Datenschutz

Online-Dienst verkauft – Datenschutz-Debakel

von

Datenschutz-Bußgeld für Käufer und Verkäufer

Ein Online-Shop wird verkauft, zusammen mit der Kundendatei – schließlich ist der Kundenstamm einer der größten „Assets“ bei so einem Asset Deal. Und dann verhängt plötzlich der Landesdatenschutzbeauftrage ein Bußgeld in fünfstelliger Höhe – sowohl für den Käufer wie den Verkäufer. Der Stuttgarter Rechtsanwalt Clemens Pfitzer, der über diesen Fall berichtet, resümmiert: „Die bayerischen Datenschützer scheinen ernst zu machen.“

Grund für das Bußgeld: Bei dem Geschäft wurden E-Mail-Adressen und andere persönliche Kundendaten ohne Einwilligung und ohne Widerspruchsmöglichkeit verkauft. Namen und Postadressen von Kunden können bei einer Betriebsübernahme relativ problemlos mit verkauft werden. Für E-Mail-Adressen,Telefonnummern, Kreditkarten- und Kontodaten sowie die Bestellhistorien der Kunden benötigt man jedoch eine – nachweisbare – Einwilligung (Opt-in). Zumindest aber müssen die Kunden von der Übertragung erfahren und ihr widersprechen können (Opt-out).

Auch dagegen kann man sich versichern!

Als Versicherungsmakler zählt für uns natürlich auch immer die Frage: Hätte man sich dagegen versichern können?

Klare Antwort: Ja! Eine so genannte W&I-Versicherung (Warranty and Indemnity Insurance) bezahlt, wenn ein Unternehmen ein Garantieversprechen im Rahmen einer Übernahme nicht einhalten kann.

Fragen zu Ihrer Absicherung?

Datenschutzvorschriften können schnell sehr teuer werden – nicht nur beim Asset Deal, auch im laufenden Geschäft oder aufgrund persönlicher Haftung. Haben Sie Fragen dazu, wie Sie sich und Ihr Unternehmen absichern können? Rufen Sie mich doch einfach an: 030 863 926 990.

Datenschutz: Windows 10 in zehn Minuten fesseln und knebeln

von
Windows 10 - Datenschutz - Anleitung der Verbraucherzentrale Nordrhein-Westfalen (Screenshot)
Zehn Minuten für ein datensparsames Windows 10

Anders als bei Vista oder Windows 8 (schreckliche Erinnerung …) kann man nach dem Upgrade auf Windows 10 in vielen Fällen tatsächlich direkt weiterarbeiten, ohne große Brüche.

Aber auch hier gibt es Fallen. Ab Werk lautet offenbar das Datenschutzprinzip bei Windows 10: Weitergeben – wann immer, wo immer und an wen immer.

Zum Glück lässt sich die Datenschleuder auch auf deutlich weniger Umdrehungen schalten. Wie das geht, zeigt die Verbraucherzentrale Nordrhein-Westfalen in einer schnellen Anleitung: Datenschutzeinstellungen für Windows 10.

Das IT-Sicherheitsgesetz ist in Kraft – mit neuen Haftungsrisiken

von

Seit letztem Freitag ist das IT-Sicherheitsgesetz in Kraft. Es liegt für unterschiedliche Betroffene die Pflicht zu IT-Schutzmaßnahmen sowie Meldepflichten fest. Allerdings ist im Detail noch ziemlich viel unklar. Die „das Gesetz konkretisierende Rechtsverordnung” des Innenministeriums liegt noch nicht vor.

IT-Sicherheitsgesetz: Wer ist wie betroffen?

  • Direkte Auswirkungen gibt es auf alle Betreiber von geschäftlichen Websites und Online-Shops, denn das IT-Sicherheitsgesetz verschärft das Telemediengesetz. Jeder geschäftliche Auftritt oder Dienst im Web muss technisch und organisatorisch vor unerlaubtem Zugriff, Datenschutzverstößen und Angriffen von außen geschützt sein. Diese Vorkehrungen „müssen den Stand der Technik berücksichtigen”. Als Beispiel wird Verschlüsselung genannt (§ 13 Abs. 7 TMG n. F.). Die Nichtbeachtung kann nicht nur zu Bußgeldern (s. u.), sondern auch zu einer Abmahnung durch die Konkurrenz führen.
  • Sofortige Auswirkungen gibt es auch auf Telekommunikationsanbieter. Sie müssen ab sofort ihre Kunden warnen und unterstützen, falls es Anzeichen dafür gibt, dass deren IT-Sicherheit verletzt wurde. Gleichzeitig darf der Provider zu Präventionszwecken die Kundendaten speichern, bis zu sechs Monate.
    Abzuwarten bleibt, mit welchen Aussichten ein geschädigtes Unternehmen damit nun umgekehrt gegen den Provider vorgehen kann, wenn es keine Warnung gab. Hätte der Provider den unnatürlichen Datenstrom erkennen müssen, den der Trojaner über die Mailserver des Kunden schickt?
  • Anbieter von „kritischen Infrastrukturen“ müssen verbindliche Sicherheitsstandards umsetzen und diese dann alle zwei Jahre zertifizieren lassen. Außerdem müssen sie eine Art „Verbindungsstelle“ zum BSI (Bundesamt für Sicherheit in der Informationstechnik) einrichten und das Amt (das bekanntlich auch den Bundestrojaner mit entwickelte …) über Cyber-Attacken, IT-Havarien und IT-Sicherheitsrisiken informieren.
    Dummerweise ist bislang nicht genau klar, für wen diese Pflichten eigentlich gelten. Das Gesetz nennt nur die Zugehörigkeit zu „den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen“ und „hohe Bedeutung für das Funktionieren des Gemeinwesens“ als Kriterien.
    Unklar ist auch, wie die verbindlichen Sicherheitsstandards genau aussehen werden. Spekuliert wird über verpflichtende ISMS-Audits auf Basis von ISO 27001. Klarheit schafft hoffentlich die Rechtsverordnung des Innenministeriums. Liegt sie vor, haben die betroffenen Unternehmen sechs Monate Zeit zur Einrichtung der „Meldestelle” und zwei Jahre zur Umsetzung der Sicherheitsanforderungen.
    Kleine und mittlere Unternehmen sind vom IT-Sicherheitsgesetz nicht direkt betroffen. Die Zertifizierungsanforderungen größerer Unternehmen werden sich aber auch auf deren Zulieferer und Dienstleister auswirken.

Neues Haftungsrisiko – für Unternehmen und Geschäftsführer / Manager

Das Gesetz verankert durchaus empfindliche Strafen bei Pflichtverletzungen.

  • Ein Online-Shop oder Website-Betreiber, der die Pflicht zum Datenschutz nach Stand der Technik missachtet, kann im schlimmsten Fall mit 50.000 € bestraft werden.
  • Dieselbe Summe kann den Betreiber einer kritischen Infrastruktur treffen, der die Meldepflichten- und -voraussetzungen nicht erfüllt.
  • Das Bußgeld für ein Unternehmen, das die Sicherheitsstandards nicht verwirklicht, kann bis zu 100.000 € betragen.

Das  hat Auswirkungen auf das rechtliche Risiko von Geschäftsführern, Managern oder Vorständen. Sie haften für die Umsetzung gesetzlicher Vorschriften im Unternehmen – im Ernstfall werden sie schnell persönlich zur Kasse gebeten. Glücklich, wer dann eine D&O-Versicherung (Manager-/Geschäftsführerhaftpflicht) hat.

Fazit: Zusätzliche Risiken, Versichern hilft

Den großen Durchbruch in Sachen Cyber-Sicherheit stellt das IT-Sicherheitsgesetz nun wirklich nicht dar. Immerhin zwingt es Unternehmen quer durch alle Branchen und ganz besonders in den betroffenen Sektoren, sich mit ihrer IT-Sicherheit zu befassen.

Befassen sollten sich Unternehmen wie Geschäftsführer aber auch mit ihrem Risikomanagement. Unternehmen brauchen den Schutz einer Cyber-Versicherung, die Geschäftsführer eine D&O-Versicherung. Dies ist durch die neue Rechtslage noch dringlicher geworden.

Haben Sie Fragen zu Cyber-Versicherung oder D&O-Versicherungen?

Ich gebe Ihnen gerne Antwort. Rufen Sie mich an oder schreiben Sie uns eine Nachricht:  Kontakt.

Durchschnittskosten einer Datenschutzverletzung

von

Was Datenklau aktuell so kostet …

Schon seit zehn Jahren erstellt das Ponemon Institute Studien über die konkreten Kosten von Datenschutzverletzung. Die Statistiken gibt es sowohl global als auch für Einzelstaaten. Die Ausgabe „2015 Cost of Data Breach Study: Germany“ (auf Englisch, bei IBM als PDF) nennt konkrete Zahlen für Deutschland (bezogen auf Datenschutzverletzungen im Jahr 2014).

Was eine Datenschutzverletzung an Kosten verursacht

Die wichtigsten Werte:

  • Rund 3,2 Mio. € (3,52 Mio. $) beträgt der Gesamtschaden der Unternehmen durch Datenschutzverletzungen.
  • 139 € (152 $) steuert dazu jeder einzelne verlorene oder kompromittierte persönliche Datensatz (Daten zu einer Person) im Durchschnitt bei. Das ist eine Steigerung von mehr als acht Prozent gegenüber dem Vorjahr. Mehr als die Hälfte sind indirekte Folgekosten, etwa Umsatzeinbußen durch verlorene Kunden.
  • Die Kosten der gesetzlich vorgeschriebene) Information Betroffener liegen pro Fall bei durchschnittlich 219.000 € (240.000 $).
  • Besonders hohe Kosten durch Datenschutzverletzungen liefen im Finanzsektor, der Industrie und der Dienstleistungsbranche an, auch weil hier die Kunden am schnellsten vergrault werden. Einzelhandel, Logistik und öffentliche Hand hatten Schäden unter dem globalen Durchschnittswert.
  • Mehr als die Hälfte der Datenschutzverletzungen beruhten auf absichtlichen Angriffen mit kriminellem Hintergrund – diese Zwischenfälle sind auch teurer als Datenverluste durch technische oder menschliche Fehler.
  • Kommen Sicherheitsmaßnahmen wie Verschlüsselung zum Einsatz, liegen die Kosten im Durchschnitt niedriger.

Das Kostenrisiko ist real. Versichern ist gute Unternehmensführung

Fazit: Versichern macht Sinn.  Das Kostenrisiko ist real, durch eine Versicherung lässt es sich kontrolliert in die Bücher nehmen – und aus dem unversteuerten Gewinn bezahlen. Die Alternative – nichts tun – ist nicht nur riskant, sondern auch schlechte Unternehmensführung.

Eine Cyber-Versicherung bringt schon etwas, bevor eine Datenschutzverletzung eintritt, weil sie zu einer Analyse des individuellen Unternehmensrisikos führt. Tritt der Ernstfall ein, steht Ihnen eine „schnelle Eingreiftruppe“ aus IT-Spezialisten, Anwälten und PR-Leuten zur Verfügung. Und natürlich fängt die Cyber-Versicherung sowohl Ihre Haftung gegenüber Betroffenen als auch Ihre Eigenschäden auf.

Für weitere Informationen genügt ein Anruf bei Acant  (030 863 926 990) oder eine Nachricht an uns.

Cyber-Versichert – auch gegen die eigenen Mitarbeiter

von

Wer das Cyber-Risiko durch eigene Mitarbeiter versichern will, braucht eine Vertrauensschadenversicherung, die eine Computermissbrauchversicherung einschließt.

Beides ist in vielen gängigen Cyber-Policen enthalten und schützt Ihr Unternehmen vor Schäden durch unvorsichtige oder pflichtvergessene Mitarbeiter – ein Risiko, das sich grundsätzlich nicht ausschließen lässt.

Der Mitarbeiter als IT-Risiko

Das zeigt auch ein Posting vom Datenschutzblog29, das Schusseligkeit (unterwegs verlorene Laptops), schlechte Passwörter und Phisingmails beklagt. Natürlich kann man mit Mitteln der IT etwas dagegen tun.

  1. Man kann lange Passworte mit Sonderzeichen, Großbuchstaben und Zahlen erzwingen. Aber dann klebt das Ergebnis eben als gelbe Haftnotiz am Schreibtisch. (Kann sich ja keiner merken …)
  2. Man kann die Speicher sämtlicher Firmenlaptops verschlüsseln. Aber: siehe Punkt 1.
  3. Man kann und soll die Mitarbeiter über Phishing und Sicherheit informieren. Aber bleibt der E-Mail-Anhang von der jungen, charmanten, neuen Bekannten aus dem Branchenforum deshalb ungeöffnet? Eben.

Und das waren nur Sicherheitsverletzungen aus Dummheit. Ganz schwer kontrollierbar ist ein Mitarbeiter, der dem Unternehmen mit Absicht schaden will – ob aus Rachsucht oder zum eigenen Vorteil.

Die Grenzen der Technik … sind der Beginn des Versicherungsbedarfs

Fazit: Die IT-Administration kann gegen Sicherheitsverletzungen durch Mitarbeiter einiges ausrichten. Allein dadurch das Risiko unter Kontrolle zu halten, ist illusorisch. Das lässt sich jedoch durch speziellen Versicherungsschutz sicherstellen.

  • Eine Vertrauensschadenversicherung zahlt bei Schäden durch Veruntreuung, Unterschlagung, Diebstahl, Geheimnisverrat oder Betrug durch eigene Mitarbeiter – auch Straftaten Dritter lassen sich einschließen.
  • Die Computermissbrauchsversicherung erweitert diesen Schutz auf IT-bezogene Taten wie die Veränderung von Software, das unbefugte Kopieren oder Löschen von Daten oder das Zerstören von Datenspeichern.

Unvorsichtige oder böswillige Mitarbeiter mögen Laptops verlieren, die Firewall umgehen oder Ihre Daten klauen. Eine Versicherungspolice im Unternehmenssafe ist vor ihnen sicher.

Wie teuer ist eine Vertrauensschadenversicherung und/oder eine Computermissbrauchsversicherung speziell für Ihr Unternehmen? Für eine schnelle Auskunft schicken Sie mir eine kurze Nachricht oder rufen mich einfach an.

Das IT-Sicherheitsgesetz wird teuer – Versichern senkt das Kostenrisiko

von

Es wird mit großer Sicherheit teuer …

Im Sommer dürfte das IT-Sicherheitsgesetz in Kraft treten. Im Moment liegt der Gesetzesentwurf beim Bundestag. Es bringt dem „Bundesamt für Sicherheit in der Informationstechnik“ (BSI) mehr Bedeutung und für so genannte „Betreiber kritischer Infrastrukturen“ neue Pflichten und Kosten – aber auch für jeden geschäftlichen Website-Betreiber.

Unklar: Betreiber einer kritischen Infrastruktur

Noch ist völlig unklar, wer dazu zählt. Genaue Festlegungen soll es erst später per Rechtsverordnung geben.

Bislang ist die Zielgruppe nur über zwei Merkmale eingegrenzt: Zugehörigkeit zu „den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen“ und „hohe Bedeutung für das Funktionieren des Gemeinwesens“ (§ 2 Abs. 10 BSIG n. F.) – ziemlicher Gummi also.

Immerhin: Kleinst- und Kleinunternehmen sind ausgenommen. Andere Betreiber müssen …

  • innerhalb von zwei Jahren verbindliche IT-Sicherheitsstandards einführen. (Welche? Auch noch nicht klar …).
  • deren Einhaltung alle zwei Jahre zertifizieren lassen
  • eine permanent erreichbare „Kontaktstelle“ zum BSI einrichten
  • Cyber-Zwischenfälle sowie Störungen und Bedrohungen der IT-Sicherheit unverzüglich an das BSI melden – auch solche, die nicht zu Ausfällen oder Störungen führten. (Immerhin darf dann die Meldung anonym erfolgen)

Neue Sicherheitspflicht für jeden geschäftlichen Website-Betreiber

Eine Änderung im Telemediengesetz verpflichtet zudem Diensteanbieter (d. h. Website- und Webservice-Betreiber) dazu, alles an Cyber- und Datenschutzmaßnahmen zu installieren, was „technisch möglich und wirtschaftlich zumutbar“ (§ 13 TMG n. F.) ist.

Eine Cyber-Versicherung hilft

Meldepflichten, Zertifizierungspflichten, verpflichtende IT-Sicherheitsstandards – all das ist nicht nur in der Umsetzung teuer. Zusätzlich drohen bei Verstößen Bußgelder und Schadenersatzansprüche Dritter.

Genau hier hilft eine Cyber-Versicherung, die Kostenrisiken im Griff zu halten:

  • Bei einem erfolgreichen Cyberangriff, einem technischen Zwischenfall oder menschlichem Versagen im Cyberbereich sind ihr Eigenschaden sowie Ausfall– und Folgekosten versichert (Produktionsausfälle, zerstörte Hardware, Datenwiederherstellung etc.)
  • Wichtiger noch: die Schadenersatzansprüche, die andere in diesem Fall an Sie stellen, sind ebenfalls versichert (denken Sie an Kunden, deren Daten geklaut wurden)
  • Die Versicherer halten Dienstleister für den Krisenfall bereit, die schnelle Hilfe bieten (Datenrettung, Krisen-PR, Rechtsberatung etc.)
  • Und, aktuell im Zusammenhang mit dem IT-Sicherheitsgesetz wichtig: Wenn gegen Ihr Unternehmen ein Bußgeldverfahren aufgrund von IT-Sicherheitsverletzung läuft, sind Ihre Rechtsanwalts- und Gerichtskosten mitversichert.

 

Cookie-Monster und die Rechtsunsicherheit

von

In einer idealen Welt würde das Online-Recht klar umsetzbare Vorgaben für Website-Betreiber liefern. Die Wirklichkeit ist weit davon entfernt.

Ein Beispiel von vielen: Ob deutschen Seitenbetreiber jedes Mal vorher um Erlaubnis fragen müssen, bevor sie Cookies setzen, ist höchst umstritten. Die Konferenz der Datenschutzbeauftragten von Bund und Ländern neigt natürlich zur restriktiven Sicht. Ob der BGH zustimmen würde, weiß keiner, jedenfalls bis jetzt. Die Folge ist wieder einmal Rechtsunsicherheit.

Versicherungen sind kein Allheilmittel dagegen – aber sie können das Risiko durchaus begrenzen, auch wenn das nicht allgemein bekannt ist. Die Versicherer bieten entsprechende Produkte unter ganz unterschiedlichen Namen an (Cyber-Versicherung, Media-Police, IT-Safe Care – um ein paar Beispiel zu nennen.) Die genauen Deckungsvereinbarungen muss man sich im Einzelfall anschauen. Aber grundsätzlich lässt sich der Schaden versichern, der entsteht, wenn Ihnen jemand aus den  Cookies Ihrer Unternehmenswebsite einen Strick drehen bzw. einen Verstoß gegen Datenschutzrecht konstruieren will. Zumindest solange, wie die Cookie-Zustimmung noch nicht allgemeiner Standard in Deutschland ist und die fehlende Abfrage nicht als grob fahrlässig ausgelegt werden kann.

Man könnte fast sagen: Auch Rechtsunsicherheit ist ein Stück weit versicherbar.

Cloud-Kunde zahlt nicht, Cloud-Anbieter löscht Daten? Vorsicht, Haftungsrisiko.

von

Cloud Services sind mittlerweile Alltag in der IT-Branche. Und damit rücken auch rechtliche Probleme in den Fokus, an die vorher kaum jemand gedacht hat, die aber eben den Geschäftsalltag bestimmen. Zum Beispiel die Frage, wie ein Cloud-Dienstleister reagieren soll, wenn der Unternehmenskunde für das vereinbarte Bereithalten der Daten, Software etc.  nicht bezahlt. Kann der Cloud-Service die Daten dann einfach löschen?

Eher nicht, zumindest nicht „einfach so” – so könnte man einen Beitrag von Rechtsanwalt Jens Ferner zusammenfassen. Vorsicht ist schon deshalb angebracht, weil es um große Haftungssummen gehen kann. Kundenkartei, Produktdaten oder Buchhaltungsvorgänge – diese Daten sind viel wert und ihr Verlust führt schnell zu teuren Folgeschäden. Entsprechend hoch können dann spätere Schadenersatzansrpüche durch den Kunde oder einen Insolvenzverwalter ausfallen.

Auch wenn Cloud-Anbieter eine entsprechende Regelung in den AGB  hat, kann er Probleme bekommen, so Rechtsanwalt Ferner. Der Bundesgerichtshof den Hostingvertrag zwar vor einigen jahren als Mischform von Miet- und Werkvertrag gekennzeichnet (BGH, 4. 3. 2010 -III ZR 79/09). Aber für IT-Rechtsexperte Ferner überwiegen speziell beim Cloud-Vertrag die mietvertraglichen Aspekte.

Und der Vermieter eines Lagerraums etwa darf die dort untergebrachten Dinge auch nicht einfach entsorgen, wenn der Kunde nicht zahlt – er muss sie einlagern und gegebenenfalls verwerten. Analog dazu, so Jens Ferner, müsse auch der Cloud-Anbieter vorgehen: Die Daten zumindest vorerst sichern. Das sei angesichts der niedrigen Kosten auch zumutbar. Anders als der Lagerverwalter darf er die Daten aber nicht verwerten – der Datenschutz verhindert den Zugriff darauf. Doch wie lange das Speichern für den nichtzahlenden Kunden dauern soll, dazu macht der Fachbeitrag leider keine genauen Angaben. „Durch ein geeignetes und beweissicheres Prozedere kann man hier dafür Sorge tragen, dass die Daten letztlich gelöscht werden können.” lautet die eher vage Aussage.

Natürlich muss es nicht sein, dass das Gericht in einem konkreten Fall  die Sichtweise von Jens Ferner teilt. Aber die Möglichkeit besteht durchaus. Und das Szenario zeigt wieder einmal, dass man als IT-Dienstleister sehr viel schneller in Haftungsfallen treten kann, als einem lieb ist. Gut, wenn die Haftpflichtversicherung  des Unternehmens und die persönliche Haftungspolice des Geschäftsführers aktuell und genau auf die Risiken hin angepasst sind, die sich aus dem eigenen Geschäftsmodell tatsächlich ergeben.

  • Natürlich kann auch der beste Versicherungsvertrag Vorsicht nicht ersetzen und Pech nicht verhindern. Aber eine gute Betriebs- und Produkthaftpflichtversicherung bietet nicht nur finanziellen Schutz bei begründeten und berechtigten Schadenersatzansprüchen gegen das Unternehmen. Sie hilft auch, unbegründete Ansprüche juristisch abzuwehren, denn sie übernimmt die Anwalts- und Gerichtskosten.
  • Außerdem gewährt eine gute Haftpflichtversicherung grundsätzlich auch bei Fahrlässigkeit Versicherungsschutz.
  • Wenn ein Gericht die Datenlöschung später als vorsätzlich begangene Straftat einstuft, wird kein Versicherer bezahlen. Aber: Juristen machen einen Unterschied zwischen Vorsatz , bedingtem Vorsatz und Fahrlässigkeit.  Im konkreten Fall ist diese Unterscheidung sehr wichtig – dafür, ob die Versicherung bezahlt, aber auch für die Frage, ob der Geschäftsführer bzw. Inhaber eines Unternehmens persönlich haftet oder strafrechtlich belangt wird. Richtig versichert zu sein  bedeutet auch, sich einen guten, fachkundigen Strafverteidiger leisten zu können, und das  nicht erst mit Eröffnung des gerichtlichen Verfahrens,  sondern bereits ab Einleitung der Ermittlungen.

Den Beitrag von Jens Ferner finden Sie hier: „Cloud-Computing und IT-Vertragsrecht: Dürfen Anbieter Daten der Kunden bei Zahlungsverzug löschen?”

Haben Sie Fragen zu Versicherungsmöglichkeiten und Risikomanagement in Bezug auf ein konkretes IT-Geschäftsfeld?

Sprechen Sie mich an.

Datenschutz bringt echte Marktvorteile – und nicht nur Karma-Punkte

von

Versichern und vermeiden

Als Versicherungsmakler liegt es mir am Herzen, dass die Risiken, gegen die ich die von mir betreuten Unternehmen versichere, möglichst nie Realität werden.

Nicht, weil die Versicherung dann zahlen muss. (Als Versicherungsmakler bin ich kein Versicherungsvertreter, das kann man gar nicht oft genug wiederholen. Ich verkaufe nicht Produkte eines Versicherers, ich „verkaufe” vielmehr Know-how und Beratung, damit der Versicherungsnehmer markt- und risikogerechten Versicherungsschutz bekommt. Dabei stehe ich auf Seiten des Versicherungsnehmers. Dazu bin ich sogar gesetzlich verpflichtet.)

Sondern deshalb, weil kein Schaden immer besser ist als selbst ein anstandslos regulierter Schaden. (Das erspart dem versicherten Unternehmen Ärger und mir  Arbeit, schließlich kümmere ich mich auch um Schadensregulierung.)

Und deshalb liegt mir das Thema Datenschutz am Herzen.

 

Datenschutz: vom Nerd-Thema zum Risikofaktor

Zu den großen Risiken im IT-Umfeld gehört mittlerweile das des Datenlecks. Aus einem Dornröschenthema für Fachjuristen und engagierte Nerds ist in wenigen Monaten ein echtes Damoklesschwert geworden, das jetzt über allen baumelt, die die Zeichen der Zeit nicht erkannt haben.

Denn inzwischen legen auch die Verbraucher Wert auf Datenschutz. „Datenschutz darf Geld kosten” – so fasste der vzbz die Ergebnisse einer Umfrage unter Verbrauchern zusammen, die er bei TNS Emnid in Auftrag gegeben hatte. Mehr als ein Drittel der Befragten zeigt sich demnach bereit, größere Datensicherheit auch mit einem höheren Preis zu honorieren. Und für Unternehmen ist inzwischen auch klar, wie riskant es ist, wenn das eigene Risikomanagement im Blindflug erfolgt.

(Etwa bei der Cloud – wenn man persönliche Daten von Dritten an einen Dienst außerhalb der EU übergibt, noch dazu unverschlüsselt bzw. mit Schlüsseln, die auf dem Server dort liegen, und der Vertrag außerdem keine Grundlage für Regressansprüche an den Cloud-Anbieter hergibt,  falls doch etwas passiert, und auch keine Lösch- oder Auskunftsansprüche nach deutschem Recht – das ist dann z. B. Blindflug.)

Aber eigentlich wollte ich gar nicht  von den Risiken beim Datenschutz reden – sondern von den Chancen. Denn das ist ja das Gute: Beim Thema „Datenschutz” geht es nicht darum, nur den Teufel an die Wand malen – man kann auch auf real existierende Vorteile verweisen. Ein funktionierendes Datenschutzkonzept ist ein echter Marktvorteil geworden. Sowohl bei Unternehmenskunden wie auch bei Endverbrauchern.

Datenschutz-Risiko: Quasi ein Schnelltest

Wie groß der eigene Handlungsbedarf ist, lässt sich – zumindest vorab – schon mit ein paar einfachen Punkten herausfinden.  Wer das alles so spontan unterschreiben kann, ist schon mal recht gut aufgestellt:

  • Bei uns gibt es einen Datenschutzbeauftragten, und zwar nicht nur pro forma. (Oder: Wir brauchen wirklich keinen.)
  • Sowohl in den Verträgen mit unseren Kunden wie auch mit unseren Dienstleistern sind Datenschutzansprüche klar geregelt, auch der Haftungsfall.
  • Für alle personenbezogenen Daten, die wir speichern, haben wir entweder eine gesetzliche Befugnis oder eine nachweisbare Einwilligung der Betreffenden. Und wir können personenbezogene Daten komplett löschen und tun dies auch, wenn der Nutzer sich abmeldet, kündigt o. ä.  Und zwar auch von allen Backup-Systemen etc.
  • Unsere Security-Policies und Schutzmaßnahmen sind auf den Stand der Zeit. Und auch die Privat-Geräte der Mitarbeiter bilden keine Lücke im System.
  • Falls doch etwas passiert, und wir verantwortlich sind (und das sind wir selbst dann, wenn unser Provider/Dienstleister/Cloud-Dienst/Mitarbeiter … schuld ist), dann kommen zwar Schadenersatzforderungen auf uns zu, aber wir sind versichert. Wir haben das Thema Datenschutz schließlich rechtzeitig mit unserem Versicherungsmakler durchgesprochen.

Falls Sie Fragen oder Anmerkungen zum Thema „Datenschutz-Risiken und Versicherungen“ haben: Sprechen Sie mich an.

 

 

 

EU-Datenschutzgrund­verordnung: Was auf IT-Unternehmen zukommt

von

Datenschutz ist großes Thema – auch auf EU-Ebene. Doch abseits täglich wechselnder Aufregungen über abgehörte Handys und und Netzknotenpunkte gibt es beim Datenschutz auch Bewegungen, die den Geschäftsalltag der Unternehmen sehr konkret beeinflussen werden: Die neue EU-Datenschutzgrundverordnung nimmt Gestalt an.

Die geltende EU-Richtlinie zum Datenschutz stammt aus dem Jahr 1995. Damals tröpfelten die Daten oft noch mit 28.8 kBit/s durch das Modem in den Rechner. Und mit ähnlicher Geschwindigkeit schien sich auch die Nachfolgeverordnung über die verschlungenen Pfade der europäischen Gesetzgebung zu bewegen. Immerhin – sie hat das EU-Parlament erreicht und wurde dort in einer Kompromissfassung beschlossen .

Verabschiedet sehen will die zuständige Kommissarin, Viviane Reding, die neue Datenschutzverordnung bis April 2014 – das ist sehr ambitioniert. Aber im Mai 2014 sind EU-Wahlen. Und nachdem das Datenschutzthema nun dank Angela Merkels Smartphone endgültig die Schlagzeilen beherrscht, scheint vieles möglich. Es könnte sich also mittelfristig einiges ändern für IT-Unternehmen.

Der jetzige Text der Vereinbarung ist noch längst nicht der Stand, der dann irgendwann auch in Kraft tritt – vorher müssen EU-Kommission und die Regierungen der Mitgliedsstaaten zustimmen. Und allein bis jetzt gab es schon über 3.000 Änderungsanträge, wie Matthias Spielkamp auf iRights.info berichtet.

Interessante Regelungen enthält die Vorlage in jedem Fall:

  • Unternehmen, die von der Verordnung erfasst werden, müssen einen Datenschutzbeauftragten ernennen, eine Risikoanalyse zur Datenverarbeitung erstellen und sich alle zwei Jahre einer Überprüfung unterziehen. Aus Sicht des Risikomanagements ist das eine Risikoerhöhung. Wenn der Audit nicht bestanden wird, drohen ja Geschäftsausfälle.
  • Gelten soll die Verordnung für Unternehmen, wenn sie die Datensätze von mehr als 5000 Nutzern speichern –  das ist schnell erreicht. Demgegenüber wollte die EU-Kommission die Schwelle durch eine Mitarbeiterzahl 250 festlegen. Das ist natürlich ein großer Unterschied. Denn auch kleine Unternehmen haben schnell 5000 Newsletter-Abonnenten, Bestelladressen oder Datensätze in der von ihnen verwalteten Kundendatenbank.
  • Wie immer die Schwelle bestimmt wird: Firmen unterhalb davon brauchen keinen Datenschutzbeauftragten mehr. Das deutsche Datenschutzrecht schreibt im Moment vor, dass ein – externer oder interner – Datenschutzbeauftragter berufen werden muss, wenn mindestens zehn Mitarbeiter mit der Verarbeitung persönlicher Nutzerdaten zu tun haben. (Andererseits: Mit dem Datenschutzbeauftragten ist das Unternehmen die Haftung für Datenschutzverstöße ohnehin nicht los. Die bleibt im Zweifelsfall direkt bei der Geschäftsleitung – wo sie übrigens auch jetzt schon ist.)
  • Auch noch umstritten ist die Frage, wie hoch die Sanktionen bei Verstößen ausfallen. Dieser Aspekt ist aus aus Sicht des Risikomanagements natürlich besonders interessant. Die EU-Kommission wollte Strafen für Unternehmen auf eine Million Euro oder bei zwei Prozent des Jahresumsatzes deckeln. Die Parlamentsvorlage ist deutlich schärfer und legte die Grenze bei 100 Millionen Euro und fünf Prozent vom Umsatz fest. Der „Preis” für Datenschutzverstöße hat natürlich sehr direkte Auswirkungen darauf, wie teuer die Prämien der Vermögensschadenhaftpflicht oder der D&O- (Managerhaftpflicht)-Policen werden.
  • Geregelt wird auch das Recht auf Auskunft über gespeicherte Daten und auf deren Löschung. Beides schreibt das deutsche Datenschutzrecht im Grundsatz ja auch schon vor. Neu wäre aber, dass ein Unternehmen auch dafür verantwortlich ist, alles „Vertretbare“ zu unternehmen, um Dritte, welche die Daten verarbeitet haben, davon in Kenntnis zu setzen, dass der Betroffene die Löschung seiner Daten und damit auch Verlinkungen verlangt. Hier kündigen sich möglicherweise neue Haftungsrisiken an, die durch entsprechende Verträge mit Geschäftspartnern, aber auch durch Anpassung der eigenen Haftpflichtversicherung aufgefangen werden müssen.
  • Persönliche Daten dürfen nur mit Einwilligung erfasst oder verarbeitet werden. Allerdings gibt es eine etwas schwammige Ausnahmeregelung, die bei Datenschutzaktivisten Protest auslöst. Mal abwarten, wie dieser Punkt am Ende gefasst wird.
  • Auch nicht ohne ist für die Anbieter das Recht aus Datenportabilität: Selbst erstellte Profile und Inhalte soll der Nutzer von einem Dienst zum anderen mitnehmen können wie die Rufnummer beim Wechsel des Mobilfunkvertrags. Die bisher genutzte Plattform muss dann die gespeicherten, möglicherweise bereits veröffentlichten und von anderen Nutzern geteilten Inhalte löschen. Auch das ein neues Haftungsrisiko.
  • Datenschutzverstöße wie Datendiebstahl müssen den Betroffenen ohne Verzögerung, mindestens innerhalb 72 Stunden, mitgeteilt werden. Das begründet wiederum mögliche Ansprüche von Kunden, die zu spät über Datenverluste informiert werden.
  • Datenschutzrechtliche Ansprüche von EU-Bürgern werden durch die EU-Verordnung vereinheitlicht. Zur Zeit können Services mit Sitz in den USA sich auf dortige Bestimmungen zurückziehen, auch bei deutschen Kunden. Das wird dann Vergangenheit sein – auch US-Dienste müssen sich an die EU-Vorschriften halten, wenn sie EU-Nutzer haben. Ob das auch durchsetzbar ist, muss man allerdings abwarten.

Wie gesagt: Noch ist vieles im Fluss, die große Schlacht der Lobbyisten, Aktivisten und Einflussgruppen ist noch lange nicht vorbei. Aber eines ist sicher: Datenschutz hat einen Preis, und den zahlen unter anderem die Unternehmen. Zum Beispiel in Form erhöhter Versicherungsprämien für Policen mit erweiterter Deckung. Um so wichtiger ist es, die Versicherungsverträge optimal zu gestalten, um weder Geld zu verschenken noch von Deckungslücken bedroht zu werden.