Risikomanagement

Datenschutz bringt echte Marktvorteile – und nicht nur Karma-Punkte

von

Versichern und vermeiden

Als Versicherungsmakler liegt es mir am Herzen, dass die Risiken, gegen die ich die von mir betreuten Unternehmen versichere, möglichst nie Realität werden.

Nicht, weil die Versicherung dann zahlen muss. (Als Versicherungsmakler bin ich kein Versicherungsvertreter, das kann man gar nicht oft genug wiederholen. Ich verkaufe nicht Produkte eines Versicherers, ich „verkaufe” vielmehr Know-how und Beratung, damit der Versicherungsnehmer markt- und risikogerechten Versicherungsschutz bekommt. Dabei stehe ich auf Seiten des Versicherungsnehmers. Dazu bin ich sogar gesetzlich verpflichtet.)

Sondern deshalb, weil kein Schaden immer besser ist als selbst ein anstandslos regulierter Schaden. (Das erspart dem versicherten Unternehmen Ärger und mir  Arbeit, schließlich kümmere ich mich auch um Schadensregulierung.)

Und deshalb liegt mir das Thema Datenschutz am Herzen.

 

Datenschutz: vom Nerd-Thema zum Risikofaktor

Zu den großen Risiken im IT-Umfeld gehört mittlerweile das des Datenlecks. Aus einem Dornröschenthema für Fachjuristen und engagierte Nerds ist in wenigen Monaten ein echtes Damoklesschwert geworden, das jetzt über allen baumelt, die die Zeichen der Zeit nicht erkannt haben.

Denn inzwischen legen auch die Verbraucher Wert auf Datenschutz. „Datenschutz darf Geld kosten” – so fasste der vzbz die Ergebnisse einer Umfrage unter Verbrauchern zusammen, die er bei TNS Emnid in Auftrag gegeben hatte. Mehr als ein Drittel der Befragten zeigt sich demnach bereit, größere Datensicherheit auch mit einem höheren Preis zu honorieren. Und für Unternehmen ist inzwischen auch klar, wie riskant es ist, wenn das eigene Risikomanagement im Blindflug erfolgt.

(Etwa bei der Cloud – wenn man persönliche Daten von Dritten an einen Dienst außerhalb der EU übergibt, noch dazu unverschlüsselt bzw. mit Schlüsseln, die auf dem Server dort liegen, und der Vertrag außerdem keine Grundlage für Regressansprüche an den Cloud-Anbieter hergibt,  falls doch etwas passiert, und auch keine Lösch- oder Auskunftsansprüche nach deutschem Recht – das ist dann z. B. Blindflug.)

Aber eigentlich wollte ich gar nicht  von den Risiken beim Datenschutz reden – sondern von den Chancen. Denn das ist ja das Gute: Beim Thema „Datenschutz” geht es nicht darum, nur den Teufel an die Wand malen – man kann auch auf real existierende Vorteile verweisen. Ein funktionierendes Datenschutzkonzept ist ein echter Marktvorteil geworden. Sowohl bei Unternehmenskunden wie auch bei Endverbrauchern.

Datenschutz-Risiko: Quasi ein Schnelltest

Wie groß der eigene Handlungsbedarf ist, lässt sich – zumindest vorab – schon mit ein paar einfachen Punkten herausfinden.  Wer das alles so spontan unterschreiben kann, ist schon mal recht gut aufgestellt:

  • Bei uns gibt es einen Datenschutzbeauftragten, und zwar nicht nur pro forma. (Oder: Wir brauchen wirklich keinen.)
  • Sowohl in den Verträgen mit unseren Kunden wie auch mit unseren Dienstleistern sind Datenschutzansprüche klar geregelt, auch der Haftungsfall.
  • Für alle personenbezogenen Daten, die wir speichern, haben wir entweder eine gesetzliche Befugnis oder eine nachweisbare Einwilligung der Betreffenden. Und wir können personenbezogene Daten komplett löschen und tun dies auch, wenn der Nutzer sich abmeldet, kündigt o. ä.  Und zwar auch von allen Backup-Systemen etc.
  • Unsere Security-Policies und Schutzmaßnahmen sind auf den Stand der Zeit. Und auch die Privat-Geräte der Mitarbeiter bilden keine Lücke im System.
  • Falls doch etwas passiert, und wir verantwortlich sind (und das sind wir selbst dann, wenn unser Provider/Dienstleister/Cloud-Dienst/Mitarbeiter … schuld ist), dann kommen zwar Schadenersatzforderungen auf uns zu, aber wir sind versichert. Wir haben das Thema Datenschutz schließlich rechtzeitig mit unserem Versicherungsmakler durchgesprochen.

Falls Sie Fragen oder Anmerkungen zum Thema „Datenschutz-Risiken und Versicherungen“ haben: Sprechen Sie mich an.

 

 

 

Bitcoins: Risiken und Chancen

von

Bitcoin erlebt im Moment einen Höhenflug. Und das nicht nur, weil die Bitcoin-Kurse Werte erreichen wie nie zuvor. Auch in den Mainstream-Medien ist die P2P-Währung jetzt festes Thema.

Mit der rechtlichen Seite von Bitcoin befassen sich diese Berichte jedoch selten. Und die Bitcoin-Risiken werden oft nur aus einem bestimmten Winkel betrachtet – etwa nur unter dem der Spekulation.

Grund genug für mich, dem Thema „Bitcoin und die Risiken” ein paar Betrachtungen zu widmen. Die sind allerdings nur  grobsortiert – noch ist bei dem Thema einfach zu viel im Fluss. Wie immer freue ich mich über Ihre Kommentare. Schließlich ist das ein Thema, zu dem noch nicht bereits alles gesagt wurde.

Die Kurzfassung:

  •  Bitcoin kann scheitern, aber ein virtuelles Tauschmittel dieser Art wird vermutlich Teil der nahen Zukunft.
  • Digitale „Währungen” wie Bitcoin haben unbestreitbar Vorzüge
  • Im Moment ist Bitcoin vor allem eine Sache von und für Nerds – und Spekulanten.
  • Die rechtliche Einordnung ist alles andere als klar
  •  Auch die steuerliche Behandlung ist alles andere als klar
  • Wie die Regierungen mit dem Thema umgehen werden, ist nicht noch nicht sicher
  • Die Währungsrisiken sind ernüchternd
  • Versichern? Hmm.

Fazit: Die Bitcoin-Risiken sind groß. Aber die Idee wird überleben.

Vorweg noch eines: Ich will das System Bitcoin nicht noch einmal erklären, das haben andere ja schon sehr gut gemacht. Eine Einführung gibt esz. B. bei Chip.de oder aus Sicht der Bitcoin-Gemeinde im Bitcoin-Wiki. Lang und ausführlich erkärt die Wikipedia das System Bitcoin.

 

1. Bitcoin kann scheitern, aber ein virtuelles Tauschmittel dieser Art wird vermutlich Teil der nahen Zukunft.

Mit Verschlüsselungstechnik und P2P-Netzwerken sind die Voraussetzungen geschaffen für ein verteiltes, durch keine Zentralinstanz politisch oder kommerziell beherrschtes  Zahlungsnetzwerk, in dem  sehr direkt und schnell „Zahlungen” in einer virtuellen „Währung” ausgetauscht werden können. Dieses Tauschsystem  besteht darin, dass die Teilnehmer untereinander öffentlich Transaktionen bestätigen. Das Vertrauen wird durch eine dank Signatur und Verschlüsselung nachvollziehbare, kaum oder nur sehr schwer fälschbare öffentliche Transaktionskette und den Open-Source-Ansatz bewirkt. Selbst wenn Bitcoin scheitert, wird ein anderes, aber prinzipiell ähnliches System folgen – der Bedarf ist da und die Möglichkeiten ebenfalls.

2. Digitale „Währungen” wie Bitcoin haben unbestreitbar Vorzüge

Bitcoin ist schnell – denn die Transaktion ist normalerweise spätestens nach ein, zwei Stunden anerkannt.

Außerdem ist Bitcoin zunächst einmal sehr günstig, wenn man diese Form der Zahlungsabwicklung mit den Gebühren der üblichen kommerziellen Payment-Abwicklern vergleicht: Die Transaktioinsgebühren liegen unter einem Prozent.

Schließlich bietet Bitcoin zwar keine echte Anonymität, aber durch die pseudonyme Abwicklung der Transaktionen ist nicht so ohne weiteres ermittelbar, welcher Mensch oder welches Unternehmen tatsächlich beteiligt war.

3. Im Moment ist Bitcoin vor allem eine Sache von und für Nerds – und Spekulanten.

Die Liste der Organisationen und Unternehmen, die Bitcoins akzeptieren,  umfasst weit über 1.000 Einträge. Nach wie vor sind nicht wenige davon klar auf Nerds ausgerichtet-  oder aber auf Kunden, die eine pseudonyme Zahlungsmethode zu schätzen wissen – Sex-Sites,  Drogenentzugskliniken und dergleichen (was keinesfalls bedeutet, dass jeder, der Bitcoin-Zahlungen akzeptiert, unseriös wäre).

Für den Durchbruch als Verbraucherwährung müssten richtig große Player wie Amazon oder eBay auf Bitcoin aufspringen. Das kann möglicherweise durchaus und durchaus auch bald passieren, eBay-Chef John Donahue hat bereits Interesse signalisiert. Sicher ist der Durchbruch aber nicht.

Als zweite Perspektive bietet Bitcoin die Perspektive, irgendwann als Mittel für internationale Transaktionen die Bindung an Leitwährungen überflüssig zu machen sowie Devisenbeschränkungen oder Sanktionen zu umgehen. Warum, das erklärte das Wall Street Journal dieser Tage.

4. Die rechtliche Einordnung ist alles andere als klar

Die rechtliche Einordnung von Bitcoins ist alles andere als abgeschlossen, auch wenn das Bundesfinanzministerium(dieses Jahr)  und die BaFin (2011 und dann wieder dieses Jahr) dazu bereits Stellung genommen haben.

Die BaFin hat – in Übereinstimmung mit der überwiegend vertretenen Ansicht unter Juristen – klargestellt, dass Bitcoins kein E-Geld im Sinne des § 1a Abs. 3 Zahlungsdiensteaufsichtsgesetz (ZAG) sind. Dazu müssten Bitcoins einen „monetären Wert“ in Form einer Forderung gegenüber dem Emittenten darstellen, durch den Besitz von Bitcoins wird jedoch, das ist der „Knackpunkt“, keine Forderung gegen einen Dritten begründet.

Auch wenn ich bei einer Transaktion im Austausch gegen eine Lieferung den Anspruch erwerbe, mir eine entsprechende Anzahl an Bitcoins gutzuschreiben, folgt daraus nicht, dass irgendjemand gezwungen wäre, mir diese Bitcoins in eine gängige Währung umzutauschen.Der„Bitcoin-Anwalt” Julian Schneider formulierte es in einem Interview mit der LTO so: „Wenn man Bitcoins kauft, schließt man zwar einen atypischen Werkvertrag. Die Tätigkeit des Vertragspartners erschöpft sich aber in der Überweisung der Bitcoins auf ein spezielles Konto. Sobald die Bitcoins überwiesen sind, ist der Vertrag erfüllt und die Forderung erloschen.” 

Die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) sieht Bitcoins  als „Rechnungseinheit“ im Sinne des Kreditwesengesetzes. Damit hat sie „den Daumen drauf” – wer gewerbsmäßig  Zahlungsabwicklung oder andere Dienstleistungen rund um die Bitcoins erbringen will, wird von der BaFin als Finanzdienstleister gesehen und braucht  für seine Tätigkeit eine  Erlaubnis. Der gewerbliche Handel mit Bitcoins ist dagegen in Deutschland zwar anzeige-, aber nicht genehmigungspflichtig. Auch wer Bitcoins als Zahlungsmittel für eigene Lieferungen oder Leistungen annimmt, benötigt keine Genehmigung.

Eine BaFin-Erlaubnis braucht aber, wer zum Beispiel Bitcoin-Bezahlmöglichkeiten bei Geschäften Dritter ermöglicht. Dabei ist es egal, ob das Unternehmen sich auch selbst als Finanzdienstleister sieht. Wie schnell man zum „Finanzdienstleister” werden kann, zeigt der Fall von Lieferheld. Dort konnte man eine Pizza bestellen und mit PayPal bezahlen, der Lieferservice rechnete dann mit dem Restaurant ab – und hätte dafür eine BaFin-Genehmigung benötigt, so das Landgericht Köln (29. 9 2011 – Az. 81 O 91/11 ).

Verstöße gegen das ZAG sind nicht ohne – wer genehmigungspflichtige Zahlungsdienste ohne Erlaubnis anbietet, macht sich nach § 31 ZAG strafbar, für Schadenersatzforderungen und Wettbewerbsklagen  ist man ebenfalls angreifbar.

Bitcoins passen auch sonst nicht so recht in die bisherige Landschaft der Zahlungsabwicklung. Bei einem dezentral angelegten System wie Bitcoins ist es extrem schwierig, die bei traditionellen Systemen notwendige „verantwortliche Person“ zu benennen.  Derzeit hat als einziges Institut  in Deutschland  die Fidor-Bank, die mit den Handelsplattformen Bitcoin.de und inzwischen auch mit Kraken.com kooperiert,  eine Lizenz für den Bitcoin-Handel beantragt. Die Beantragung einer Lizenz macht jedoch insofern Sinn, als eine einmal in Deutschland von der BaFin erteilte Lizenz der Bank den Zugang zu allen EU-Mitgliedstaaten und damit den Handel mit Bitcoins eröffnet.

Etwas unsinnig ist der mitunter geäußerte Vorwurf, für Bitcoins gebe es keine Einlagensicherung. Das liegt in der Natur der Sache:  Bitcoins sind schließlich wie erwähnt kein E-Geld. Sie gelten vielmehr als Sondervermögen wie Aktien oder Schuldverschreibungen, für deren Depots die Einlagensicherung ja auch nicht gilt.

5. Auch die steuerliche Behandlung ist alles andere als klar

Klar ist so viel: Wer privat Bitcoins besitzt und diese nach mindestens einem Jahr verkauft, kann den Gewinn steuerfrei einstreichen, davor unterliegt der Gewinn aus einem solchen privaten Veräußerungsgeschäft normal der Einkommensteuer. Das hat das Bundesfinanzministerium bekanntgemacht. Abgeltungssteuer auf Bitcoin-Depots wird also nicht erhoben.

Interessanter wird es beim Thema Umsatzsteuer:  Bitcoins sind, so führt die Kanzlei Winheller aus, die nach eigener Auskunft die Fidor-Bank berät,  laut Bundesfinanzministerium ja nur Recheneinheiten – die Umsatzsteuerbefreiung für Währungen gilt hier also nicht. Andererseits sind  Bitcoins für das Ministerium das Resultat privater Geldschöpfung – also einer Leistung, und damit grundsätzlich steuerbar. Insgesamt ergibt sich damit die Möglichkeit, dass der Umtausch von Bitcoins in Euro vom Finanzamt als genauso umsatzsteuerpflichtig eingestuft  wird wie die Lieferung von Brennholz oder die Leistung eines Nagelstudios.

Dass Bitcoin-Zahlungen („die bloße Entgeltentrichtung”) umsatzsteuerpflichtig sind, hat das Bundesfinanzministerium bereits ausgeschlossen. Weniger deutlich fällt die Antwort aus, wenn es um den  Handel oder die Vermittlung von Bitcoins geht: dies  „kann unter die Voraussetzungen des § 4 Nr. 8c UStG umsatzsteuerfrei sein”, so das Ministerium (Hervorhebung und Link durch FS). Klare Festlegungen klingen anders.

Bitcoin-Mining jedenfalls, das Errechnen neuer Bitcoin-Blöcke also, ist mit ziemlicher Sicherheit umsatzsteuerpflichtig.

Ein weiteres unklares Thema: Wie muss man Bitcoin-Transaktionen buchen und archivieren? Rechtsanwalt Andreas Wehle empfiehlt in einem ausführlichen Kommentar auf Frag-einen-Anwalt.de dafür eine eigene Einnahme-Überschuss-Rechnung. Das klingt zunächst vernünftig, aber eine EÜR nach herkömmlichem Muster dürfte wohl schwierig werden.  Transaktionen sind ja keine „echten“ Einnahmen, Bitcoin-Geschäfte mit herkömmlichen Buchhaltungsinstrumenten kaum abbildbar.

Für Klarheit werden hier vermutlich erst die Finanzgerichte sorgen, falls der Gesetzgeber nicht schon vorher aktiv wird.

6. Bitcoins sind fälschungssicher – aber Diebe,  Betrüger und Datenverlust stellen eine Bedrohung dar

Bitcoins „besitzt“ man eigentlich nicht. Was man besitzt, sind Schlüssel zu Bitcoins, die man in einem passwortgesicherten „Wallet” auf einem eigenen Rechner ablegt oder im eigenen Konto eines Fremdsystems, etwa einer Exchange oder einer Wechselstube. Verliert man das Passwort zu dem Wallet, sind auch die Bitcoins verloren. Lässt man sich die Schlüssel stehlen oder durch Betrügereien abluchsen, ebenfalls. Da das Gegenüber praktisch anonym ist, hilft einem auch die nachvollziehbare Transaktionskette wenig.

Dass dieses Verlustrisiko alles andere als theoretisch ist, zeigt die lange Liste „Verluste, Diebstähle, Hacks und Betrugsfälle” im Wikipedia-Artikel zu Bitcoin. Fairerweise muss man dazusagen, dass Diebstahl und Verlust natürlich auch andere Tauschwerte, Währungen oder Wertpapiere bedrohen.

7. Wie die Regierungen mit dem Thema umgehen werden, ist nicht noch nicht sicher

Bitcoins bieten eine Möglichkeit, um Devisenhandelsbeschränkungen, Wirtschaftssanktionen und andere staatliche Verbote zu umgehen. Auch für Geldwäsche sind sie gut geeignet. Angesichts des Potenzials für schwarze Transfers kann es sein, dass Bitcoin-Transaktionen in Zukunft gesetzlich eingeschränkt oder unter Auflagen gestellt werden.

Dazu kommt, dass offizielle Währungshüter solchen Parallelwährungen durchaus mit Misstrauen begegnen können – in Thailand sind Bitcoins de facto verboten. Allerdings hat das Bundesfinanzministerium in Berlin keinerlei grundsätzliche Vorbehalte erkennen lassen. Und auch der Chef der US-Notenbank, Ben Bernanke, hat sich vorsichtig zustimmend geäußert.

8. Die Währungsrisiken sind ernüchternd

Über die wilden Schwankungen des Bitcoin-Kurses berichtet seit einiger Zeit ja auch die Mainstream-Presse. Dass ein Zahlungsmittel, das zumindest bislang noch derart von Spekulation geprägt ist,eine schwierige Basis für stabile Geschäftsmodelle darstellt, liegt auf der Hand. Schließlich ist eine Wertheinheit, deren Umtauschwert täglich bis zu einem Fünftel schwankt, kaum ein massentaugliches Zahlungsmittel. Um Commerzbank-Chefvolkswirt Jörg Krämer zu zitieren: „Niemand verwendet eine Währung, die dauernd Achterbahn fährt.”

Ebenfalls häufig berichtet wird über die maximale Obergrenze – mehr als  21 Millionen Bitcoins lassen sich nicht „schürfen“, und Verluste etwa durch verlorengegangene Passworte sind unwiederbringlich. Das führt zu dem Deflationsszenario, das häufig angeführt wird. Da Bitcoins immer knapper werden, steigt die Nachfrage immer weiter, wer Bitcoins besitzt, hat keinen Grund, sie wieder auszugeben. Ob das so eintritt, weiß ich nicht – ich glaube auch nicht, dass irgendjemand anders das im Moment sicher beurteilen kann.

Eine seltener genanntes Risiko: Die Internetgemeinde könnte an Bitcoins irgendwann das Interesse verlieren, um sich einer der vielen Alternativwährungen zuzuwenden.

Und was passiert, wenn sich das ganze System als kompromittiert herausstellen sollte? Sind dann die Bitcoins von einer Minute auf die andere wertlos? Die Folgen wären jedenfalls unabsehbar. Es ist nicht einmal klar, ob dann mit Bitcoins getätigte Geschäfte überhaupt noch wirksam wären. Vielleicht müssten sie rückabgewickelt werden? Mit dem Zivilrecht nach derzeitigem Stand lässt sich so einem Szenario nur schwer beikommen.

8. Versichern? Hmm.

Versicherer haben ein großes Interesse daran, auf neue Entwicklungen zu reagieren. Neue Chancen sind stets mit neuen Risiken verbunden, und davon lebt die Branche schließlich.  Wenn eine neue Sache wie Bitcoin aber noch zu viele Unwägbarkeiten birgt, um die Risiken entsprechender Geschäftsmodelle wirklich solide prognostizieren zu können, dann wird es jedoch schwierig für eine Versicherungsgesellschaften. Wie soll sie dem Kunden dafür dann eine Police anbieten?

Im Moment gibt es  für „Bitcoin-StartUps” jedenfalls noch keine Standardprodukte. Erste Überlegungen gehen dahin, Zahlungsausfall- oder Forderungsausfallversicherungen  für Bitcoin-Geschäfte analog zu Geschäften in Auslandswährungen zu behandeln. Dort wird ein Umrechnungskurs vertraglich festgelegt. Ob die Versicherer im Einzelfall eine solche Absicherung wirklich zu vertretbaren Konditionen übernehmen, muss man allerdings angesichts der Schwankungen des Bitcoin-Kurses  abwarten.

Viele andere Versicherer lehnen die Absicherung generell ab. Begründung: Die Gesellschaften sehen in Bitcoins, weil nirgendwo gesetzliches Zahlungsmittel, auch keine handelbare Währung.

Fazit: Die Bitcoin-Risiken sind sehr groß. Aber die Idee wird überleben.

Eigentlich kann man da die Bitcoin-Entwickler selbst zitieren: „Bitcoin should be seen like a high risk asset, and you should never store money that you cannot afford to lose with Bitcoin.”

Das gilt nicht nur für Bitcoin als Geldanlage, sondern auch für Geschäftsmodelle, die auf Bitcoin beruhen. Aber: Diese Form der virtuellen Währung wird nicht wieder verschwinden. Und auch die Versicherer werden darauf reagieren, irgendwann. Ob man dann noch von Bitcoins spricht oder ob dann ein anderes System en vogue ist, weiß ich aber nicht.

Bring your own device (BYOD): Bring Dein eigenes Gerät, die Firma haftet?

von

Drei Studien, ein Problem

  • Fast ein Drittel aller deutschen Unternehmen mit mehr als 1.000 Mitarbeitern hat durch BYOD bereits wichtige Daten verloren. Das besagt eine Studie, über die Heise berichtet.
  • Andererseits erlaubt mit  43 % annähernd die Hälfte der IT-Unternehmen hierzulande den Mitarbeitern, eigene Geräte für die Arbeit zu nutzen, von denen wiederum nur 60 % dafür feste Regeln aufstellen –  so eine andere Studie vom Branchenverband Bitkom.
  • Wobei Betriebsvereinbarungen etc. oft ohnehin wenig bringen: Fast die Hälfte der Arbeitnehmer bis 32 schert sich schlichtweg nicht um Verbote und Einschränkungen und nutzt die eigenen Geräte einfach trotzdem. Das ergab eine Fortinet-Umfrage zum BYOD-Verhalten der „Generation Y“.

Kaum noch ohne BYOD

Dass BYOD für  die Rechner- und Datensicherheit des Unternehmens  ein Horror ist, liegt auf der Hand. Heterogene Hardware, unterschiedliche Betriebssysteme, eine völlig uneinheitliche Ausrüstung  mit Firewalls, Virensoftware und Backup-Programmen, wenn überhaupt vorhanden. Dazu Nutzer, die das jeweilige Gerät als Teil ihrer persönlichen Ausrüstung begreifen, an allen möglichen Orten im Internet unterwegs sind, unkontrolliert herunterladen und installieren, mit weiß wem Kontakt haben und fleißig Wechseldatenträger nutzen …

Arbeitsrechtlich bzw. juristisch ist BYOD ebenfalls ein Alptraum. Arbeit und Privatsphäre, persönliche und Unternehmensdaten, Privatbesitz und Firmeneigentum – alles vermischt sich. Da freut sich der Anwalt, wenn es zu Konflikten kommt …

Dazu kommen die steuerlichen Unklarheiten, wenn Privat- und Firmeneigentum, berufliche und private Nutzung sich vermischen.

Trotzdem kann man BYOD oft kaum noch wirksam verbieten – s.o. Außerdem macht ein BYOD-VErbot die Suche nach jungen Talenten für den „Mangelberuf Anwendungsentwickler“  und ähnliche Jobs sehr viel schwieriger.  Daneben ist BYOD der Preis (und der Köder) für die erhöhte Verfügbarkeit wichtiger Leute und spart oft Anschaffungskosten.

Schutzmaßnahmen festklopfen

Ganz wichtig: Eine verbindliche und arbeitsrechtlich wirksame Richtlinie zu BYOD etablieren.

Wichtig ist aber auch, die einschlägigen Risiken klar zu erfassen und versichert zu haben. Gerade an dieser Front ist das Unternehmen abhängig vom Verhalten Dritter und anfällig für Pleiten, Pech und Pannen.

Wenn das ganz große Datenleck oder der Komplettverlust wichtiger Firmendaten da ist, hilft Ihnen auch ein Haftungsanspruch gegen den Sündenbock  nicht mehr viel.  Dann retten  Sie nur noch gute Nerven und eine ausreichende Deckung in Ihrer Versicherungspolice.

Punkte für eine BYOD-Richtlinie

Dennoch: Die arbeitsrechtliche Absicherung von  BYOD ist absolut zentral – schon deshalb, um das Bewusstsein der Mitarbeiter zu schärfen und um Rechtsstreitigkeiten mit dem eigenen Personal von vornherein den Boden zu entziehen. Welche Punkte  in Sachen BYOD im Arbeitsvertrag oder per Betriebsvereinbarung zu klären sind, haben die Rechtsanwälte Sebastian Dramburg und Matthias Sziedat in einem Gastbeitrag für Deutsche-Startups.de aufgelistet. Die von ihnen genannten Punkte kurz zusammengefasst:

  • Klare Regeln dazu, wer wie viel bezahlt für Anschaffung, Zubehör und Reparaturen
  • Haftung bei Softwarenutzung ohne Lizenz
  • Regeln für Verlust oder Beschädigung
  • Klare Abmachungen zum Umgang mit persönlichen Daten des Mitarbeiters auf dem Gerät
  • Regeln für den Fall des Ausscheidens des Mitarbeiters oder bei akuten Konflikten

Fragen an Ihren Versicherer

Zusätzlich sollten Sie sich aber bei jedem dieser Punkte auch fragen: Wie steht mein Unternehmen da, wenn die Richtlinie nicht greift?

Ist das neue iPhone, das der Marketingchef auf der Messe liegen lässt, versichert? Wenn der Entwickler im Streit geht und das Unternehmen keinen Zugriff mehr auf den bislang erstellten Code auf dessen Laptop hat, wer bezahlt dann die Vertragsstrafe an den Kunden? Wie steht es, wenn der Vertriebsmitarbeiter sich einen Trojaner einfängt und die Kunden verteilt, die dann Schadensersatz fordern? Kann man für den Schaden vorsorgen, der entsteht, wenn ein Mitarbeiter die Kundendaten auf „seinem“ Laptop für ein eigenes Unternehmen nutzt?

Wie immer gilt: Das sind zum einen Themen für Ihre IT-Sicherheit. Das alles sind aber auch Versicherungsfragen.  Sie sollten Sie Ihrem Versicherungsmakler oder Ihrem Versicherer stellen, bevor es passiert.

Fazit

BYOD ist ein Risiko, an dem Sie aber vermutlich kaum vorbeikommen. Um das Risiko zu begrenzen, müssen Sie es auf drei Ebenen angehen:

  1. auf Ebene der  IT-Sicherheit: in Bezug auf die Geräte selbst,
  2. auf arbeitsrechtlicher Ebene: in Bezug auf Ihre Mitarbeiter
  3. auf Unternehmensebene:  in Bezug auf Ihre betrieblichen Versicherungen

Außerdem sollten Sie mit dem Steuerberater über dieses Thema sprechen.

Links

Agile Software-Projekte und Vertragsrecht

von

Es ist ja schön, wenn Software-Projekte mit zeitgemäßen, agilen Methoden wie Scrum oder Lean Startup durchgeführt werden. Aber wie soll man das im deutschen Vertragsrecht mit seiner Einteilung in Werkvertrag und Dienstvertrag angemessen abbilden? Was soll im Vertrag stehen, wenn das Endprodukt beim Abschluss noch gar nicht klar ist?

Schließlich gibt es im agilen Umfeld keine lange Pflichten- und Lastenhefte. Es geht ja darum,  für neue oder unbekannte Aufgaben neue, noch nicht bekannte Lösungen zu finden und den genauen Bedarf im Prozess selbst zu ermitteln. Trotzdem sollen zwischen Auftraggeber und Software-Dienstleister solide rechtliche Verhältnisse herrschen.

Diesen Fragen widmet sich Björn Schotte, Geschäftsführer des Webentwicklers Mayflower, in einem zweistündigen Webinar. Er skizziert  aus der Perspektive des Software-Dienstleisters mehrere Vertragsmodelle für agile Projekte, die sein Unternehmen auch tatsächlich verwendet.

Hier klicken, um den Inhalt von YouTube anzuzeigen.
Erfahre mehr in der Datenschutzerklärung von YouTube.

Video direkt öffnen

Seine Grundthese: Die rechtlichen Rahmenbedingungen müssen auf beiden Seiten eines agilen Projektes kooperatives Verhalten erwirken. Nicht-kooperatives Verhalten wird sanktioniert. Der Auftraggeber kann unter bestimmten Bedingungen die Zusammenarbeit beenden oder etwa Zahlungen für einzelne User Stories verweigern. Der Dienstleister kann unter bestimmten Umständen die Zusammenarbeit als Dienstvertrag (T&M) fortführen.

Die Formalisierung einer kooperativen Grundeinstellung ergibt auch aus meiner Sicht als Versicherungsexperte viel Sinn: Kooperation und Vertrauen vermindern schlicht das Risiko und damit die Kosten des Risikomanagements. Wenn es gelingt, etwas so schwer Greifbares wie Kooperationsbereitschaft in ein greifbares, überzeugendes Vertragswerk zu gießen, sinken die Versicherungskosten für das Software-Projekt.

Denn natürlich kann man auch Software-Projekte separat versichern, also zum Beispiel

  • Honorar-Ausfälle durch außerordentliche Vertragskündigung bzw. Rücktritt,
  • anfallende Vertragsstrafen und
  • eine Nachhaftung des Dienstleisters.

Das macht – neben zeitgemäßen Verträgen – den Schutz von Auftraggeber und Dienstleister komplett.  Wenn Sie mehr wissen wollen:  Fragen Sie mich – dafür bin ich ja da, als Versicherungsmakler und Rechtsanwalt.

Interner oder externer Datenschutzbeauftragter? Auch Risiken und Haftung zählen

von

Ob ein interner oder externer Datenschutzbeauftragter für ein IT-Unternehmen die bessere Wahl ist, hängt nicht nur von den direkten Kosten ab. Wichtig sind auch die Auswirkungen auf das Unternehmensrisiko und mögliche Haftungsgesichtspunkte.

Haftung beim Datenschutz

Für IT-Unternehmen ist es besonders „leicht”, gegen Datenschutzbestimmungen zu verstoßen. Mit personenbezogenen Daten zu arbeiten ist für sie ja Alltag. Dafür genügt es schon, wenn sie für ein anderes Unternehmen eine Datenbank mit dessen Kunden-, Bestell- oder Personaldaten anlegen oder pflegen. Prompt ergibt sich eine ganze Reihe von Rechtspflichten (aus dem Bundesdatenschutzgesetzes BDSG , aber auch aus anderen Gesetzen wie dem  TKG oder dem TMG) und damit eine Menge Stolperfallen.

Die Liste der Details, auf die das Unternehmen beim Datenschutz  achten muss, reicht …

  • von der formellen, schriftlich fixierten Beauftragung  bei Datenverarbeitung im Auftrag des Kunden …
  •  über die Bestellung eines kompetenten  internen oder externen Datenschutzbeauftragten (Pflicht spätestens ab 10 Personen, die  mit personenbezogenen Daten zu tun haben einschließlich freier Mitarbeiter, Praktikanten etc.) sowie …
  • umfangreichen Dokumentationspflichten (interner und externer Verfahrensnachweis) bis hin zu …
  • Auskunfts- und Belehrungspflichten gegenüber Dritten.

Für die Einhaltung der Datenschutzvorschriften ist die Geschäftsführung verantwortlich. Diese Verantwortung lässt sich auch nicht einfach delegieren, bei einem Datenschutzverstoß muss sich der Geschäftsführer oder der Vorstand zumindest ein Organisationsverschulden anrechnen lassen.

Wann haftet ein externer Datenschutzbeauftragter?

Schon aus Haftungsgesichtspunkten ist es oft sinnvoll, einen externen Datenschutzbeauftragen zu engagieren. Dieser haftet grundsätzlich einmal dafür, dass er seine Funktion ordentlich erfüllt –  egal ob es sich um einen Rechtsanwalt handelt oder ob man einen spezialisierten Dienstleister wie etwa den TÜV oder das IITR nutzt. Natürlich kommt es auf die Vertragsgestaltung an, ein kompletter Haftungsausschluss oder die pauschale Beschränkung auf eine bestimmte Summe  ist für externe Datenschutzbeauftragte nach gängiger Rechtsansicht jedoch nicht möglich.

Deshalb brauchen externe Datenschutzbeauftragte auch unbedingt eine Versicherung ihrer beruflichen Vermögensschadenshaftpflicht. Von einem externen Datenschutzbeauftragten sollten Sie sich deshalb auf jeden Fall eine Versicherungsbestätigung vorlegen lassen, als Nachweis einer angemessenen Vermögensschadenhaftpflichtversicherung. Handelt es sich um einen  Rechtsanwalt, dann ist er zwar ohnehin pflichtversichert, aber seine  anwaltliche Berufshaftpflichtversicherung deckt nicht von vornherein mögliche Schäden aus der Tätigkeit als externer Datenschutzbeauftragter ab. Dafür ist eine Erweiterung der Police oder eine Zusatzversicherung notwendig. Das gilt natürlich auch für andere Berufe.

Allerdings kann ein  Unternehmen, das einen externen Datenschutzbeauftragten bestellt, die Haftung nicht einfach an diesen „weitergeben”. Kommt es zu einem Datenschutzverstoß, ist dennoch die Unternehmensleitung die Adresse für den Geschädigten. Muss das Unternehmen aber z. B. Schadenersatz leisten, kann es seinerseits den externen Datenschutzbeauftragen in Anspruch nehmen, falls dieser durch seine Tätigkeit den Verstoß hätte verhindern können und müssen.

Im Gegensatz zu einem internen Mitarbeiter, der als Arbeitnehmer nur beschränkt haftet, muss ein externer Beauftragter nicht etwa grob fahrlässig oder vorsätzlich gehandelt haben, um zu haften – einfaches Verschulden reicht grundsätzlich. Deshalb ist der Versicherungsnachweis wichtig. Er stellt sicher, dass die  die Ansprüche des Unternehmens im Falle eines Falles nicht ins Leere gehen.

Hat die Geschäftleitung jedoch einen unversicherten Datenschutzbeauftragten unter Vertrag genommen und gehen Regressansprüche finanziell ins Leere, muss der Geschäftsführer bzw. Inhaber unter Umständen sogar damit rechnen, dass ihm das als Auswahlverschulden zur Last gelegt und daraus seine eigene persönliche Haftung abgeleitet wird.

Unternehmensrisiken verringern

Eine Anmerkung aus der Sicht des Versicherungsmaklers und Versicherungsexperten: Die Haftung des externen Datenschutzbeauftragten reduziert  das Risiko von Unternehmen und Geschäftsführung und damit den Versicherungsbedarf. Solche Haftungsaspekte sind für das Unternehmen selbst wichtig, sie fallen aber auch für mich als Versicherungsmakler ins Gewicht, wenn ich die Unternehmensrisiken begutachte.

Wie man sieht, ist  betrifft die Arbeit eines Versicherungsmakler nicht nur den Versicherungsabschluss. Meine Kunden und Mandanten erhalten gleichzeitig auch wichtige Anhaltspunkte für ihre Geschäftsentscheidungen.

Noch zwei Anmerkungen:

  •  Ein externer Datenschutzbeauftragter ist selbst aus Sicht des Personalwesens oft die sinnvollere Alternative. Ein interner Datenschutzbeauftragter ist im Rahmen dieser Tätigkeit von Weisungen unabhängig, hat Anspruch auf fortlaufende Weiterbildungen und genießt einen besonderen Kündigungsschutz – das kann zu Konflikten führen.
  • Immer wieder kommen Geschäftsführer auf die Idee, sich selbst zum Datenschutzbeauftragten zu bestellen oder dafür den Steuerberater zu nehmen, aber das  funktioniert nicht. Der Beauftragte darf nach gängiger Rechtsmeinung nicht in einem grundsätzlichen Interessenkonflikt zu seiner sonstigen Tätigkeit für das Unternehmen stehen.