Herzlich willkommen. Mein Name ist Klemens Gutenberger. Ich spreche als Dienstleister
. Ich bin seit circa 20 Jahren in der Branche.
Da steht Datenschutz drauf, aber ich bin persönlich noch viel mehr.
Ich bin mitgewachsen vom Bit über die Firewall,
über das Entrusion Prevention bis zum Datenschutz.
Wir als Dienstleister haben natürlich auch den anderen Blick,
den ganzheitlichen Blick auf die Themen.
Vorweg, ziehe sie sich warm an. Die Sanduhr symbolisiert,
die Zeit läuft ab. Stand heute haben sie noch,
wenn sie jetzt noch nicht drüber nachgedacht haben,
haben sie noch 132 Tage Zeit und die Datenschutz-Grundverordnung gilt dann am 25.05. nächsten Jahres sofort und zwar EU-weit.
Das ist das Novum dabei und war ja auch das Ziel.
Allerdings dem gegenüberstehend die Beschäftigung mit dem Thema hier eine relativ aktuelle Umfrage von der Bitkom,
die ja mit zur BSI zählt vom 19. September.
Also es haben sich immer in die Hälfte der Menschen damit beschäftigt,
aber nur 13 Prozent haben schon Maßnahmen eingeleitet und das sollte ihnen zu denken geben.
Denn es wird ja langsam Zeit. Und dem Gegenüber nochmal
als Einleitung, warum macht man das eigentlich?
Wir haben ja heute schon viel gehört über Sicherheit,
über Bemühungen, Richtlinien durchzusetzen, über Gremien und Prozesse.
Hier geht es ja um Spezialdaten. Es geht um ihre persönlichen,
personenbezogene Daten. Und da sagt zum Beispiel die viel zitierte schwäbische Hausfrau,
die es ja nicht gibt, mir hängt nichts zu verberge.
Und das stimmt so nicht. Sie mögen vielleicht denken,
es geht nicht um sie. Es geht schon um sie
. Es geht nämlich nicht nur um die der Einzelperson,
sondern es geht eigentlich um das Ausnutzen und Manipulieren von ganzen Bevölkerungsschichten.
Und deshalb ist diese Datengrundschutzverordnung auch so wichtig. Denn wenn
Sie an die Wahlen denken, die Manipulation von Wahlen,
wenn Sie denken, was heute übers Internet möglich ist,
über Twitter, um sie zu beeinflussen.
Wenn man jetzt Facebook kennt,
dann handelt Facebook mit ihren Verhaltensdaten und verdient damit gutes Geld,
weil man damit ja Werbung machen kann,
dann haben sie was zu verbergen, dann sind sie Betroffene.
Und genau darum geht es auch. Und deswegen wurde das
von der EU gerade noch rechtzeitig abgesegnet
Personenbezogene Daten sind nicht etwa nur augenfarbe,
Haarfarbe oder Adresse oder Kennzeichen, sondern auch Online-Kennung zum Beispiel.
Und da gibt es natürlich auch immer mal wieder Streit,
aber der EuGH hat entschieden,
dass zum Beispiel auch IP-Adressen und sind sogar dynamische IP-Adressen personenbezogene Daten sein können,
wenn man sie zurückverfolgen kann, wenn man sie einer Person zuordnen kann.
Ganz besonders im universitären Hochschulbereich gibt es eine Vielzahl von personenbezogenen Daten,
die man vielleicht so gar nicht vermuten würde.
Von der Matrikel-Nummer bis zur Semesteranzahl. Das habe ich hier
der Geheimhaltungsvereinbarung entnommen. Das unterschreibt eine Studentin und Studierender,
wenn er an der Uni anfängt, dass solche Daten halt erhoben werden.
Und das ist auch richtig so, denn sie müssen ja ihre Einverständnis dazu geben.
Ja, warum ist das überhaupt relevant? Also es wird immer dann interessant,
wenn jemand damit Schindluder treibt und wenn jemand damit zum Beispiel einem anderen schaden will,
zum Beispiel wenn er jetzt das 20. Semester da ist,
dann ist es vielleicht kein Aushängeschild oder so.
Aber das wäre ja noch harmlos. Die Verarbeitungstätigkeiten An Hochschulen
haben wir ja schon gesehen, sind auch vielseitig.
Forschung und Lehre ist sicherlich ein besonderes Thema,
aber hier im Hause heute auf dieser Messe,
auf dem Campus Innovation sind ja auch viele Hersteller vom E-Learning.
Deshalb habe ich das mal nochmal herausgehoben. Und
auch beim E-Learning haben sie den Arbeitsplatz oder das E-Lab,
da fallen halt, wenn sie sich einloggen,
unter Umständen auch Cookies oder ihre Daten an, das, was sie gearbeitet haben.
Und wenn das da alles liegen bleibt und nicht gelöscht bleibt,
könnte das ja wegkommen und man könnte nachvollziehen, was sie da getrieben haben.
Insofern greift auch hier an so einem Gemeinschaftsarbeitsplatz im E-Lab der Datenschutz.
Also es gibt Vielzahl von Anforderungen, die natürlich höher sind,
wenn man jetzt eine gemeinsame Nutzung des Datenforschungsnetzwerks hat und dort Infrastruktur zur Verfügung gestellt bekommt.
Oder wenn man hier revisionspflichtig ist gegenüber Drittmittelgeldern,
da muss man natürlich auch sicherstellen, dass die Daten nicht verändert werden,
dass die Daten sicher aufbewahrt werden und dass sie über einen bestimmten Fristen sicher aufbewahrt werden können.
In der heutigen Zeit kann sie das hart treffen,
wenn jetzt ein Verschlüsselungstrojaner zuschlägt und angenommen,
die sind heute intelligent, die sind so gebaut,
dass sie erstmal reinkommen und dann nichts tun und dann warten die erstmal und lernen,
nutzen, nutzen, auf den Servern aus, wie PowerShell,
wer das kennt.
Und löschen dann die Backups, die viel zitierten.
Also nur Backups ist es auch nicht. Der Trend geht zum Offline-Backup
. Also gerade im Hinblick auf die Integrität von Daten,
wenn es, wenn man jetzt revisionspflichtig ist,
das ist alles nicht so einfach.
Bei der Datenschutz-Grundverordnung steht der Betroffene im Mittelpunkt.
Also der Betroffene sind sie, also das sind die Produzierenden,
die Produzenten von personenbezogenen Daten.
Und da gibt es eben auch eine Vielzahl von unterschiedlichen
Natürlich der Studierende, aber genauso gibt es auch eben Angestellte mit Arbeitsverträgen und Betriebsvereinbarungen,
wo dann die Sachlage vielleicht ein bisschen anders schon ein bisschen definierter ist.
Aber genauso gibt es eben auch vielleicht Gasthörer,
die gar keine direkte Beziehung zur Hochschule haben oder Frühstudierende,
die noch nichts unterschrieben haben. Und da musste man sich
halt drum kümmern, ob das dann alles gesetzeskonform ist.
Also in einer Hochschule durchaus auch ein großes Thema,
sogar vielleicht ein größeres Thema als in der Industrie.
Wer als Dienstleister Haben ja viele Industriekunden. Allerdings betreuen wir
jetzt als Bechtle Hamburg zum Beispiel auch die Leuphane-Unis-Universität zu Lüneburg.
Das ist ein großer Campus mit verschiedensten Fakultäten über 200 Switche,
also schon auch groß. Und machen da Firewall-Management und auch Beratung.
Dort haben wir eben auch schon kennengelernt, wie schwierig das ist,
bei der gewohnten Mitbestimmung und Freiheit und Forschung diesen Top-Down-Approach,
den wir heute schon bei meinen Vorrätern kennengelernt haben, wirklich durchzuhalten.
Das ist nicht einfach, das floppt gerne auch wieder zurück,
weil der Admin eben vielleicht die Uni nie verlassen hat,
weil er das studiert hat und dann Admin geworden ist und sich
in seinem Cockpit wohlfühlt und das immer schon so gemacht hat und die Richtlinie dann gar nicht umsetzt,
sondern einfach so weiterarbeitet.
Da braucht man natürlich auch Mandat, um die Richtlinie durchzusetzen.
Und nur mit Druck geht es auch nicht, haben wir schon gehört,
es muss auch irgendwie gewollt werden, denn nichts,
was ist die Security ohne den Mitarbeiter mit Identität.
Also wir brauchen Averness, aber letztendlich die Frage kam ja,
ob Motivation und Sicherheit vereinbar sind. Ich meine ja,
weil es es ist ja eigentlich so,
man sollte sich ja für den Arbeitsplatz oder für die Tätigkeit auch committen oder motiviert fühlen.
Und dann ist das gar kein Widerspruch,
sondern die Sicherheit oder die Skepsis gehört dazu,
wenn einer anruft und sagt, lass mich mal auf deinen Rechner,
dann sollte man halt skeptisch bleiben und nicht einfach sagen.
Ich bin ein freier Mensch, da lasse ich den,
ja lasse ich jeden ran. Wer du tiefer einsteigen möchte,
es gibt dazu einen schönen Kinofilm, Democracy ist ein echter
Dokumentarfilm zur Entstehungsgeschichte der Datenschutzgrundverordnung, ist sehenswert, freigegeben.
Können Sie auch mit ihren Kindern gucken,
allerdings in schwarz-weiß und glaube ich ein bisschen trocken.
Ich habe es zweimal gucken müssen, man sieht,
man entdeckt immer noch wieder neue Nuancen. Und das ist deshalb interessant,
weil die Entstehung der Datenschutzgrundverordnung ist rekordverdächtig in allen Bereichen.
Nicht nur, wie lange das in Brüssel gedauert hat,
also ich glaube über vier Jahre,
und wir brauchen sechs Jahre, dass sie in Kraft tritt,
weil sie ist ja schon in Kraft seit fast zwei Jahren
und wird dann gültig nächstes Jahr.
Also genau genommen ist sie schon in Kraft. Es gab
4000 Anträge auf Änderung von Lobbyisten der Wirtschaft am Anfang
hatte die ein ganz schlechtes Standing und man hat gesagt,
das hat ein junger Mann, ein sogenannter EU-Berichterstatter aus Hamburg zufällig.
Jan-Philipp Albrecht wurde damit beauftragt als junger EU-Parlamentsabgeordneter mit der Entwicklung
einer Datenschutzgrundverordnung, die auch verabschiedet werden kann.
Da haben sie gesagt, das schafft er nie.
4.000 Gegenanträge und hat es mit dem Team von zwei,
drei Leuten hinbekommen, dass alle Anträge bearbeitet wurden und alle
vom Tisch sind und rekordverdächtig ist auch,
dass die Zustimmung über 95 Prozent war im Parlament
Also die wurde, das wurden Kompromisse gefunden.
Sie wurde zwar auch abgeschwächt und aufgeweicht.
Es gibt viele, viele Öffnungsklauseln und Auslegungen und Erwägungsgründe.
Da sind wir mal gespannt, was die Praxis bringt.
Aber es ist erstmal eine Leistung, dass wir sie überhaupt haben.
Da kann man, kann ich wirklich meinen Hut vor dem
Jan-Philipp Albrecht ziehen an dieser Stelle. Das Neue ist,
Skillt hat unmittelbar und das Neue ist auch, es gilt das Marktortprinzip.
Das sind so ein paar rausgehobene Punkte,
die wirklich jetzt neu sind. Stärkung der Betroffenen Rechte,
Recht auf vergessen werden, Recht auf Löschung,
Recht auf Datenmitnahme
Zugrunde legend von aktuell Sicherheitsmechanismen, also zeitgemäßen Sicherheitsfunktionen nach dem Stand der Technik,
State of the Art bei der Security und eben das Marktortprinzip.
Das ist ganz wichtig, weil das zählt ja auf Amazon,
Facebook und Konsorten, die konnten sich früher rausreden,
indem sie irgendwie einen Firmensitz in Irland hatten,
das können sie jetzt nicht mehr, denn da,
wo der Handel stattfindet, gilt der Datenschutz.
Und wenn ihre Webseite noch deutsch ist und in Euro bezahlt wird,
dann allemal sowieso. Also das reicht nicht einfach zu sagen,
die Daten werden außerhalb der EU verarbeitet,
es gilt trotzdem das EU-Recht in dem Moment,
wo der Käufer in der EU sitzt
Forum-Shopping soll verhindert werden, indem ein Vereinheitliche,
eine Länderüber, eine EU-Länderübergreifende Ortverordnung geschaffen wird,
damit Großfirmen nicht gezielt Lücken in Gesetzen und widerstrebenden Gesetzgebungen ausnutzen können.
Das ist natürlich immer mal wieder der Fall. Decken Sie an das Gleichstellungsgesetz,
bei Aufbewahrungsfristen von Bewerbungen als Beispiel, da sagt zwar die Ego-Datenschutz-Grundverordnung,
sobald der Zweck vorbei ist, also die Bewerbungsphase abgeschlossen ist,
müssen eigentlich die Daten sofort gelöscht werden.
Das deutsche Gleichstellungsgesetz sagt aber, du musst die Daten so lange aufbewahren,
solange sich jemand einklagen kann, weil er könnte ja sagen,
ich bin nicht genommen worden wegen einer Diskriminierung und deshalb muss man dann,
sagt, dieses Gesetz, du musst die Daten aufbewahren für sechs Monate.
Also das ist das, was dabei rauskommt.
Also es gibt immer widerstreitende Gesetzgebung und dann gibt es ja
auch noch das Bundesdatenschutzgesetz und es gibt das hamburgische Gesetz sozusagen,
das Datenschutzgesetz,
was ja auch gilt
Als Landesdatenschutzgesetz. Snowden habe ich noch mal rausgestellt und um auch noch mal darauf hinzuweisen,
das klagen ja heute schon an, die NSA-Affäre ohne Snowden sozusagen,
den kann man, da habe ich früher als Verräter gehalten,
aber heute halte ich ihn eigentlich für einen ziemlich mutigen Menschen,
der unsere EU-Datenschutz-Grundverordnung befördert hat.
Denn zu dem Zeitpunkt 2013 waren die, war die Verhandlung verfahren in Brüssel,
dass da ging nichts mehr weiter. Erst als Noden,
als die Meldung mit Snowden in die Welt kam,
dass massiv ausspioniert wird, Durch die NSA bei Facebook, bei Apple,
bei Google direkt im Hause und dass die NSA am transatlantischen Kabel sitzt,
da hat auch der letzte Lobbyist,
da hat auch die Industrie begriffen,
dass man eine Richtlinie braucht, dass man eine Verordnung braucht.
Und dann ging es wieder weiter, dann waren die auch im Kompromissbereich.
Insofern hat auch Snowden mitgewirkt an der Datenschutzgrundverordnung.
Das soll man nicht vergessen. Hier nochmal so plakativ,
die Zentrale von Google in Irland, lassen wir mal so wirken. Von Facebook,
die Zentrale in Irland, Microsoft, Firmenzentrale in Irland,
Apple und da, wer sieht es als erstes,
die irische Datenschutzbürde, selbst wenn nicht etwa ein kleiner Sparmarkt,
sondern das im Hinterzimmer ist die irische Datenschutzbehörde.
Jetzt wissen Sie, warum die Großkonzerne in Irland ihren Firmensitz haben,
unter anderem, es ist ja auch eine Steueroase,
man darf nicht vergessen, dass gegen Apple zur Zeit von der EU
eine 13 Milliarden schwere Klage auf Steuernachzahlung läuft und man kann sich vorstellen,
dass da vielleicht so fünf bis zehn Lass es weniger Datenschützer sein, arbeiten.
Das ist fürs ganze Land und da gab es also auch
Eingaben von einem Kreis, die wollten das mal testen,
die haben 20 Eingaben an Facebook gemacht,
wir haben zum Datenschutz, das ist nie was bei rausgekommen.
Also das ist, die machen ja nichts. Also deswegen,
das ist schon bemerkenswert. Vorweg, das Schlechte vorweg,
die Strafen sind drakonisch. Also das ist für leichte Verstöße,
wenn man sich nicht ans Gesetz hält, Ah,
die Fahrt nokelt 10 Millionen bis zu 2 Prozent vom Jahresumsatz.
Leichte Verstöße wären dann zum Beispiel, wenn man,
ja, shoppt, ein Kind kauft, ein Produkt,
irgendein Kind in der EU wäre normalerweise unter 16 Jahre,
man hat keine Einwilligungserklärung dazu von den Eltern.
Das wäre ein Verstoß oder man hat keinen Datenschutzbeauftragten benannt.
Das ist nämlich auch etwas, was man machen muss.
Man muss einen Datenschützer benennen, der Aufsichtsbehörde nennen. Also die Datenschützer,
die werden es ja, so viel gibt es gar nicht,
also die Schulungen sind alle ausgebucht,
habe ich festgestellt zurzeit bei den Anbietern.
Also Datenschützer wird es in Zukunft mehr geben.
Und zum Beispiel Bayern hat auch Vorfälle schon den Firmen gesagt,
die müssen alle ihre Datenschützer jetzt schon melden.
Was verzeichnet Führungsflüchte und Datenschutzfolgeabschätzung, haben wir schon gehört?
Also es gibt leichte Verstöße. Ich gehe da später nochmal
drauf ein aufs Verfahrensverzeichnis. 20 Millionen oder vier Prozent vom Jahresumsatz bei größeren Verstößen,
zum Beispiel Missachtung der betroffenen Rechte oder Übermittlung von Daten an ein Drittland.
Man würde ja denken, zum Beispiel,
dass Länder wie die USA automatisch mit der EU handeln dürfen.
Das ist aber mit der Abkündigung von Safe Harber nicht mehr der Fall.
Es gibt zwar ein Privacy-Shield, du heißt diese Folge Policy
oder das Folgeabkommen. Allerdings war ich selber erstaunt,
das gilt gar nicht generell für die USA,
sondern jedes einzelne Unternehmen, ein großes Unternehmen,
muss dieses Privacy, muss Bedingungen erfüllen für dieses Privacy-Shield.
Also es könnte durchaus sein,
also grundsätzlich ist die USA erstmal ein nicht sicheres Land,
also ein Drittland, in dem man nicht übermitteln darf.
Aber man kann Glück haben, dass die Firma das Privacy-Shield
erfüllt, was die Großen wohl auch tun.
Aber da wäre Andorra zum Beispiel schon ein Land,
das die Hausaufgaben besser gemacht hat
Das sind diese Aktionen. Ein Datenschutzbeauftragter kann nicht jeder werden
und wir haben auch schon gehört, es gibt Funktionstrennung oder es gibt einen Gewissenskonflikt.
Also es wäre sicherlich schlecht, wenn der Chef selber Datenschützer wäre.
Ich halte es aber auch für grenzwertig,
wenn der Sicherheitsbeauftragte Datenschützer ist, weil der ja doch vielleicht,
die sollen schon eng zusammenbearbeiten, aber in Personalunion ist es nicht optimal.
Und so steht es auch in der ISO drin. Also ein Datenschutzbeauftragter,
genauso wie der Sicherheitsbeauftragte, müssen frei sein und einfach auch
überall sich einmischen dürfen und dann ohne Konflikt handeln und ausgebildet sein
Also sie müssen auch irgendwie Zertifikate haben.
Das Besondere in der Hochschule sind sicherlich,
ist der Artikel zur Forschung in der Datenschutzgrundverordnung und da bei Forschung
geht es jetzt denn darum, um Teilnehmer von Forschungsstudien.
Da fallen ja auch Daten an,
unter anderem vielleicht ja Daten über den Gesundheitszustand von Betroffenen.
Und das wäre dann automatisch ein hohes Risiko.
Immer wenn ein hohes Risiko da ist bei Daten,
braucht man eine Datenschutzfolgeabschätzung, also eine Risikoanalyse.
Da kommt man da nicht drum rum. Aber auf jeden Fall
ist vorgesehen, dass Daten bei Forschungszwecken anonymisiert beziehungsweise pseudonymisiert werden.
Damit man sie nicht zurückverfolgen kann. Also anonym wäre völlig unkenntlich und
nicht zurückzuverfolgen. Pseudonym könnte man anhand eines Indizes noch zurückverfolgen.
Da gibt es dann sozusagen einen Schlüssel noch dazu.
Grundsätzlich muss aber auf jeden Fall der Zweck notiert werden,
wobei es natürlich wieder eine Öffnungsklausel gibt,
dass der Zweck auch unter Umständen können die Daten auch weiterverarbeitet werden.
Wenn es zum Beispiel ein öffentliches Interesse gibt dazu.
Also zum Beispiel bei der Krebsforschung oder sowas
Aber es ist auf jeden Fall ein Grenzfall, Forschungsdaten.
Weil es ist ja auch medizinische Taten sein können.
Was würden wir Ihnen jetzt empfehlen, wenn Sie damit loslegen sollen?
Also Projektaufsetzen haben wir ja schon gehört und erfreulicherweise ist das
ja hier bei den Rednern in den Universitäten auch schon am Laufen.
Also in vier Schritten Projekt definieren, Verantwortlichkeiten definieren, Budget und so weiter,
Risiken erkennen, Risiken bewerten und Maßnahmen definieren, um umsetzen.
Leichter gesagt als getan. Das Ganze nochmal im Einzelnen.
Was bedeutet das? Also wir müssen vor allen Dingen Die Geschäftsführung,
also vielleicht die, wie heißt es ja, glaube ich,
Dekan oder Rat, die müssten auf jeden Fall beteiligt sein.
Und alle erstmal von allen Spezies erstmal Leute mit ins Projekt holen,
um dann zu sagen, ja,
wir wollen das machen, wir müssen das machen,
wir wollen auch nicht in die Sanktionen reingeraten nächstes Jahr.
Und natürlich sind die Mitarbeiter auch dabei. Und da muss man
erstmal einen Projektscope definieren, wo überhaupt Daten anfallen können.
Und man sollte sich beeilen,
also da fallen die Weihnachtsferien vielleicht aus dieses Jahr,
würden sie anfangen
Prozesse, Systeme, Auftragsdatenverarbeitung ist heute auch schon angekloren.
Wo entstehen Daten? Welche Systeme muss ich betrachten?
Und Auftragsdatenverarbeitung ist eben besonders und manchmal unvermutet,
weil die Dienstleistungspartner bei Auftragsdatenverarbeitung könnte zum Beispiel auch ein Rechenzentrum sein.
Also es könnte jetzt auch die Data-Pod sein,
die dann nachweisen muss, technische,
organisatorische Maßnahmen und sie müssen ein Auftragsdatenverarbeitungsvertrag festhalten, schriftlich fixieren.
Allerdings hat sich hier was geändert. Früher war immer der
Auftragnehmer in der Pflicht, der Haftung. Heute sind das
sozusagen gleichwertige Haftungsverhältnisse. Beide Seiten müssen bei der Auftragsdatenverarbeitung dafür sorgen,
dass es sicher ist und dem Datenschutz gerecht wird.
Das hat sich auch geändert. Man kann sich da nicht
rausreden. Also man sollte auf jeden Fall die Auftragsdatenverarbeitungspapiere sichten
und gucken, ob die noch konform sind.
Risiken bewerten, ja, also Risiko ist, oh,
jetzt bin ich eins zu weit, komme ich auch zurück.
Irgendwie komme ich nicht zurück.
Ich gehe mal hier zurück, Moment
So. Risiko, gleiche Eintrittswahrscheinlichkeit mal. Schadenzüge eigentlich klassisch.
Datenschutzfolgeabschätzung muss man immer machen bei einem hohen Risiko.
Und das ist im Grunde eine klassische Risikomatrix,
wo sie einfach mal schriftlich festhalten, was dann Schlimmes
eintreten könnte und wo jemand dadurch an Schaden entstehen könnte.
Es gibt von der Gruppe 29 da eine Anleitung zu.
Also wer da Fragen hat, die entspricht aber letztendlich dem,
was sonst in der Risiko, im Risikomanagement gemacht wird.
Darauf kann man passieren
Aber zum Glück muss man das ja nicht nur bei hohen Risiko machen.
Lückenanalyse, Gap-Analyse durchführen und hier gilt halt,
was auch schon angeklungen ist, wir haben ja das schöne Beispiel,
die Mischung aus BSI, Grundschutz und ISO 27.001.
Wir sagen auch, sie sollen da hinterher noch arbeitsfähig sein.
Also pragmatisch, gesetzeskonform, aber arbeitsfähig. Ich glaube,
es wäre sicherlich schlecht, wenn die Aufsichtsbehörde mal kommt und sagt,
sie haben gar nichts gemacht, sie haben nichts, kein Datenschützer,
dann würden sie sicherlich eine Warnung oder eine Strafe bekommen.
Aber wenn sie nachweisen können, wir haben schon mal angefangen,
wir haben Verfahrensverzeichnis, wir haben uns Mühe gegeben,
wir sind nicht fertig geworden,
das ist schon ein anderer Schnack
Denke ich, werden die sicherlich nicht gleich eine Hochschule opfern.
Wir sind aber mal gespannt, was passiert,
wer dort sozusagen an den Pranger gestellt wird.
Vermutlich eher ein kommerzielles Unternehmen. Und wenn sie das alles gemacht haben,
dann brauchen sie halt das,
was sie aufschreiben und sie müssen ja auch die Leute alle abholen,
in einfacher Sprache, Einwilligungserklärung zum Beispiel für Webseiten,
wenn sie einen Webshop betreiben wollten, dann ändern die sich.
Früher war das so, dass man einfach sagen konnte,
jemand, der nicht möchte,
dass Daten zum Beispiel Cookies und so weiter erhoben werden,
der muss einfach nur nein sagen, muss so ein sogenanntes Opt-out machen.
Also er muss seine Einwilligungserklärung unterstellt und er musste sie aktiv zurückziehen.
Das ist heute nicht mehr der Fall.
Heute muss man aktiv zustimmen. Also Opt-in. Also da
müssen sich alle Webseiten anpassen. Alle Shops, alle,
die was verkaufen wollen
Schulung, Awareness wird auch gefordert von der Datenschutzgrundverordnung.
Da gibt es mittlerweile auch Anbieter für an dieser Stelle,
wo man schlüsselfertige Online-Awareness-Schulungen machen kann, die sogar Spaß machen,
wie so kleine Comics mit Comics arbeiten,
die man vielleicht immer mal machen kann, wenn man Zeit hat.
Also wir haben da gute Erfahrungen gemacht,
wir haben auch schon die ersten Awareness-Schulungen durchgeführt,
Hersteller unterstützt, teilweise gibt es auch Gesellschaftsspiele zu Informationssicherheit,
so ähnlich wie Monopoly.
Und das kommt eigentlich schon ganz gut an bei den Mitarbeitern.
Da kann man
was draus machen
Ja, was haben wir noch für Betroffenenrechte? Was halt Neues,
Datenübertragbarkeit bei Banken vielleicht wichtiger als bei Hochschulen,
wenn sie ein Bankkonto wechseln,
dann können sie heute ab dann verlangen,
dass die Daten, dass sie ihre Daten mitnehmen.
Recht auf Auskunft, Löschung und vergessen werden,
erfordert aber auch Prozesse. Sie müssen ja irgendwie mit,
sie müssen ja irgendwo eine Möglichkeit haben, ein Frontend,
dass Leute das Betroffene sagen können, ich hätte gerne meine Daten gelöscht.
Denken Sie an Bettina Wulf,
das war die erste Betroffene, die prominent geworden ist,
weil sie irgendwie als 20-Jährige
einem Escort-Service mitgemacht hat
Es wurde, Google hat es nicht gelöscht.
Jetzt ist es gelöscht. Jetzt gibt es auch eine Gesetzesgrundlage.
Jetzt steht nur da über den Vorgang leider immer noch im Fokus,
dass da was war. Also es ist immer noch im
Internet. Widerspruchsrechte, Einwillungsmanagement, das alles brauchen sie.
Und ich gehe ja so schnell durch. Es gibt halt mit
ein paar Dinge zu beachten, Verarbeitungsgrundsätze wie ein ehrbarer Kaufmann.
Und sie müssen prüfen, ob sie die Daten,
die sie erhoben haben, ob sie überhaupt rechtlich sind,
die Daten, ob sie überhaupt einen nachvollziehbaren Zweck gibt,
die Daten zu speichern und müssen das halt
schriftlich fixieren
Meistens gibt es ja ein berechtigtes Interesse, zum Beispiel,
wenn das ihre Mitarbeiter oder ihre Kunden sind.
Soweit. Ansonsten gilt das, was in der Sicherheit sowieso gilt.
Nach den drei Säulen Vertraulichkeit, Integrität und Verfügbarkeit.
Sicherheit nach dem Stand der Technik, zertifiziert.
Bei Produkten oder bei Programmierung darauf zu achten,
Privacy by Design und Privacy by Default. Das heißt,
jetzt die Grundeinstellungen sind schon sicher und vielleicht gucke ich es
sind schon aus. Und sie brauchen technische organisatorische Maßnahmen,
sogenannte Torms, die dann durch ein ISMS,
wie wir heute schon angeklungen ist, regelmäßig überprüft werden.
Jetzt bin ich über die Zeit,
aber das ist aber auch meine letzte Folie.
Vielen Dank für Ihre Aufmerksamkeit, wenn Sie Fragen haben,
stehe ich jetzt zur Verfügung