutz-Gesetz) geregelt. Auch hierzu haben die Aufsichtsbehörden in der Orientierungshilfe Telemedien Stellung bezogen. Das Fernmeldegeheimnis ist nach bisheriger Meinung der Aufsichtsbehörden auch von Unternehmen zu wahren, die ihren Mitarbeitenden die Privatnutzung von E-Mail und Internet erlauben bzw. dulden. Da Eingriffe in das Fernmeldegeheimnis als Ordnungswidrigkeit oder sogar als Straftat einzustufen sind, sollten, sofern noch nicht geschehen, Vereinbarungen mit den Mitarbeitenden getroffen werden. So dürfte im Falle der Abwesenheit oder dem Ausscheiden aus dem Unternehmen die betriebliche Kommunikation des Mitarbeitenden eingesehen werden.

Empfehlung: Sie sollten als Mitarbeitende in Ihrem Unternehmen prüfen, ob es eine Regelung in Bezug auf die Privatnutzung von Internet und E-Mail gibt. Sollten derartige Verträge existieren, müssen diese an die neuen Regelungen und ggf. auch an die neuen Nutzungsbedingungen angepasst werden.

Für wen gilt das TTDSG?

Das TTDSG enthält „besondere Vorschriften zum Schutz personenbezogener Daten bei der Nutzung von Telekommunikationsdiensten und Telemedien“, vgl. § 1 Nr. 2 TTDSG.

Beispiele für Anbieter von Telekommunikationsdienste

Telefon- und Internetanschluss
Verkehrs- und Standortdaten

Beispiele für Anbieter von Telekommunikationsdienste

Websites
Apps
Smart-Home-Anwendungen

Wesentliche Neuerungen durch das TTDSG

Bestimmungen zum Datenschutz und zum Schutz der Privatsphäre in der Telekommunikation (Teil 2 des TTDSG – §§ 3 bis 18)
Schutz der Privatsphäre bei Endeinrichtungen nach § 25 TTDSG. Hierzu zählt die notwendige Einwilligung und die vertraglich vereinbarten Ausnahmebestimmungen, z.B. in Bezug auf den Einsatz von mit Cookies & Co
Börsendaten, elektronische Presse, Fernseh-/ Radiotext, Teleshopping
Regelung zum digitalen Erbe
Werbemails
aber auch bereits anerkannte Dienste zur Einwilligungsverwaltung

Tipp von den Avallon-Rittern für Sie

Was bedeutet das nun für die Mitarbeitenden und worin liegt Ihr persönlicher Nutzen durch die obigen Informationen? Beachten Sie bitte, dass für all diese Dienste eine vorgelegte Einwilligung von Ihnen „freiwillig“ erteilt werden muss. Diese muss ebenfalls die Datenschutzrechte für Betroffene berücksichtigen. Bedenken Sie, dass Sie diese Einwilligung jederzeit widerrufen können.

Quellen:

5 Facebook Datenleck 2.0

Für Facebook war das Jahr 2021 kein leichtes. Unter anderem wurde ein vermeintliches Datenleck bekannt, dass 1,5 Milliarden NutzerInnen betreffen könnte.

Empfehlung: Facebook-NutzerInnen sollten aktuell genau darauf achten, nur Nachrichten von bekannten Absendern zu öffnen. Zusätzlich sollten NutzerInnen darauf achten, Ihr Konto nicht vollständig öffentlich einzustellen.

Daten von 1,5 Milliarden Facebook-NutzerInnen zum Verkauf

In einem Forum hatte ein User Datenpakete mit Namen, E-Mail, Standortdaten, Geschlecht, Telefonnummern und Benutzernamen zum Verkauf angeboten. Insgesamt behauptete der User im Besitz von Daten von 1,5 Milliarden NutzerInnen zu sein. Für $ 5000 wurden Pakete mit 1 Million Useraccounts angeboten.

Woher stammen die Daten?

Facebook wurde nicht gehackt. Alle Daten sind in den öffentlichen Bereichen der Facebook-NutzerInnen gefunden und dann gespeichert worden. In der IT-Welt nennt sich diese Methode Scraping. Computerprogramme suchen regelmäßig nach neuen Einträgen. Diese werden in großen Datenbanken gespeichert. Mit Hilfe intelligenter Methoden können dann einzelne Informationen zu Profilen zusammengefügt werden.

Quellen:

Data of Over 1.5 Billion Facebook Users Sold on Hacker Forum (www.privacyaffairs.com)

6 Huch!: Falsche E-Mail-Adresse!

Es kann so schnell passieren: Ein falscher Buchstabe und schon landet die E-Mail, die eigentlich an den Kollegen gerichtet ist, versehentlich bei einem Mitbewerber. Ein simpler, aber dennoch folgenreicher Fehler. Wie sollten Sie sich verhalten, wenn Ihnen dies passiert? Was können Sie tun, um solchen Fehlern vorzubeugen?

Empfehlung: Die E-Mail ging an die falsche Person? Bewerten Sie den Inhalt. Welche Informationen haben Sie fehlversendet? Sind interne Unternehmensdaten betroffen? Handelt es sich um personenbezogene Daten? Informieren Sie in jedem Fall Ihre/n Vorgesetzte/n und Ihre/n Datenschutzbeauftragte/n. Sie wollen solch einem Fehlversand vorbeugen? Kontrollieren Sie ihre Eingaben genau. Verfassen Sie erst Ihre E-Mail und prüfen den Inhalt, erst dann setzen Sie die gewünschten EmpfängerInnen ein. Nutzen Sie für Antworten die Antwort-Funktion Ihres E-Mail-Programms. Nutzen Sie eine Kontaktverwaltung oder lassen Sie vom Unternehmen eine solche einführen.

Was sind die Folgen?

So schnell der Fehler passiert, so schnell kann er auch negative Folgen mit sich bringen. Konsequent betrachtet, ist jede von Mitarbeitenden fehlversendete E-Mail ein Sicherheitsverstoß. Natürlich muss man hier die Inhalte der E-Mail beachten. Verschicken Sie beispielsweise einen Reiseplan an eine/n AußendienstkollegIn, ist dies sicherlich problematischer, als wenn Sie einen Newsletter weiterleiten wollten. Jedoch ungeachtet dessen, welche personenbezogenen Daten enthalten wird, produziert Ihr Fehlversand einen Datenschutzvorfall.

Häufige Ursachen und Empfehlungen

Oft ist zeitlicher Stress und Druck die Ursache für ein solches Problem. Der oder die EmpfängerIn benötigt die Informationen in der E-Mail dringend, der Feierabend naht und der Bus fährt pünktlich. Auch in einer hektischen Situation ist es wichtig, einen kühlen Kopf zu bewahren. Versenden Sie E-Mail niemals im Stress, denn in solchen Situationen wird man unaufmerksam und macht gerne mal unbemerkt Fehler. Das kann im E-Mail-Text sein, aber auch in der Adresse.

7 Unsere Einschätzung zum sicheren Faxversand

Eine Versendung von Faxgerät zu Faxgerät gilt generell als sicher. Jedoch werden zunehmend Faxgeräte von Computern ersetzt und dann fast immer über IP-Telefonie oder Protokolle übertragen. Diese wandeln die empfangenen Daten in PDFs um, die dem/r EmpfängerIn dann über Emailsysteme zugestellt werden. Genau bei diesen Systemen können Sie beim Versand nicht die erforderliche Datensicherheit voraussetzen.

Empfehlung: Sollten Sie personenbezogene Daten per Fax verschicken, sprechen Sie mit uns, damit wir für Sie die erforderliche Datensicherheit prüfen können und Ihnen bei Sicherheitslücken eine Lösung empfehlen können.

Ist das Fax noch datenschutzkonform?

Die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Bremen (LfDI) hat auf ihren Webseiten der datenschutzkonformen Nutzung von Telefax eine Absage erteilt. Die entsprechende Veröffentlichung ist auf den 13. März 2020 datiert, scheint jedoch erst in diesem Monat veröffentlicht worden zu sein.

„Aufgrund dieser Unwägbarkeiten hat ein Fax hinsichtlich des Schutzziels Vertraulichkeit das gleiche Sicherheitsniveau wie eine unverschlüsselte E-Mail, die zu Recht als digitales Pendant zur offen einsehbaren Postkarte angesehen wird. Mehr nicht. Fax-Dienste enthalten in der Regel keinerlei Sicherungsmaßnahmen, um die Vertraulichkeit der Daten zu gewährleisten. Sie sind daher in der Regel nicht für die Übertragung personenbezogener Daten [und definitiv nicht für die Übertragung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten)] geeignet.“

Hintergrund der Bewertung durch die LfDI sind einerseits die technischen Änderungen innerhalb der Telefonnetze. Waren Faxe früher noch Ende-zu-Ende-Telefonleitungen vorbehalten, werden sie mittlerweile verstärkt über das Internet verschickt. Andererseits spielt der Umgang mit eingehenden Faxen bei der empfangenden Stelle eine große Rolle. Dort gibt es mittlerweile kaum noch reale Faxgeräte. Vielmehr werden eingehende Nachrichten bspw. von einem Fax-Server in E-Mails umgewandelt und an die entsprechenden Adressaten verschickt.

Fazit: Die Aussage der LfDI Bremen wird von uns nicht generell kritisiert, sollte aber differenziert betrachtet werden. Elementar ist die Transportverschlüsselung der Datenpakete mittels SIP-TLS. Dies betrifft aber nicht nur das Faxen over IP sondern auch das Telefonieren. Im Ergebnis sollte sämtliche Kommunikation über das Internet auf den Prüfstand gestellt werden. Sich nur auf FoIP zu konzentrieren und VoIP auszuklammern, geht an der Wirklichkeit vorbei, da technisch gesehen, keine Differenzierung besteht.

Gerade im Gesundheitswesen ist das Fax insbesondere in Notsituationen, in denen jede Sekunde relevant sein kann, (noch) nicht wegzudenken und kann, wie oben dargestellt, durchaus datenschutzkonform ausgestaltet werden.

Quellen:

8 Bußgelder

Auch dieses Mal möchten wir Ihnen mit einigen Negativbeispielen zeigen, wie datenschutzkonformes Arbeiten eben nicht geht. Deshalb folgt nun zum Abschluss dieses Herolds unser Bußgeldkatalog.

1 – Bußgeld: 746.000.000€

Ausgestellt an: Amazon Amazon Europe Core S.à r.l.
Tatbestand: Personalisierte Werbung auf Webseite kann nicht ausgeschaltet werden
Ausgestellt durch: Luxemburgische Datenschutzbehörde CNPD (16.07.2021)

Die luxemburgische Datenschutzbehörde CNPD hat am 16.07.2021 ein Bußgeld in Höhe von 746 Millionen Euro verhängt. Dies wurde durch Amazon im Quartalsbericht (Form 10-Q) bekannt gegeben. Amazon ist gegen den Beschluss rechtlich vorgegangen. Die luxemburgische Datenschutzbehörde darf sich aufgrund einer gesetzlichen Verpflichtung zur Verschwiegenheit nicht vor Ablauf der Frist des Rechtsbehelfs öffentlich äußern.

Die Aktivist:innen von La Quadrature erklären, dass sie eine Massenbeschwerde bei der luxemburgischen Datenschutzbehörde gegen Amazons Werbe-Targeting direkt nach Wirksamwerden der DSGVO im Mai 2018 eingereicht haben. Im Zuge des Bußgeldes stellte die CNPD Amazon einen Nachbesserungsauftrag, der jedoch Ende 2021 vom Verwaltungsgericht Luxemburg ausgesetzt wurde, weil die Anordnung nicht deutlich genug definiert war. Entsprechende Klärungsverfahren laufen jedoch noch, weshalb sich das CNPD derzeit nicht genauer zu dieser Thematik äußern möchte.

Fazit: Da vieles zum Verlauf der Beschwerde und mögliche Auswirkungen für betroffene Personen unklar ist, betrachten Sie diesen Teil des Artikels bitte als erste Informationen. Wir informieren Sie fortlaufend, sobald uns entsprechend fundierte Informationen zur Verfügung stehen.

2 – Bußgeld: 65.000€

Ausgestellt an: Onlineshop-Betreiber
Tatbestand: Veraltete Shop-Software von 2014 wurde eingesetzt, Passwörter waren nicht sicher genug gespeichert
Ausgestellt durch: Die Datenschutz-Aufsichtsbehörde Niedersachsen

Die Datenschutzbeauftragte des Landes Niedersachsen verhängte ein Bußgeld in Höhe von 65.000 € wegen der Verwendung einer veralteten Onlineshop Software. Im konkreten Fall war die Version seit spätestens 2014 veraltet und die Passwörter für den Onlineshop waren nicht nach aktuellem Stand der Technik abgesichert. Diese Absicherung hätte durch den Einsatz aktueller Software und der zusätzlichen Implementierung einer Salt-Funktion sowie eines aktuellen, auf Passwörter ausgelegten Hash-Algorithmus in einem verhältnismäßigen Aufwand durch das Unternehmen umgesetzt werden können.

Das reduzierte Bußgeld wurde durch das Unternehmen akzeptiert. Die Datenschutzbehörde berücksichtigte bei der Bemessung des Bußgeldes, dass das Unternehmen bereits vor dem Bußgeldverfahren die betroffenen Personen darüber informiert hatte, dass ein Wechsel des Passwortes notwendig sei.

Fazit: Die regelmäßige dokumentierte Aktualisierung der eingesetzten Softwareprodukte, wie auch die regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 DSGVO sind ein wichtiger Bestandteil des Umgangs mit personenbezogenen Daten für alle Verantwortlichen.

3 – Bußgeld: 120.000€

Ausgestellt an: italienisches Gesundheitsunternehmen
Tatbestand: Weitergabe von Patentendaten gegen deren Willen
Ausgestellt durch: italienische Datenschutzbehörde

Ein italienisches Gesundheitsunternehmen meldete entsprechend des Artikel 33 DSGVO eine Datenpanne bei der italienischen Datenschutzbehörde. Im gemeldeten Sachverhalt wurden versehentlich in 48 Fällen Gesundheitsdaten, entgegen des ausdrücklichen Willens der Patienten an deren Hausärzte übermittelt. Aufgrund eines Softwaredefekts wurde diese Eingabe jedoch nicht im System gespeichert, sodass es entgegen der PatientInnenangaben zu Weiterleitungen an die jeweiligen Hausärzte kam. Dies betraf unter anderem die Daten von Minderjährigen und Frauen, die Schwangerschaftsabbrüche hatten durchführen lassen.

Die italienische Datenschutzbehörde bemängelte, dass die vom Unternehmen entwickelte Software nicht ausreichend getestet wurde, was dazu führte, dass es zu der rechtswidrigen Weiterleitung der Gesundheitsdaten kam.

Die Behörde verhängte im Rahmen einer Unterlassungsanordnung gegen das Unternehmen ein Bußgeld in Höhe von 120.000 €.

Fazit: Kleine Softwarefehler können schwerwiegende Folgen für betroffene Personen haben. Dies ist insbesondere bei der Verarbeitung sensibler personenbezogener Daten gemäß Artikel 9 DSGVO (wie z.B. Gesundheitsdaten) zu beachten. Durch entsprechende Tests und intensive Prüfungen der Software vor einem produktiven Einsatz hätte der Rechtsverstoß verhindert werden können. Wir empfehlen Ihnen die Durchführung von Risikoanalysen bei Verarbeitungstätigkeiten, die sensible personenbezogene Daten betreffen. Bei besonders sensiblen Daten oder großen Datenmengen in diesem Bereich ist es oftmals auch notwendig, eine Datenschutzfolgenabschätzung gemäß Artikel 35 DSGVO durchzuführen.

4 – Bußgeld: 400.000€

Ausgestellt an: Monsanto
Tatbestand: Verstoß gegen Informationspflicht nach Artikel 14 DSGVO und fehlendem Auftragsverarbeitungsvertrages
Ausgestellt durch: französische Datenschutzbehörde (CNIL)

Die französische Datenschutzbehörde CNIL verhängte am 26.07.2021 eine Strafe in Höhe von 400.000 € gegen das Unternehmen Monsanto. In den Jahren 2016 und 2017 wurde durch das Unternehmen FleishmanHillard im Auftrag von Monsanto eine Datei mit Informationen über mehr als 200 französische und europäische PolitikerInnen oder Mitglieder der Zivilgesellschaft, darunter JournalistInnen, UmweltaktivistInnen, WissenschaftlerInnen und LandwirtInnen erstellt und laufend geführt, die neben Kontaktdaten der Personen auch verschiedene Bewertungen zum Auftraggeber und weitere Daten zu diesen Personen enthielt. Dies wurde durch einen Bericht der Zeitung „LeMonde“ im Mai 2019 öffentlich, woraufhin sieben Beschwerden durch betroffene Personen eingereicht wurden. Die betroffenen Personen wurden durch die Verantwortlichen nicht vorab informiert und konnten nicht von Ihren Rechten, insbesondere dem Widerspruchsrecht Gebrauch machen.

Die französische Datenschutzbehörde vertritt in diesem Fall die Ansicht, dass Monsanto eine Weisungsbefugnis hinsichtlich der Tätigkeiten im Rahmen der Kampagne von FleishmanHillard hatte, jedoch kein Vertrag zur Auftragsverarbeitung vorlag.

Gegen diesen Beschluss kann noch Beschwerde eingelegt werden.

Fazit: Die Einhaltung der Informationspflicht betroffener Personen ist ein wichtiger Bestandteil der DSGVO. Wird diese vernachlässigt, können hohe Bußgelder gegenüber den Verantwortlichen erlassen werden. Ebenso wichtig ist es, dass man vor jedem Vertragsschluss prüfen sollte, ob es sich hierbei um eine Auftragsverarbeitung (auch) von personenbezogenen Daten handelt und folglich eine Auftragsverarbeitungsvertrag (AVV) benötigt wird. Wenn personenbezogene Daten verarbeitet werden, unterstützen wir Sie gern, die Auftragsverarbeitung datenschutzkonform umzusetzen und zu dokumentieren.

Bei Rückfragen oder Anregungen können Sie das Team der Avallon gerne kontaktieren. Wir sind per Mail an dsb@avallon.de oder über unsere DSB-Serviceline unter 04941 9839071 für Sie da. Wir wünschen Ihnen weiterhin eine schöne Woche und bleiben Sie gesund!

Ihr Datenschutzbeauftragter
Jörg Stockmann

Aurich, 20. April 2022

Und jetzt auch noch Hasen

Was auch immer die Story hinter dem Osterhasen wirklich ist, wir haben mehrere von ihnen gesehen. Einen Seilchenspringenden. Eine Osterhäsin ist auch dabei. Andere Osterhasen spielen gerade Tauziehen – vielleicht, um wählen zu dürfen, wer wo welche Eier verstecken darf.

Auf jeden Fall wünschen wir allen ein besinnliches, friedliches Osterfest.

Ihr Avallon-Team

Montagmorgen, 7:30h

Was gibt es Schöneres, als sich am Montagmorgen um halb acht von einer erfahrenen und sympathischen Trainerin verleiten zu lassen, über die eigene Resilienz zu reflektieren?

Im Ernst, natürlich ist der Montagmorgen hart für solche Aktivitäten. Dennoch haben wir uns entschieden, es mal auszuprobieren. Und wir haben es nicht bereut. Inititiert von unserem Netzwerkpartner networker e.V. mit Daniel Brans und Marie Walle konnten wir heute Morgen ein paar Impulse zur Resilienz aufnehmen.

Wir starten gestärkt und gut gelaunt in eine neue Woche voller Herausforderungen.

Danke an networker e.V. und Ute Korinth!

Stimmungsvogel hocherfreut

Am Ende unseres erneuten Avallon-Teamtrainings letzten Freitag zeigten sich die Stimmungsvögel der Teilnehmenden hocherfreut.

Erneut begleitete uns unsere Trainerin Katrin Pappritz www.tbm-pappritz.de. durch einen kurzweiligen Tag. Ihr gehören auch die Stimmungsvögel für einen kreativen Abschluss.

Diesmal arbeitete unsere Ritterrunde im Hotel Stadt Aurich, weil wir aufgrund der Teamgröße und der notwendigen Abstände in einem größeren Raum sein wollten. Hier ließ es sich prima diskutieren, zuhören, üben, lernen, schreiben, testen, vorstellen, essen und trinken. Es gab sogar ein veganes, sehr leckeres Angebot und der Hotelservice war sehr umsichtig.

Wir waren zudem sehr froh, endlich mal wieder in persönlichem Kontakt zu sein. Durch unsere Impfungen, Tests und den mobilem Raumfilter war die gesundheitliche Grundlage in Ordnung. So konnten uns intensiv und ohne Rücksicht auf das Funktionieren des normalen Avallon-Alltags mit konkreten internen Prozessen beschäftigen. Es ging um Team-Performance, Rollenklärungen, Schnittstellenvereinbarungen und Resilienz.

Wir freuen uns schon jetzt auf die Abschlussveranstaltung im Programm Unternehmenswert:Mensch im Mai diesen Jahres.

#StandWithUkraine

Wir diskutieren über den kriegerischen Angriff, die Demokratie und Europa in unserem Team und haben uns entschlossen, dies zu veröffentlichen.

Wir erklären unsere Solidarität mit der Ukraine. Der militärische Angriff Putins auf die Ukraine macht uns fassungslos.

O-Töne unserer KollegInnen:

„Die letzte Woche hat gezeigt, wie schnell sich Dinge zum Schlechten wenden können – vielmehr aber noch, wie wichtig Solidarität und Unterstützung für die Betroffenen ist.“

„Es ist Anfang der Woche und bei uns ist es Zeit den Dingen wieder „normal“ nachzugehen aber es fühlt sich nicht richtig an, während manche Menschen um ihre Sicherheit, ihr Land und ihre Existenz fürchten.“

Da wir aus unserer Weihnachtsaktion noch zwei Tage „offen“ haben, möchten die beiden KollegInnen konkret in Aurich und Emden in diesem Kontext helfen.

Wer helfen möchte, kann sich hier informieren:

https://www.ndr.de/nachrichten/niedersachsen/Niedersachsen-bereiten-Aufnahme-von-Ukraine-Fluechtlingen-vor,ukraine1526.html

Ihr Avallon-Team

Compliance-Ritterbrief 01/2022

Der Infobrief für Verantwortliche unserer Mandanten

Sehr geehrte Verantwortliche,

Ende letzten Jahres konnten wir Sie über unsere neuen Aktivitäten zum Thema Compliance informieren und in den letzten Wochen haben wir uns über ein reges Interesse gefreut. Diesem Interesse folgend möchten wir Sie nun einmal im Quartal neben dem Thema Datenschutz auch über Wissenswertes zum Thema Compliance informieren.

Ich hoffe, Sie werten die Informationen als wertvoll, finden sie kurzweilig geschrieben und melden sich bitte bei Fragen und Anregungen gerne bei mir.

Nach der Studie „The Future of Compliance 2021” stellen knapp 70 % der befragten Unternehmen auf einen mindestens jährlichen sowie anlassbezogenen Turnus für ihre regelmäßigen Compliance-Risikoanalysen ab. Lediglich 30 % der Unternehmen geben einen Turnus von nur mindestens alle drei Jahre an. Dieser Trend zur Intensivierung der Compliance-Maßnahmen ist Spiegelbild der aktuellen gesetzlichen Regulierungen und Entwicklungen des Unternehmensstrafrechts. Nach anerkannten Grundsätzen ist die Befassung mit Compliance-Risiken keine einmalige oder anlassbezogene Aktivität, sondern „ein Regelprozess, der einen wesentlichen Bestandteil der kontinuierlichen Weiterentwicklung und Verbesserung des CMS darstellt“ (vgl. IDW PS 980 – Grundsätze ordnungsgemäßer Prüfung von Compliance Management Systemen des Instituts der Wirtschaftsprüfer e.V.).

Unsere folgenden Themen verdeutlichen, dass es viele gute – und oft zwingende – Gründe für einen zumindest jährlichen wie auch anlassbezogenen Turnus regelmäßiger Risikoanalysen und Compliance-Maßnahmen gibt, die wir im Rahmen unserer TÜV-geprüften Compliance Beratung anbieten.

Verbandssanktionsgesetz (VerSan-E)
Hinweisgeberschutzgesetz (HinSchG)
Geschäftsgeheimnissegesetz (GeschGehG)
Bundesarbeitsgericht: Ermittlungskosten zur Aufdeckung von Compliance-Verstößen

Mit freundlichen Grüßen

Jörg Stockmann, eCCO
zertifizierter Datenschutzbeauftragter (Dekra®)
zertifizierter Datenschutzauditor (TÜV®)
zertifizierter Compliance Officer (TÜV®)

Lesen Sie diesen und andere Ritterbriefe in voller Länge als Verantwortliche unserer Mandanten.

Datenschutz-Ritterbrief 01/2022

Der Infobrief für Verantwortliche unserer Mandanten

Sehr geehrte Verantwortliche,

willkommen im neuen Jahr, dessen ersten Monat wir bereits hinter uns haben. Jedes Jahr beginnt man mit neuen Vorsätzen, sich zu verbessern und weiterzuentwickeln. Auch wir haben uns für dieses Jahr Vorsätze aufgestellt. Nun ist es meist so, dass man Vorsätze nur einhalten kann, wenn man die notwendige Energie und Ausdauer besitzt. An beidem mangelt es uns nicht. So gehen wir mit Optimismus in dieses neue Jahr – 2022 liegt in Rittershand!

Natürlich gilt es weiter wachsam zu sein und Sie als unsere Mandanten zu schützen und auf dem Laufenden zu halten. In dieser Ausgabe des Datenschutz-Ritterbriefes lesen Sie folgendes:

Neues relevantes Gesetz: TTDSG – Wie es die datenschutzrechtlichen Anforderungen an Verantwortliche verändert
Corona-Pandemie – Update zur Anwendungshilfe bei der Verarbeitung von Beschäftigtendaten
Luca-App – Wie die Polizei ohne Rechtsgrundlage Daten abfragte
Datenschutz in Social-Media – Wie und wo eine Datenschutzerklärung auf Facebook und Instagram einzubinden ist

Im Jahre 1990 erfand Tim Berners-Lee das World-Wide Web (WWW), er sagte: „Daten sind eine wertvolle Sache und halten länger als die Systeme selbst.“ Heute in 2022 könnte dieser Satz nicht aktueller sein. Genau deshalb wird Datenschutz in unserem Alltag immer präsenter. An dieser Entwicklung wird sich auch in diesem Jahr sicherlich nichts ändern, man kann eher auf eine Beschleunigung dieser Entwicklung wetten. Dies ist jedoch eine positive Entwicklung, denn sie hilft dabei, Daten mehr als das zu sehen,was sie sind: Wertvoll, zeitlos und schutzwürdig.

Mit freundlichen Grüßen
Jörg Stockmann, eDSB

Lesen Sie diesen und andere Ritterbriefe in voller Länge als Verantwortliche unserer Mandanten.

2022 in Rittershand …

„Wird’s besser? Wird’s schlimmer? fragt man alljährlich.

Seien wir ehrlich: Leben ist immer lebensgefährlich.“

Erich Kästner

Auch wir schauen natürlich auf das vergangene Jahr zurück, bevor wir in das neue starten. Die letzten zwölf Monate waren in vielerlei Hinsicht erneut besonders und herausfordernd: Für unsere Mandanten, für unsere ritterlich Mitarbeitenden, für unsere Lieferanten.

Zum Glück tragen wir alle viel Optimismus in uns, sodass wir immer davon ausgehen, dass es nun besser wird. Dennoch gab es viele Überraschungen, die wir z.T. sportlich nehmen mussten und am Ende – mit dem Blick zurück – auch wirklich gut bewerkstelligt haben.

Unser Team konnten wir in diesen ungewöhnlichen Homeoffice-, Mundschutz- und Impfzeiten um drei starke Ritterinnen erweitern, die uns in Aurich und Gelsenkirchen neue Energie geben und dank ihrer Expertise die Avallon-Mandantenbetreuung auf hohem Niveau sicherstellen.

Mit unserer neuen Internetseite haben wir „unser Fenster zur Welt neu dekoriert“ und den Überblick über unser Portfolio deutlich zielgruppengerechter gestalten können. Hier haben wir übrigens noch einiges vor und werden weiterhin – mindestens diesen Blog – laufend aktualisieren.

Unsere Rechtsdienstleitungen haben mit dem Thema Compliance ein zweites (Ritter-) Standbein erhalten, das uns sicherlich noch stabiler durch die Jahreszeiten gehen lässt. Hier neue Kunden dazu zu gewinnen, ist eins unserer operativen Ziele für 2022.

Für uns steht das neue Jahr auch unter dem Aspekt, noch professioneller zu werden und die möglichen Aktivitäten der Aufsichtsbehörden rechtzeitig vorherzusehen, um unsere Mandanten noch ritterlicher betreuen zu können. Weiterbildung und Austausch sind feste Bausteine unseres Ritteralltags.

Nicht zuletzt wollen wir unbedingt unsere positiven Erkenntnisse der individuellen Ehrenamtstage in den beruflichen Alltag einbinden und weiterhin daran arbeiten, mit Kopf, Herz und Hand Ihre bestmöglichen Avallon-Ritter zu sein.

Manchmal ist es gut, dass wir eine Rüstung tragen, auch wenn sich ein Ritter im „Korsett“ von Vorschriften scheinbar nicht so geschmeidig bewegen kann. Ihre Zufriedenheit und Treue gibt uns, in der Art und Weise, wie wir unser Business verstehen, Recht.

Mit Ihnen gemeinsam freuen wir uns auf das neue Jahr!

Ihr Avallon-Team

P.S.: Nun haben wir wohl ein Maskottchen. Es wurde von unserer Kollegin Madeleine Hicken gezeichnet – ursprünglich für einen wunderbaren Weihnachtsgruß der Mitarbeitenden an den Chef. Wir haben es einfach für unsere Zwecke adaptiert, weil es so klasse ist.

P.P.S.: Ähnlichkeiten des frei erfundenden Ritters mit lebenden Personen sind nicht beabsichtigt, auf keinen Fall zielführend und wären rein zufällig.

Ehrenamt statt Weihnachtskarte

Für dieses Jahr haben wir uns zu Weihnachten etwas Besonderes überlegt: Wir im Avallon-Team werden jede/r einen Arbeitstag an ehrenamtliche Tätigkeiten spenden. Für uns ist das ein ganz besonderes Projekt, weil wir so für uns das Gefühl bekommen, etwas für das Gemeinwohl zu tun. Gerade unter den Lasten der Pandemie haben wir festgestellt, wie wichtig der soziale Zusammenhalt ist. Jede/r Mitarbeitende sucht sich im eigenen Umfeld ein Betätigungsfeld für einen Arbeitstag – der auch aufgeteilt sein kann. Das Unternehmen Avallon bezahlt den Arbeitstag ganz „normal“ und die Mitarbeitenden kümmern sich um die Organisation und engagieren sich vor Ort. Positiver Nebeneffekt für uns alle: Wir sehen einmal andere Kontexte und Lebensräume und können die Gesellschaft als Ganzes und sehr individuell unterstützen; u.U. bleibt ja der eine oder die andere auch danach in Kontakt.

Jutta Schober-Stockmann: Über die Agentur:ehrensache der Stadt Oldenburg wurde ich auf die Helene-Lange-Schule in Oldenburg www.hls-ol.de aufmerksam. Dort wird eine Schulbibliothek aufgebaut. Es wird Hilfe gebraucht für die Inventarisierung, Bestandspflege und für die Ausleihe. Mein erstes Treffen Anfang November läuft schon gleich großartig, weil wir uns mit der zuständigen Lehrerin Frau Aydogan und einer Referendarin direkt in der Schulbibliothek treffen und ich sofort Bücher an lesebegeisterte SchülerInnen ausgeben darf. Inmitten so vieler Bücher fühle ich mich sehr wohl. Jetzt bin ich mittwochs für die Pausen hier und ganz nebenbei lese ich ein bisschen über die Oldenburger Historie und bin für Avallon-Notfälle virtuell erreichbar. Ich verstehe nicht, wieso es so schwer ist, Menschen zu finden, die einmal pro Woche für zwei oder drei Stunden die Ausleihe gewährleisten und bin davon überzeugt, dass nur Angebot und Nachfrage passend zusammengeführt werden müssen.

Karol Kruczynski: Als Kind und Jugendlicher konnte ich selbst bei der Katholischen Kirchengemeinde St. Ludgerus an großartigen Aktionen teilnehmen. Umso mehr hat es mich gefreut, als Ehrenamtlicher auf der anderen Seite zu stehen. Mein erster Einsatz ist an St. Martin: Die Kirchengemeinde bietet eine Andacht in der Kirche an, dann folgt der Umzug durch die Auricher Innenstadt. Die Hauptattraktion sind die Laternen der Kinder. Vor und während des Umzugs bereite ich Liederzettel vor und richte den Beamer in der Kirche ein, sodass die Kinder passend zur Vorlese-Geschichte Bilder sehen können. Außerdem bin ich für die Vorbereitung von Stutenkerlen, Spekulatiuspäckchen und Punsch zuständig. An der letzten Station, dem Bonihaus, wartet nämlich auf jedes Kind ein Stutenkerl, auf die Eltern Spekulatius-Päckchen und für alle gibt es roten Winterpunsch – von mir ausgeschenkt! Nachdem der letzte Punsch des Topfes an mich geht, kann ich auf ein paar intensive und schöne Stunden zurückblicken. 120 Personen nahmen an dem Umzug und er hat allen sichtlich Freude bereitet. Mein zweiter Einsatz findet zu Beginn des nächsten Jahres statt.

Yvonne Pawlak: Nicole Thien, die Pastoralreferentin von St. Ludger in Selm, meinem Heimatort, findet unsere Aktion klasse und plant mich zunächst für den Adventsmarkt ein, der dann jedoch leider pandemiebedingt abgesagt wird. Für die Verteilung der Danksagungen an die Ordnungshelfer kann ich mich jedoch einplanen lassen. Nach dem Abholen der Kartons im Pfarrbüro und dem Eintüten von Briefen und Adventskalendern kommt der schönste Teil: Das Verteilen im Ort. Und ein Dankesanruf vom leitenden Pfarrer, Herrn Themann.

Der zweite Teil meines Ehrenamtstages wird tatsächlich Heiligabend folgen: „Christmas-to-go“. In der Zeit von 14-18:00h wird es rund um unsere drei Kirchen und im Ort verteilt viele verschiedene Stationen geben, an denen die Weihnachtsgeschichte auf familiengerechte Weise präsentiert wird. Es wird Besonderheiten wie schön gestaltete Fenster geben, Bilderbuchgeschichten, Bastel-stationen, Videoinstallationen und Angebote, die mit allen Sinnen zu erleben sind, bis hin zur klassischen Krippenbesichtigung in der Kirche. Dazu gibt es eine „Sternenkarte“, sodass jede/r einen eigenen „Weihnachtsweg“ planen kann. Vielleicht reizt es Sie ja, Ihren persönlichen Weihnachtsweg bei uns in Selm zu gehen. In diesem Sinne wünsche ich Ihnen schöne Feiertage und bleiben Sie gesund.

Eiste Wienekamp: Ich habe von einer Organisation erfahren, deren Arbeit ich richtig gut finde: Heart of Mercy e.V. Das Ziel dieser christlichen Organisation ist es, bedürftige Mensch in Ostriesland zu unterstützen. Dies erfolgt durch die kostenlose und unbürokratische Weitergabe von Sachspenden, wie Kleidung, Schuhen, Spielzeug, Kinderwagen, Haushaltwaren und auch Möbeln. Es gibt auch eine Nähstube, in der Sachen ausgebessert oder verändert werden. Das Tolle ist, dass sich jeder dort melden kann und sofort sehr freundlich empfangen wird. Es wird notiert, wie der persönliche Bedarf ist und dann werden Pakete zusammengestellt, in denen alles enthalten ist, was gebraucht wird.

Die Räumlichkeiten in Großefehn sind riesig und unglaublich gut aufgeräumt. Mein Einsatz ist an einem Mittwoch und ich bin überwältigt, welche Mengen an Waren von Spendenwilligen abgegeben werden. Das Wichtigste ist nun, dass alles sortiert und gefaltet wird, damit alle Sachen ihren Platz in den großen Regalen finden: Nach Geschlecht und nach Größe sortiert. Die KollegInnen erklären mir meinen Einsatz und meine Arbeiten genau und dann geht es los. Nach ein paar Stunden habe ich die anderen von meinem Tempo und meiner Genauigkeit begeistert. Tatsächlich haben sie zu wenig Hilfe und sind dankbar für jeden Menschen, der ein paar Stunden unterstützt. Mareike Binoit bedankt sich bei mir für die tolle Hilfe und wir verabschieden uns. Für heute.

Bernd Schultz: Von einer solchen Aktion, wie sie Ihr Unternehmen anbietet, habe ich noch nie gehört!“ Das ist die erste Reaktion von Frau Kapapa in der Kontakt- und Beratungs-stelle „KummRin“ in Emden. Ich darf an zwei Nachmittagen am 24. November und 01. Dezember die Betreuung der BesucherInnen während der Teestubenzeit von 15 bis 18 Uhr unterstützen. Es wird bei Kaffee, Tee und Kuchen geklönt, Erfahrungen ausgetauscht und sich gegenseitig Unterstützung gegeben. Mit besonderen Aktionen, wie z.B. dem gemeinsamen Dekorieren zur Adventszeit, wird das „wir“- Gefühl aller Teilnehmernden gefördert. Von mir wird auch praktische Unterstützung, wie z.B. der richtige Umgang mit Internetportalen, gern und dankbar angenommen. Eine weitere gemeinschaftliche Aktion ist das abendliche Abholen von Lebensmittel-Spenden für den nächsten Tag bei einem nahegelegenen Bäcker. So versorgen sich die BesucherInnen gegenseitig. Pandemiebedingt fallen leider derzeit Spieleabende, die Handarbeitsgruppe, Sonderveranstaltungen oder Filmabende aus.

Frau Kapapa und „Das Boot e.V.“ drücken uns als Unternehmen und insbesondere Herrn Stockmann ihren herzlichen Dank für das Engagement aus. Es ist schwer, ehrenamtlich Mitarbeitende zu finden, um den Betrieb dieser und anderer Einrichtungen aufrechtzuerhalten. Eine solche Initiative sollte Schule machen und es wäre wunderbar, wenn auch andere ArbeitgeberInnen das Ehrenamt stärken würden.

Ich freue mich schon auf meinen „Zusatzeinsatz“ am 22. Dezember, wo ich als Teil des ehrenamtlichen Teams ein vorweihnachtliches Frühstück mit ausrichten werde.

Martin Beckmann: Evasenio – Evangelische Seniorenhilfe Eversten/Bloherfelde e.V. ist ein sympathischer Verein in Oldenburg, der u.a. ehrenamtliche Nachbarschaftshilfe, Alltagsbegleitung, Demenzbetreuung oder Besuchs- und Fahrdienste für Senioren in den Stadtteilen Eversten und Bloherfelde anbietet und organisiert. Die Mitarbeitenden (u.a. Gerontologin, Diplompädagogin) von evasenio beraten qualifiziert z.B. zu Fragen der Pflege und Pflegeversicherung, altersgerechtem Wohnen, Versorgung mit Hilfsmitteln, organisieren Freizeitangebote und Möglichkeiten der Begegnung.

Den Vormittag meines Ehrenamtstages am 7. Dezember nutzen die Mitarbeiterinnen von evasenio für eine Beratung zwecks Weiterentwicklung des Datenschutzes. Am Nachmittag übernehme ich für die Mitglieder des Vereins Fahrdienste und Begleitung für die Weihnachtsfeier in der Ansgari-Kirche. Nach Kontrolle der 3G Regel und Platzverteilung mit ausreichend Abständen, werden Damen und Herren dort zunächst von einem Kinderchor zum Mitsingen von Weihnachtsliedern eingeladen. Danach folgt die Vorstellung der neuen und modernen sowie beweglichen Krippenfiguren der Kirche (Marie, Josef und ein Engel) mit begleitenden Geschichten. Letztlich trägt der Pfarrer Erlebnisse aus dem „Tagebuch eines Engels“ vor. Am Ende der Feier erhält jede/r Besucherin einen Engel aus Lebkuchen – ich auch. Die von mir begleiteten Seniorinnen haben trotz der Einschränkungen durch die Masken sichtlich Freude und führen lebhafte Gespräche mit anderen Gästen. Offensichtlich ist diese wunderbare Veranstaltung eine schöne Abwechslung für alle.

Jörg Stockmann: Gar nicht so einfach, sich bei dem großen Angebot an Alternativen für eine Ehrenamtstätigkeit zu entscheiden. Mir wird auch noch einmal bewusst, in wie vielen Bereichen es ohne Ehrenamt nicht vorwärts geht und wie wertvoll diese persönlichen Einsätze sind. Ich entscheide mich für das Diakonische Werk der Ev.-Luth. Kirche in Oldenburg und nehme Kontakt auf.

Dort wie hier sind wir im Jahresendspurt und gleichzeitig sehr stark durch die andauernde Pandemie organisiert, so dauert es einige Telefonate, bis wir die Bereiche meines Einsatzes konkret planen können. Ich werde einen halben Tag mit dem örtlichen Datenschutzbeauftragten zusammenarbeiten und sicher ein paar Anregungen aus unserem Tagesgeschäft geben können. Das zweite Zeitfenster wünsche ich mir im direkten Kontakt mit einer der Zielgruppen der Diakonie. Altenhilfe und Pflege, Behindertenhilfe, Frauenhaus, Jugendhilfe, Kindertagesstätten und Krippen, Kliniken, Suchthilfe und Wohnungslosenhilfe stehen im Portfolio der Diakonie. Unsere gemeinsame Wahl fällt auf die Altenhilfe. Mit Blick auf das nahe Jahresende verabreden wir uns für den Januar 2022 und sind von beiden Seiten sehr gespannt, wie die gemeinsame Erfahrung werden wird. An dieser Stelle werden wir darüber berichten.

Lieber LeserInnen,

wir hoffen, Ihnen mit diesem für uns ungewöhnlichen Weihnachts-Ritterbrief ein paar kurze Einblicke in die Möglichkeiten des Ehrenamts und unseres diesjährigen Engagements dazu gegeben zu haben. Wir waren und sind mit Neugier und Tatkraft dabei und denken in diesem Jahr zu Weihnachten ganz besonders an die Menschen, die unsere Unterstützung dringend brauchen. Im Großen, wie im Kleinen. Es war uns ein besonderes Anliegen, neben unserem alljährlichen Pro Bono-Mandat, in diesem Jahr auch durch jede Person im Team ganz persönlich zu zeigen, wie wichtig uns der gesellschaftliche Zusammenhalt ist.

Mit diesem Weihnachtsgruß verbinden wir unseren Dank für die vertrauensvolle Zusammenarbeit in diesem ungewöhnlichen Jahr und wünschen Ihnen fröhliche und ruhige Weihnachtstage.

Bleiben Sie gesund.
Ihr Avallon-Team

Aurich, 15. Dezember 2021

Compliance-Ritterbrief 01/2021

Der Infobrief für Verantwortliche unserer Mandanten

Sehr geehrte Verantwortliche,

kurz vor dem Jahreswechsel möchte ich Sie persönlich über eine größere Veränderung für das kommende Jahr informieren.

Neben den Geschäftsbereichen Datenschutz und Digitalisierung werden wir ab Januar 2022 mit dem neuen Geschäftsbereich Compliance starten. Der Begriff „Compliance“ steht in diesem Zusammenhang für die Erfüllung von regulatorischen Anforderungen – im engeren Sinne für Rechtskonformität und Einhaltung von Recht und Gesetz seitens der Unternehmen und deren Mitarbeitenden sowie „Integrität, Redlichkeit und Geschäftsethik“.

Seit nun acht Jahren berate ich zum Datenschutz, einer Rechtsdienstleistung, die wir nun um die Rechtsdienstleistung Compliance ergänzen wollen, da beides eng miteinander verbunden ist. Mit der Ihnen bekannten ritterlichen Haltung werden wir den Geschäftsbereich Compliance identisch angehen und unsere Best Practise-Ansätze nutzen.

Falls wir uns persönlich vor dem 24.12.2021 nicht mehr sprechen, wünsche ich Ihnen an dieser Stelle ein frohes Fest und einen guten Übergang ins neue Jahr. Zusätzlich möchte ich mich für die gute Zusammenarbeit bedanken und freuen mich auf unser nächstes Jahr der Zusammenarbeit.

Ich würde mich über jedes Feedback von Ihnen freuen und stehe Ihnen für Fragen immer gerne zur Verfügung.

Herzlichen Gruß
Jörg Stockmann

Inhaltsverzeichnis

Was ist Compliance?
Wie haben wir uns vorbereitet?
Was können Sie unter Avallon Compliance verstehen?
Herausforderungen der Compliance in 2022

1 Was ist Compliance?

Compliance gewinnt in Deutschland von Jahr zu Jahr an Bedeutung. Grundlegend hierfür war zunächst eine Entscheidung des Bundesgerichtshofes (BGH) aus dem Jahre 2009 zu den Garantenpflichten von Compliance-Beauftragten und deren persönliche zivil- und strafrechtlichen Haftung. Inzwischen ist die Rechtsprechung bemüht, die zunächst rein strafbewährten Compliance Pflichten durch positive Anreize für unternehmerische Compliance-Aktivitäten zu ergänzen. So hat der BGH im Jahre 2017 befunden,…

Lesen Sie diesen und andere Ritterbriefe in voller Länge als Verantwortliche unserer Mandanten.

Datenschutz-Ritterbrief 04/2021

Der Infobrief für Verantwortliche unserer Mandanten

Sehr geehrte Verantwortliche,

direkt zu Beginn dieses Ritterbriefes möchte ich Sie auf eine Umbenennung aufmerksam machen. Aufgrund der Erweiterung unseres Portfolios um das Geschäftsfeld „Compliance“ und dem dort geplanten „Compliance-Ritterbrief“ heißt unser „Ritterbrief“ für den Datenschutz nun „Datenschutz-Ritterbrief“.

Das Jahr 2021 neigt sich so langsam dem Ende zu. Die Weihnachtsvorbereitungen beginnen, die Tage werden kürzer, dunkler, aber bleiben informativ und ereignisreich. Über die neuen Vorgaben zur 3G-Zutrittskontrolle haben wir Sie bereits in einem Sonder-Ritterbrief informiert. Dies war nur eine unserer wichtigen Neuigkeiten für Sie. So beschäftigen wir uns in dieser Ausgabe mit den folgenden Themen:

Das Angebot digitaler Produkte und ihr Datenschutz – Der neue § 327 BGB
Telekommunikation und Telemedien – Ein neues Datenschutzgesetz
Facebook Datenleck 2.0
Angriff mit Datenabfluss bei Twitch – Folgen für die „widerliche, toxische Jauchegrube“

Wie Sie in diesem Datenschutz-Ritterbrief lesen werden, wartet auf uns ein spannendes Jahr 2022 mit neuen Verordnungen, Gesetzen und Regelungen für den Datenschutz. Ich bin jedoch überzeugt davon, dass wir die auf uns zukommenden Herausforderungen gemeinsam bestmöglich handhaben werden.

Mit freundlichen Grüßen
Jörg Stockmann, eDSB

Lesen Sie diesen und andere Ritterbriefe in voller Länge als Verantwortliche unserer Mandanten.

1 Datenschutzvorfall! – Wie fühlt man sich, wenn man betroffen ist?

Wer hasst es nicht? Die eigene Welt ist in Ordnung, man trinkt morgens seinen Kaffee oder Tee und liest die E-Mails durch. Inmitten der ganzen Newsletter, die man eigentlich schon abbestellt hat, findet sich dann der Satz ‚Wir hatten einen Datenschutzvorfall‘. Und nun? Lernen wir am Beispiel.

Empfehlung: Sollte ein Datenschutzvorfall auftreten, sollte man immer sachlich und ruhig reagieren, den Datenschutzbeauftragten informieren und den Betroffenen gegenüber transparent sein.

Was ist passiert?

Interview mit einer betroffenen Person

Was lernen wir daraus?

2 Alle Neune: Sensibilisierung

Die Sensibilisierung der MitarbeiterInnen für den Datenschutz ist eine besondere Aufgabe nach der Datenschutz-Grundverordnung (DSGVO) für den Verantwortlichen und den Datenschutzbeauftragten (DSB).

Empfehlung: Wer die nähere Bedeutung der Aufgabe des DSB zur Sensibilisierung kennt, kann die damit verbundenen Chancen direkt an seinem Arbeitsplatz nutzen.

Sensibilisierung und Schulung”. Zwei verschiedene Aufgaben: Zu den gesetzlichen Aufgaben des DSB gehören u.a. die „Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeitern und der diesbezüglichen Überprüfungen“ (Artikel 39 Absatz 1 lit. b DSGVO).

Sensibilisierung ist keine Schulung: Die Differenzierung zeigt, dass es sich bei der Sensibilisierung nicht um eine allgemeine Schulung der Beschäftigten zum Datenschutz handelt, denn die Schulung wird zusätzlich aufgeführt.

Sensibilisierung gehört zu den Überwachungspflichten: Der Begriff der Sensibilisierung wird erst verständlich, wenn man berücksichtigt, dass sich die gesetzlich aufgelisteten Aufgaben auf die Überwachungspflichten des DSB im Unternehmen beziehen.

Sensibilisierung passgenau für die Arbeitsbereiche: Die Pflicht und das Recht zur Sensibilisierung ist daher eine zielgerichtete und auf die jeweilige tatsächliche betriebliche Verarbeitungstätigkeit passgenau abgestimmte Information der MitarbeiterInnen über die Schutzpflichten nach der DSGVO.

3 Kaspersky – Der Feind in meinem System?

Empfehlung: Ja. Das BSI empfiehlt Unternehmen und Behörden, nach gründlicher interner Abwägung, dass die Virenschutzsoftware von Kaspersky durch alternative Produkte ersetzt werden sollte. Auch private AnwenderInnen können betroffen sein.

Warum ist das ein Problem?

Was bedeutet das konkret?

4 Telekommunikation und Telemedien – Ein neues Datenschutzgesetz

Empfehlung: Sie sollten als Mitarbeitende in Ihrem Unternehmen prüfen, ob es eine Regelung in Bezug auf die Privatnutzung von Internet und E-Mail gibt. Sollten derartige Verträge existieren, müssen diese an die neuen Regelungen und ggf. auch an die neuen Nutzungsbedingungen angepasst werden.

Für wen gilt das TTDSG?

Beispiele für Anbieter von Telekommunikationsdienste

Beispiele für Anbieter von Telekommunikationsdienste

Wesentliche Neuerungen durch das TTDSG

Tipp von den Avallon-Rittern für Sie

5 Facebook Datenleck 2.0

Für Facebook war das Jahr 2021 kein leichtes. Unter anderem wurde ein vermeintliches Datenleck bekannt, dass 1,5 Milliarden NutzerInnen betreffen könnte.

Empfehlung: Facebook-NutzerInnen sollten aktuell genau darauf achten, nur Nachrichten von bekannten Absendern zu öffnen. Zusätzlich sollten NutzerInnen darauf achten, Ihr Konto nicht vollständig öffentlich einzustellen.

Daten von 1,5 Milliarden Facebook-NutzerInnen zum Verkauf

Woher stammen die Daten?

6 Huch!: Falsche E-Mail-Adresse!

Was sind die Folgen?

Häufige Ursachen und Empfehlungen

7 Unsere Einschätzung zum sicheren Faxversand

Empfehlung: Sollten Sie personenbezogene Daten per Fax verschicken, sprechen Sie mit uns, damit wir für Sie die erforderliche Datensicherheit prüfen können und Ihnen bei Sicherheitslücken eine Lösung empfehlen können.

Ist das Fax noch datenschutzkonform?

8 Bußgelder

Auch dieses Mal möchten wir Ihnen mit einigen Negativbeispielen zeigen, wie datenschutzkonformes Arbeiten eben nicht geht. Deshalb folgt nun zum Abschluss dieses Herolds unser Bußgeldkatalog.

1 – Bußgeld: 746.000.000€

2 – Bußgeld: 65.000€

3 – Bußgeld: 120.000€

4 – Bußgeld: 400.000€

Lieber LeserInnen,

Mit diesem Weihnachtsgruß verbinden wir unseren Dank für die vertrauensvolle Zusammenarbeit in diesem ungewöhnlichen Jahr und wünschen Ihnen fröhliche und ruhige Weihnachtstage.

Bleiben Sie gesund. Ihr Avallon-Team

Aurich, 15. Dezember 2021

Inhaltsverzeichnis

1 Was ist Compliance?

Bleiben Sie gesund.
Ihr Avallon-Team